Newsgroup: it.comp.os.linux.iniziare
Titolo: /etc/passwd

E possibile rinominare e/o spostare i file 
/etc/passwd  
/etc/shadow 
per garantire una maggiore sicurezza senza danneggiare l'intero sistema?
Se si' come?
Quello che mi chiedo è come e in che files viene detto a linux di 
controllare le password proprio in /etc/passwd /etc/shadow.
Se qualcuno mi puo' dare una mano a capire...
Ringrazio chiunque vorra' rispondermi.
Grazie.
sleet23h

 Quello che mi chiedo è come e in che files viene detto a linux di 
Vedi il From-Boot-To-Bash-Howto
Davide

 E perche' pensi che spostandoli ottieni una maggiore sicurezza ?
Beh, l'idea di fondo non e' sbagliata: poni che qualcuno riesca ad avere
accesso al file con le password. Che fa?, se lo scarica e magari riesce a
cavarci qualche password, magari quella di root.
Se invece quel file non c'e' e il vero file delle password e' nascosto, il
nostro aspirante acher dovra' faticare un po' di piu' per ottenere qualcosa.
Se poi il file c'e' ma e' farcito di password sbagliate allora il nostro
acher fatichera' ancora di piu' ;-)  
Ciao
  Andrea

 Se invece quel file non c'e' e il vero file delle password e' nascosto,
Il nostro aspirante "Cracker" non fatichera' molto.
Pensaci bene: per poter "copiare" il file delle password il nostro
cracker deve GIA' ESSERE COLLEGATO! Cioe' una password la sa' gia'.
A questo punto non ci vuole troppo verificare che la password che lui
conosce gia',  NON SI TROVA nel file delle password. Quindi andare a cercare
un file che contiene tale password (anche criptata) e' il passo
successivo. Ispezionare il codice (o la configurazione) di getty
e' il successivo passo.
Viceversa, un simile schema di protezione complica la vita a qualunque
amministratore che non trova cio' che dovrebbe essere dove dovrebbe
essere.
Ti consiglio di leggere qualche libro sulla sicurezza informatica, 
in nessuno si consigliano schemi astrusi di protezione. Scegliere delle
BUONE password e' il primo passo (non la solita "password" che il 60%
della gente usa, o il nome della fidanzata/moglie/marito/figlio quello
che accidenti e'), non comunicare la password a nessuno e' il secondo
passo (e a giudicare dalle statistiche pare che questo sia un passo
che nessuno compie...)
Davide

 E perche' pensi che spostandoli ottieni una maggiore sicurezza ?
Beh, l'idea di fondo non e' sbagliata: poni che qualcuno riesca ad avere
accesso al file con le password. Che fa?, se lo scarica e magari riesce a
cavarci qualche password, magari quella di root.
Se invece quel file non c'e' e il vero file delle password e' nascosto, il
nostro aspirante acher dovra' faticare un po' di piu' per ottenere qualcosa.
Se poi il file c'e' ma e' farcito di password sbagliate allora il nostro
acher fatichera' ancora di piu' ;-)  
Ciao
  Andrea
P.S.: ho cambiato il nickname, prima postavo come Andrea Palazzi

Nickname provvisorio wrote:

L'idea di sicurezza che ho in mente è molto piu' profonda a dire il 
vero...e saro' felice di parlarne in futuro.
Trovo tutto quello che cerco nel how-to consigliatomi da davide?
C'è altra documentazione che potrebbe essere utile a questo scopo?
Un'altra cosa che mi rende curioso.Quale sarebbe la tua/vostra idea per 
rendere un sistema *nix sicuro?
Ciao e grazie mille.
sleet23h

 
non e' detto puo farli leggere a qualcun'altro.. httpd sendmail cgi ecc


 Davide
E completamente inutile avere una buonissima password se esite la 
possibilita' di installare all'interno del sistema 
backdoors,,trojans,keyloggers...
Questi non necessitano di certo che tu conosca una password di normale 
utente o di root che sia visto che č lo stesso utente il piu' delle volte a 
mettercele dentro..
Il passo successivo č un gioco da bambini.

  Se qualcuno mi puo' dare una mano a capire...
login: tuonome
password: tuapassword
Anche se scrivi un nome utente che non esiste sul tuo sistema, alla
richiesta di password ci arrivi lo stesso, questo per non far sapere 
ad un eventuale intruso che l'utente non esiste (facendogli sprecare
tempo), comunque, la procedura grossomodo funziona cosě:
- Scrivi il nome dell'utente
- Scrivi la password
- Login controlla che l'utente sia effettivamente presente in
  /etc/passwd e che la password sia corretta (sempre in /etc/passwd,
  file leggibile da chiunque), se istruito diversamente, tramite l'uso
  di un file di configurazione, controlla la password in /etc/shadow,
  ma a questo file č consentita la lettura solo a root, quindi bisogna
  trovare un sistema per far leggere questo file anche a /bin/login, lo
  si fa settando il "bit SUID" ("man chmod", in sostanza č come se il
  programma fosse lanciato da root)
All'interno di questo processo si inserisce PAM, che sta per "Pluggable
Authentication Modules", cito dalla documentazione:
<cit>
"Linux-PAM (Pluggable Authentication Modules for Linux) is a suite of
shared libraries that enable the local system administrator to choose
how applications authenticate users.
In other words, without (rewriting and) recompiling a PAM-aware
application, it is possible to switch between the authentication
mechanism(s) it uses. Indeed, one may entirely upgrade the local
authentication system without touching the applications
themselves."
</cit>
Se vuoi saperne di piů cerca su google oppure mandami una mail se vuoi
della documentazione, tornando all'autenticazione... qualcuno potrebbe 
leggere /etc/shadow solo se ottenesse la password di root o (da me) 
appartenesse al gruppo "shadow":
[ac@neptune:~]$ ls -l /etc/shadow
-rw-r-----    1 root     shadow        917 Mar 23 15:14 /etc/shadow
Quindi scegli una password ragionevolmente sicura per root e puoi
considerarti a posto
Ciao, Andrea
-- 
          (o_  |
(o_  (o_  //\  | Andrea Carosi, just another Linux user ( #210218 )
(/)_ (/)_ V_/_ | 
GnuPG PK fingerprint: 0857 1927 150B 3C8E 8274  F641 1388 AA6D 3FA0 5410

non e' detto puo farli leggere a qualcun'altro.. httpd sendmail cgi ecc
Come, se c'e` lo shadowing? 
Magari un exploit con privilegi di root?
-- 
Ikitt, che e` ignorante in materia di sicurezza (mailserver -> freemail)

   programma fosse lanciato da root)
ciao
sleet23h

 
comunque io fossi in te mi fascerei meno la testa per nulla, per le
seguenti ragioni:
1) decrittare le shadow non lo fa nessuno perche' ci vuole troppo tempo.
2) se uno riesce ad eccedere usando qualche demone con permessi di root
di certo non si mette a prendere le shadow, coso mai ti apre una shell
di root volante.

  acher fatichera' ancora di piu' ;-)  
Invece l'idea è sbagliata, è "security through obscurity" ed è proprio
quello che nel mondo Open Source viene contestato con forza


  configurazione che riindirizza a /etc/shadow?
Da me /etc/pam.d/login (Debian)


 cavarci qualche password, magari quella di root.
Per poter avere accesso a /etc/shadow dovrebbe essere gia root. A quel 
punto avere accesso o no al file e' irrilevante. E' proprio per questo che 
e' stato implementato il meccanismo delle shadow-password. /etc/passwd, 
infatti, e' visibile a tutti per ovvie esigenze e un qualunque utente poteva 
provare un brute force sulle password criptate. 
-- 
Enrico Bodo  -   Postdoc Fellow       
University of Rome "La Sapienza"    
Department of Chemistry        

 
Ciao e grazie tante
sleet23h