Newsgroup: it.comp.os.linux.iniziare
Titolo: permessi

Salve,
grazie a Linux ho capito che c'è la possibilità che qualcuno potrebbe 
scrivere nelle mie cartelle o modificare i miei files se i permessi sono 
777.Windows invece dà per la maggiorparte  dei files e cartelle di 
default permessi 777 , di questo avrebbero dovuto avvisarmi quando lo 
usavo.Francamente però mi domando se effettivamente ci potrebbe essere 
qualcuno interessato a scrivere nelle mie cartelle o modificare i miei 
files.Mah!Poi il fatto che le password che si digitano nella shell non 
si vedono mi ha fatto riflettere sul fatto che qualcuno potrebbe 
scoprire le mie password in base alla lunghezza ma mi domando se 
effettivamente ci potrebbe essere qualcuno interessato alle mie 
password. Mah!
SAluti


Mah!
r
-- 
Hare hare supermarket !
Hare hare supermarket !
[Daevid Allen: Other Side of the Sky]
Ramapage: 
http://umpf.net/

 password. Mah!
dipende quello che ci tieni nel computer ...
mah ...
ciao ...
-- 
Never try to teach a pig to sing.
It wastes your time and annoys the pig.

 scoprire le mie password in base alla lunghezza
non ha senso... la lunghezza può indicare appunto quanto una password
è lunga, non di certo portare a scoprirla.
--
Ciao
Mattia

 password. Mah!
Dicono tutti così... e forse è questo il motivo del fatto che esistono
milioni di PC zombie sparsi per il mondo che fanno gli interessi di
organizzazioni criminali...

 
Veramente? Ma come si fa a sapere se il proprio pc è un pc zombie? Mi 
puoi consigliare qualcosa da leggere sul problema della sicurezza? Nelle 
8962 pagine degli appunti di informatica libera che ho scaricato ieri 
c'è qualcosa in proposito?Anzi a proposito c'è da qualche parte un 
riassuntino delle 8962 pagine degli appunti di informatica con i 
concetti basilari che non superi le 20 pagine?
Saluti

 Mattia
Ciao

 
Si ma io non ci tengo niente di rilevante da un punto di vista economico
per cui sarei lieto di impostare i permessi globalmente su 777. Come si fa ?

 concetti basilari che non superi le 20 pagine?
hai visto nel sito Gnutenberg? ci sono diversi manuali;
altri spunti li trovi nel msg con le FAQ e in Google;
ma la base è Appunti, nat. non è che devi metterti a studiare le 9000 
pagine, trattalo come un'enciclopedia: di volta in volta consulti la 
voce che ti serve;
r
-- 
sicuro di essere nel news group giusto?
forse nella gerarchia 
free.it
 c'è quello che fa per te
Ramapage: 
http://umpf.net/

 Mattia
Luca

 digita? 
è una sicurezza in più: se si conosce la lunghezza della pass si 
diminuisce il numero di tentativi necessari per sfondarla;
mi sembra che volendo si possano visualizzare gli asterischi;
in ogni caso dubito che per un uso desktop abbia importanza, tranne che 
non si abbia dei Giuda per amici -il che, ripensandoci, non è poi così 
peregrino;


 fa ?
non hai afferrato: molti vilain se ne fregano dei tuoi porno, gli 
interessa prendere il controllo della tua macchina;
per farne un nodo di spam, per servirsene per attaccare server della 
CIA, per depositarvi e distribuire materiale pedopornografico ecc...
poi vai a spiegare che non ne sapevi nulla;


 per cui sarei lieto di impostare i permessi globalmente su 777. Come si fa ?
a parte che non e' un fatto di cose economiche o no, il
discorso e' che se io sono utente e lancio uno script o
programma che non conosco, sono SICURO al 99% che quel
programma NON mi va a mettere qualcosa negli script
di boot o nelle librerie di sistema ... e da qui il
concetto che per linux "non esistono virus" ...
esistono rootkit & co., ma sicuramente sono piu'
difficili da far passare, se uno usa il computer
correttamente ... cioe' navigazione internet e
lancio programmi "personali" da utente, installazione
e amministrazione di sistema da root, scaricando i 
programmi dai siti 'ufficiali" e tenendosi informato
degli eventuali bug e degli eventuali daemon lanciati
dopo l'installazione, e delle eventuali porte aperte ...
comunque ... da root
# find / -type d -exec chmod 0777 {} \;
ci mettera' un po' di tempo ...
se al riavvio ti ritrovi i permessi come prima, devi vedere se
qualche script di avvio non ripristina i permessi "corretti" e
agire sugli script ...
ciao ... good luck ;-))



Piccola precisazione:
777 significa che chiunque può leggere, scrivere ed eseguire.
I file, a meno che non siano veramente degli script eseguibili o dei
binari eseguibili, dovrebbero stare in modalità "inferno", ossia avere i
permessi 666
Ad ogni modo, per fare un lavoro simile dovresti con chmod aggiungere i
permessi di read e write a tutto.
# chmod -R ugo+rw *
Occhio ad una cosa: alcuni programmi *necessitano* permessi specifici
sui propri files, oppure si rifiutano di partire o di funzionare (per
ovvi problemi di sicurezza).
Quindi creare l'inferno sul tuo sistema può rendere il sistema non
funzionante in qualche sua parte.
Inoltre molti programmi creano (giustamente) i propri file (che siano di
log, impostazioni o generici) con maschere diverse da 666 (magari un 600
o 644 o ancora 660) appunto per questioni di sicurezza.
Ma se sei solo tu ad utilizzare il computer, non ti conviene impostare
sudo per non chiederti la password e vivi tranquillo invece che
rischiare di rendere il sistema inutilizzabile e dover inseguire
impostazioni varie di programmi per farli lavorare in condizioni estreme?
(tanto per fare l'avvocato del diavolo :-) )
Luca

 
grazie delle informazioni.non pensavo che si potesse addirittura fare 
tanto.In pratica se qualcuno ha dei nemici in rete ti può fregare in 
questo modo.Bisognerebbe informare la gente che esiste questa 
possibilità, così sarebbero incoraggiati ad usare sistemi più sicuri 
come Linux.Tanto per incominciare ho installato chkrootkit che non ha 
trovato niente.Poi su gnutenberg ho trovato il pdf "Linux e i virus" di 
poche pagine che leggerò per intero.
Saluti

 possibilità,  
be', gli allarmi si lanciano, ad es. non so quale associazione 
statunitense insiste sui *milioni* di computer-zombie esistenti;
certo ci si impegnasse di più su questo invece di perseguitare i 
giovinotti che scaricano mp3 le cose sarebbero diverse;
r
-- 
Dites, qu'avez-vous vu?
[Fleurs du mal, CXXVI]
tutto sui Pentangle: 
http://umpf.net/

 notevolmente.
Mi sembrava ovvio, ma grazie comunque per aver approfondito il
problema che potrebbe essere utile per gli utenti alle prime armi. Per
questo vale sempre il buon consiglio di non usare parole di
dizionario, metterci numeri e punteggiatura ed usare una password
abbastanza lunga. In questo caso conoscerne la lunghezza da un
vantaggio limitato. Una password come "iColi;92x:", anche sapendo che
è lunga 10 caratteri, con la potenza attuale richiederebbe qualche
millennio per essere decifrata. In ogni caso chiunque abbia sotto mano
il pc non ha limiti su cosa possa fare, qualunque password si scelga.
L'unico modo che abbiamo per salvare i nostri dati è cifrarli,
possibilmente cifrando l'intero sistema.
--
Ciao
Mattia

 Veramente? Ma come si fa a sapere se il proprio pc è un pc zombie?
E' difficile. Se sul pc arriva un rootkit questo potrebbe prenderne il
controllo e rendere inoffensivi i tool di verifica (come per i virus
in Windows, che tentano di disattivare gli antivirus). Potresti però
analizzare il disco con un sistema live (un po' come prendere il disco
infetto e farlo controllare dall'antivirus su di un altro pc). Se il
tuo pc è dietro un firewall potresti chiudere le porte in uscita e
controllare i log per vedere se il tuo pc sta tentando di inviare dati
verso l'esterno. La prevenzione, comunque, è la miglior difesa. Usa un
firewall restrittivo, imposta permessi limitati (mai usare root come
utente principale), installa software solo da risorse affidabili e
controlla che il software provenga realmente da loro. Nella
maggioranza dei casi i pc Windows zombie sono stati infettati
dall'installazione di programmini simpatici (hai presente quelli che
ti mettono una farfallina che segue il mouse ecc?) o tramite programmi
craccati (ed infarciti di malware). In Linux quest'ultimo problema è
meno sentito (attenzione non è inesistente) per due ragioni :
1. la maggioranza del software è libero, quindi il codice è aperto e
di conseguenza molto controllabile. Non c'è bisogno di craccare nulla
perché non ci sono chiavi di attivazione o altro che ti impedisce di
sfruttarli appieno.
2. il software viene prelevato da repository controllati ed
affidabili.
--
Ciao
Mattia

 qualcosa come root !!
potresti provare di persona, o documentarti, prima di lanciarti in
affermazioni insensate.
--
Ciao
Mattia

 cifrarli,  
Ed anche qui non sono d'accordo; sarebbe piu' giusto dire 
che se vogliamo salvaguardare i nostri dati la seconda cosa
da fare e` cifrarli *con* *un* *sistema* *sicuro* perche` 
la prima e` custodirli con cura.

 automatico di password.
Interessante, anche perché colpisci alcuni dei più diffusi
suggerimenti che si trovano in giro riguardo la scelta della password
ed aggiungi raccomandazioni che non si trovano in giro. Ad esempio una
di queste è di utilizzare sia maiuscole sia minuscole. Hai qualche
link da suggerire?
--
Ciao
Mattia

 affermazioni insensate.
mi sono rifatto a quello che ha detto 'none' ... se mi dice
che per essere root basta leggere la documentazione, mi
viene in mente che non ci sia preimpostata una password
di root !
ciao ...


 nelle altre, sei root e POI ti crei l'utente aggiuntivo ...
E' inesatto. In Ubuntu, come in qualunque distribuzione Linux,
l'utente root esiste. In Ubuntu per ragioni di sicurezza è
disabilitato il login con root e si spinge l'utente ad usare il
comando sudo per impartire comandi che necessitano di tali privilegi.
Questo previene, ad esempio, che un utente apra una console, e diventi
root con "su" solo perché tra i 20 comandi che deve dare ce n'è uno
che può eseguire solo come root.
Comunque dando "sudo su" si diventa root e da li si può riabilitare il
login semplicemente impostando la password di root.
--
Ciao
Mattia

 comando sudo per impartire comandi che necessitano di tali privilegi.
si ... ma alla prima istallazione, quando dai 'sudo' NON ti chiede la
password di root ... o no ??


 password di root ... o no ??
ti chiede quella di utente, non so se una volta attivato root con passwd 
ti chieda la pass di root, ma non credo, lo farà se dài su o kdesu, penso;
è questo che mi perplime: capirei se consigliassero di impostare sudo 
per pochi comandi, ma così in pratica l'utente è root;
r
-- 
non studio non lavoro non guardo la tv
non vado al cinema non faccio sport
[CCCP - fedeli alla linea]
Ramapage: 
http://umpf.net/

 Hai qualche link da suggerire? 
http://sourceforge.net/projects/pwgen/
http://www.debianadmin.com/automated-password-generator-in-debian.html
http://www.go4expert.com/forums/showthread.php?t=4804
http://linux.die.net/man/1/mkpasswd
...

 Hai qualche link da suggerire? 
http://sourceforge.net/projects/pwgen/
http://www.debianadmin.com/automated-password-generator-in-debian.html
http://www.go4expert.com/forums/showthread.php?t=4804
http://linux.die.net/man/1/mkpasswd
 
...
PS per l'ultimo link, attenti a non prendere la versione bacata.

 password di root
anche dopo la prima installazione... č una delle cose inutili di ubuntu
(l'altra č gnome).
bye, giubbe

 mi sembra che volendo si possano visualizzare gli asterischi;
vero, basta modificare il login. 
bye, giubbe

 per pochi comandi, ma così in pratica l'utente è root;
Esatto, è una distribuzione concepita, ritengo, per un uso desktop 
fondamentalmente monoutente e in questo modo si evita che poi, specie 
per chi proviene da ambienti Win, ci si logghi sempre e comunque come root.
Niente vieta di attivare la password di root e mettere sotto controllo i 
sudoers...
-- 
Fa freddo nello scriptorium, il pollice mi duole. Lascio questa 
scrittura, non so per chi, non so più intorno a che cosa...
U. Eco

 per chi proviene da ambienti Win, ci si logghi sempre e comunque come root.
finalmente un motivo comprensibile, finora ho sentito argomentazioni 
strambe;
ma non credo sarebbe tanto complicato per chiunque afferrare i concetti 
di root e utente, inoltre in KDE per molti tool c'è il pulsante Modalità 
amministratore che mi sembra autoesplicativa;
r
-- 
Hare hare supermarket !
Hare hare supermarket !
[Daevid Allen: Other Side of the Sky]
Ramapage: 
http://umpf.net/

 controllo i sudoers...
Vero , come nulla ti vieta di usare *altra-distro* e lasciare le *buntu a
chi non ha voglia/tempo di imparare almeno le basi di un sistema *NIX
-- 
2.6.25 

 Quindi ti tratta come un cretino esattamente come windows ?
be' visto il successo di Win e di Ubuntu direi che è una strategia 
vincente, mo' la suggerisco a Pat;


 chi non ha voglia/tempo di imparare almeno le basi di un sistema *NIX
Beh io la uso insiema ad altre e mi piace. Dove'è il problema? Cerca di 
non essere cosi rigido nei tuoi interventi.


 considerando tutte le possibili password lunghe da 1 a 7 caratteri ...
No, direi che il vantaggio non è grande.
Consideriamo anche solo le password composte da lettere maiuscole o
minuscole o cifre (26*2+10=62 caratteri disponibili). Con n caratteri
le combinazioni sono 62 volte superiori a quelle con (n-1), 62^2
volte superiori a quelle con (n-2), 62^3 volte superiori a quelle con
(n-3) etc.
Il vantaggio grosso IMHO è quello di sapere prima, in base alla
lunghezza della password, se l'attacco ha qualche chance o no. E
quindi tentarlo, o passare ad altro.
-- 
Bye, Lem
Ceterum censeo ISLAM esse delendum
__________________________________
Combatti l'AIDS col tuo computer: 
http://fightaidsathome.scripps.edu/

 4) Le rainbow table
Ma le password unix non sono salt-ate adeguatamente?


 Ma le password unix non sono salt-ate adeguatamente?
Io direi "sono salate adeguatamente" ma il discorso era 
sulla scelta di una password debole in ogni situazione 
dove necessitano password.
Comunque anche se la salatura delle password rende non 
conveniente l'attacco a dizionario, non vuol dire che
si possano adottare password deboli.

 si possano adottare password deboli.
Giustissimo, poffarbacco! :)


 Mi convinco di piu` che questo thread e` trolleggio.
Ti assicuro che non è mia intenzione. Grazie per i link.
--
Ciao
Mattia

 
http://linux.die.net/man/1/mkpasswd
I link sono utili, e ti ringrazio ancora. Se tu avessi però qualche
suggerimento anche su dove trovare materiale affidabile riguardo la
teoria mi farebbe piacere, visto che ho avuto poche letture e di
scarsa qualità e che non ho capito un cavolo così potresti aiutarmi a
rimediare.
--
Ciao
Mattia

 teoria mi farebbe piacere,
http://williamstallings.com/Crypto/Crypto4e.html



grazie.
--
Ciao
Mattia

 quindi tentarlo, o passare ad altro.
Beh, già questo è un grande vantaggio.
Come pure quello di poter selezionare un dizionario composto solo da
parole (o stringhe, più in generale) di lunghezza specifica.
Poi va da sè che un attacco a forza bruta con già 8 caratteri prende
veramente tanto tempo e quindi è difficile che venga tentato.
Comunque vorrei aggiungere un'altra cosa circa le falle di sicurezza
relative ai login: la comunicazione degli errori.
Alcuni sistemi hanno il difetto di informare l'utente sulle cause della
fallita autenticazione con troppa precisione.
Distinguere tra "Utente non esistente" e "Password errata" fornisce una
informazione che permette all'intruso di sapere che quello username è
utilizzabile per entrare e concentrare quindi gli sforzi su quello.
Un sistema che non comunichi questa distinzione è un po' più protetto
poiché l'intruso non ha informazioni per sapere se ad essere errata è la
password o il nome utente e quindi deve raddoppiare lo sforzo per entrare.
Luca

 Ti assicuro che non è mia intenzione. Grazie per i link.
Forse mi hai frainteso; credo sia chiaro che chi ha iniziato 
il post e` il maggior indiziato. 
O forse ho esagerato un poco?

 O forse ho esagerato un poco?
Credo di si. C'è molta confusione sull'argomento ed una persona anche
non proprio a digiuno di informatica potrebbe essersi fatto false
certezze nel tempo, alimentate da siti non proprio adeguati. Non è che
tutti si studino un libro di crittografia prima di scegliere la
password. E' probabile che la maggior parte si affidi ai suggerimenti
che trova nei luoghi più comuni (negli stessi portali dove si crea un
account email, ad esempio). Ho visto molte password, scelte anche da
persone in gamba e per server esposti ad internet, che a quanto ho
appreso adesso sono molto deboli.
--
Ciao
Mattia

 password di root ... o no ??
francamente credo che sull'argomento si faccia tanto baccano per
nulla. Quando installi Ubuntu ti viene chiesta la password
dell'utente, come già detto. Quando imposti la password di root non
cambia nulla se non il fatto che puoi fare il login come root da gdm o
da una console. Di default l'utente principale fa parte del gruppo
administrator. Questo significa che è abilitato ad eseguire i comandi
con i privilegi di root tramite il comando sudo. Dare il comando "sudo
su" ha lo stesso effetto che dare "su". Non capisco lo scalpore di
questa scelta in un ambiente desktop. Su di un server il sistemista
può modificare questo comportamento a proprio piacimento, senza troppe
difficoltà, lo si fa in cinque minuti. Non credo sia questa una buona
ragione per bandire Ubuntu come distribuzione. Mi sembra in ogni caso
una buona idea che il sistemista usi un utente normale ed il comando
sudo per eseguire come root i soli comandi che lo richiedano.
--
Ciao
Mattia

 ...
Questo e` un punto da tenere in considerazione.
Occhio a chi ti sta dietro ;)

 sudo per eseguire come root i soli comandi che lo richiedano. 
solo che l'utente creato in fase d'installazione può dare tutti i 
comandi che vuole, basta premettere sudo;
r
-- 
free minds free bodies free dope free music
[Blows against the Empire]
tutto sui Pentangle: 
http://umpf.net/

 comandi che vuole, basta premettere sudo;
infatti. Come potrebbe fare su di una qualunque distribuzione
utilizzando su. Con la differenza che così anziché limitare i comandi
eseguiti come root ai soli necessari li esegue tutti così, aumentando
il rischio di fare danni per un utente sbadato o poco conscio di
quello che sta facendo.
--
Ciao
Mattia

 quello che sta facendo. 
mah, non vedo molta differenza tra
su
pass
distruggi il sistema
e
sudo distruggi il sistema
pass
forse nel primo caso c'è un secondo in più per rendersi conto di stare 
per fare una cazzata;
diverso sarebbe un uso oculato di sudo ma a quel punto il niubbo non 
sarebbe più tale e quindi i rischi di su diminuirebbero di molto;
r
-- 
Sulla tosticita' della Slackware ovvero Quale distro?
distribuzioni sedicenti amichevoli e realmente tali:
http://www.umpf.net/ramapage/

 distruggi il sistema
c'è invece.
1. su -
2. comando non rischioso 1
3. comando non rischioso 2
4. comando rischioso che richiede diritti di root
5. comando rischioso
6. comando rischioso che richiede diritti di root
L'utente esegue tre comandi rischiosi come root che potrebbero
danneggiare il sistema
1. comando non rischioso 1
2. comando non rischioso 2
3. sudo comando rischioso che richiede diritti di root
4. comando rischioso
5. sudo comando rischioso che richiede diritti di root
L'utente esegue due soli comando rischioso come utente root. Se
sbaglia il comando 4 non crea grossi danni.
E' un po' l'equivalente di:
comando non rischioso 1
comando non rischioso 2
su
comando rischioso  che richiede diritti di root
exit
comando rischioso
su
comando rischioso che richiede diritti di root
exit
Poi possiamo stare qui a discutere all'infinito, ognuno usa quello che
gli pare.
--
Ciao
Mattia

 è lunga, non di certo portare a scoprirla.
La lunghezza della password dà delle indicazioni utili in base all'attacco che
si vuole effettuare. In crittografia solo gli algoritmi *devono* essere
pubblici, per il resto meno si sa e meglio è.
-- 
      Daniele Giglio      Dona i tuoi cicli di clock alla ricerca!
      email in ROT13      
http://boinc.berkeley.edu/
 
qtv...@vby.vg
                          --------------------
"Quando si ama davvero, le parole non servono", disse il pesciolino alla
pesciolina.
		-- Da it.hobby.umorismo

 gli pare.
ci mancherebbe, cercavo solo di chiarire quali sono, per me, i difetti 
del sudare ubuntesco;
r
-- 
That is not it at all,
That is not what I meant, at all.
[The Love Song of J. Alfred Prufrock]


 del sudare ubuntesco;
ok, è solo che ogni tanto quando si leggono gli attacchi contro Ubuntu
sembra il contrario.
--
Ciao
Mattia

 ed utenti può anche essere meno evidente, ma è un buon compromesso
fermo restando quello che ha detto Rama, e' proprio il
compromesso che non ci torna ...
scusami, ma noi utenti slackware siamo fatti cosi' ;-))
nessuna "presunzione" ... pero' una discussione ce lo
devi permettere di farla ;-))
ciao ...
PS
quando amministro linux/freebsd penso che impazzirei se
non fossi SEMPRE root/toor !!
-- 
Never try to teach a pig to sing.
It wastes your time and annoys the pig.