Newsgroup: it.comp.os.linux.iniziare
Titolo: NIS e shadow password

Martedi' dovrebbe arrivarmi il secondo PC. Voglio provare a configurare
NFS e NIS per poter condividere utenti e home tra il server e il client
(in realta' l'utente sono solo io e i pc saranno solo due, ma voglio far
pratica).
Mi trovo pero' davanti ad un dubbio:
Perche' nell'HOWTO viene detto nella  sezione sicurezza che "Le password
shadow su NIS sono sempre una cattiva idea."?
Si riferisce solo al fatto che in  una rete si possono avere problemi se
un client NIS non supporta le shadow password, o e' effettivamente un
problema di sicurezza?
In realta', dice espressamente che si  perde in sicurezza, ma non spiega
il perche'.
Non capisco inoltre le seguenti istruzioni.
#v+
If you want to restrict access for users to your NIS server, you'll have
to setup the NIS server as a client as well by running ypbind and adding
the plus-entries to /etc/passwd _halfway_ the password file. The library
functions will ignore all normal entries  after the first NIS entry, and
will get the rest of the info through NIS. This way the NIS access rules
are maintained.
#v-
Devo inserire gli utenti 'normali' con le password in chiaro dopo la
seguente riga?
+:*:::::/etc/NoShell 
Non vedo perche' io debba usare le password in chiaro. Se non avessi la
necessita' di utilizzarle, posso omettere la precedente riga?
Spero di essere stato abbastanza chiaro.
Grazie e ciao
-- 
by Luca / ------------------ luca (.) albricci (at) libero (.) it
    \/ /  A Real Newbie
---- \/ -------------------------------- Powered by Debian 2.2 --

 
cerco di tradurre quello che ho capito, ma se sbaglio qualcuno mi corregga:
sei sulla console del server NIS. 
entri come utente normale.
che password usi?
quelle in /etc/passwd (o shadow) oppure quelle in /var/yp/passwd.byname
....???
(possono essere due cose completamente diverse)
Risposta:
se NON metti la riga +::::: in /etc/passwd, login per prima cosa legge tutti 
gli utenti in /etc/passwd, se ti trova entri con la password "locale",
altrimenti alla fine del file passwd, se nel file /etc/nsswitch.conf hai
messo nis tra i percorsi di ricerca della password, cerca nel database di
nis il tuo login/password.
se invece metti la riga +::: da qualche parte, login guarda subito il
database nis prima del database locale (/etc/passwd)
(subito nel senso, appena raggiunge la riga +::::)
Quindi se usi le regole di accesso che nis mette a disposizione con i suoi
files di config migliori la sicurezza del sistema.
Questo in teoria, e per quel che ho capito, ma confesso di non avere le
idee sufficientemente chiare su come funziona NIS. (e sui buchi di
sicurezza di nis)
-- 
Pa.Ped, Como
http://www.fastflow.it/~paolop
ICQ: 4755831
VOTE AGAINST SPAM! 
http://www.politik-digital.de/spam/it/
Contro i brevetti software: 
http://petition.eurolinux.org/index_html

 sicurezza di nis)
 
Ti ringrazio
Ciao


 decriptarle, o no?
no, guarda: (e qui mi contraddico...)
paolop$ ypcat -x
Use "ethers"    for map "ethers.byname"
Use "aliases"   for map "mail.aliases"
Use "services"  for map "services.byname"
Use "protocols" for map "protocols.bynumber"
Use "hosts"     for map "hosts.byname"
Use "networks"  for map "networks.byaddr"
Use "group"     for map "group.byname"
Use "passwd"    for map "passwd.byname"
paolop$ ypcat passwd
paolop$ ypcat group
niente, non si vede niente.
Ora proviamo da root:
/root# ypcat passwd
paolop:x:1000:1000:paolo pedaletti,,,:/home/paolop:/bin/bash
junkbust:x:102:65534::/etc/junkbuster:/bin/false
nobody:x:65534:65534:nobody:/home:/bin/sh
postfix:x:101:101::/var/spool/postfix:/bin/false
gdm:x:100:103:Gnome Display Manager:/var/lib/gdm:/bin/false
/root# ypcat group
paolop:x:1000:
users:x:100:paolop
postfix:x:101:
gdm:x:103:
nogroup:x:65534:
postdrop:x:102:
quindi nessun problema di sicurezza perche' le password non sono in
/etc/passwd (file esportato verso nis quando fai make in /var/yp) ma sono
in /etc/shadow (file NON esportato di defaults)
Quello che intendevo dire io era che se riesci a recuperare info di questo
tipo:
cat /etc/shadow | grep paolop
paolop:HX_$@&^..duKg:11360:0:99999:7:::
allora puoi tentare un attacco alla password con i vari programmi che trovi
in giro....
Ma se non esporti /etc/shadow non ci sono problemi.
a parte il fatto che dentro shadow oltre alla password crittografata ci
sono info riguardanti la durata temporale della password + altre info
utili...
-- 
Pa.Ped, Como
http://www.fastflow.it/~paolop
ICQ: 4755831
VOTE AGAINST SPAM! 
http://www.politik-digital.de/spam/it/
Contro i brevetti software: 
http://petition.eurolinux.org/index_html
Appunti Linux, FAQ, HOWTO e altro:
file://usr/doc/HOWTO
file://usr/doc/FAQ
Pluto Journal:     
http://www.pluto.linux.it/journal
Linux Gazette:     
http://www.linuxgazette.com
Linux Weekly News: 
http://lwn.net
LinuxDoc:          
http://www.linuxdoc.org
(info|news).ita: 
http://www.punto-informatico.it
http://erlug.linux.it/
http://www.ziobudda.net/
Ricerca NEWS: 
http://www.deja.com
IRC: #linux-it