Newsgroup: it.comp.os.linux.sys
Titolo: Legge sicurezza e Samba

Ciao,
ho cercato in rete e mi pare di capire che l'unica maniera di ottenere con 
Samba il cambio forzato della password dopo n mesi sia Samba 3.0 + LDAP, è 
esatto? Qualcuno si sta già uniformando?
Ciao
Stefano



Se è esatto non lo so, visto che ancora non ci ho messo mano, ma su una
mail su 
sikurezza.org
 Sorce parlava della possibilità far onorare a samba
le restrizioni di pam (genericamente..). Ti consiglio di dare una
spulciata all'archivio e indagare oltre...



ma puoi fare anche un paio di script. Io l'ho pensato così:
ogni sei mesi fai girre uno script che si prende le passowrd criptate
nell'smbpasswd e le copia da una parte. Subito dopo parte una email a
tutti gli utenti del tipo "ricordiamo che per la legge tal dei tali si
deve procedere al cambio della password. Fatelo entro una settimana o vi
disabilitiamo l'account".
Dopo una settimana prte un secondo script che fa un diff tra il nuovo
smbpasswd e il vecchio e disabilita tutti gli account che hanno la
password immutta.
conditio sine qua non per riattivare l'utente è il cambio della password
e una ramanzina da parte del sistemista.

 writes:
OC> .... ogni sei mesi fai girre uno script che si prende le passowrd
OC> criptate nell'smbpasswd e le copia da una parte. ....
Sia  in smbpasswd  che in  tdbsam c'e`  l'ultimo campo  che ha  la forma
"LCT-########" dove "########" e`  un numero esadecimale che rappresenta
la data  dell'ultima modifica  all'account (LCT =  Last Change  Time) in
secondi dal 1/1/1970, 00:00 UTC.
Lo si puo` usare per determinare l'ultima volta che e` stata cambiata la
password  (anche  se  potrebbe  venir modificato  anche  [dis]abilitando
l'utente,  ma non ho  controllato), e  procedere quindi  all'invio delle
lettere... minatorie :-), ecc.
Con qualche riga di Perl messa in crontab, dovrebbe funzionare.
OC> conditio sine qua non per riattivare l'utente è il cambio della
OC> password e una ramanzina da parte del sistemista.
Tanto gli utenti non faranno altro che mandare a quel paese sistemisti &
Co.,  e   continueranno  a  riutilizzare  le  solite   due  password  in
alternanza, rendendole per giunta ancora piu` semplici per non dover far
fatica a ricordarle, col  risultato che la sicurezza diminuira` anziche'
aumentare...
Ovviamente uno  allora pensa ad  un sistema di "history"  delle password
usate (sempre che  sia possibile in samba/LDAP/ecc.) e  ad un meccanismo
di  controllo affinche' non  siano troppo  semplici, ottenendo  cosi` il
premio di "Impiegato Piu` Odiato  Della Ditta, Perfino Piu` Del Capo". E
nessun aumento di stipendio, naturalmente...
Saluti,
Luca Polo.
-- 
Luca...@gest.unipd.it
 --- 
http://www.gest.unipd.it/~jake
----------------------------------------------------------
One Ping to rule them all. One Ping to find them.
One Ping to bring down them all.
And in the darkness crash them.         [The Lord of the Pings]

 
Veramente la legge parla di passowrd di almeno 8 caratteri, contenenti sia
lettere che numeri...e qui come si farà? V

 spulciata all'archivio e indagare oltre...
Ti riferisci a questo post?
http://www.sikurezza.org/ml/04_04/msg00310.html
Praticamente dice che si *potrebbe* con un modulo scritto ad hoc...

 lettere che numeri...e qui come si farà? V
io gliela farei cambia via web, così con una paginetta in php fai tutti i
controlli che vuoi

 aumentare...
sì sì!
porca miseria, siccome lo scarparo ha sempre le scarpe rotte, dopo 5 anni
che me lo ripromettevo ho finalmente trovato il tempo di mettere su una
rete come dio comanda anche nello studio di mio padre. Quando gli ho
spiegato che per fare login deve per forza mettere la password e non va
bene se la mette vuota o preme annulla perché col poledit gli ho bloccato
l'accesso in ottemperanza della legge, questo mi fa "vabbé, i primi sei
mesi con una password (il nome), gli altri sei con la seconda (il
cognome), e ogni anno si ripete".
Oh, mi ha lasciato senza parole. Non ci avevo mai pensato. Secondo me
saranno in molti che faranno così......
Ci ho messo un pomeriggio a spiegargli che le password non devono essere
banali.....

 Praticamente dice che si *potrebbe* con un modulo scritto ad hoc...
Hmmm... veramente ricordavo questo:
http://www.sikurezza.org/ml/02_04/msg00225.html