Newsgroup: it.comp.os.linux.sys
Titolo: Autenticazione windows - risolto.

Credits: AlbertoEMME
http://support.microsoft.com/kb/906305/en-us
"Microsoft Windows Server 2003 Service Pack 1 (SP1) modifies NTLM network 
authentication behavior. After you install Windows Server 2003 SP1, domain 
users can use their old password to access the network for one hour after 
the password is changed. Existing components that are designed to use 
Kerberos for authentication are not affected by this change."
Ogni commento è superfluo, vero?

whiplash ha scritto:

Bella feature <g>

whiplash ha scritto:

Aspetta che traduco.
Io ti frego la password.
Tu te ne accorgi, la cambi al volo, e io ho un'ora per fare i miei
porci comodi?
Mica male, come livello di security.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Mica male, come livello di security.
Beh, però posso creare una voce di registro al'uopo, per
portare a zero il periodo di tempo.
ROTFL, che sagomacce.
Tutto l'articolo della KB merita di essere letto, BTW: comicità
pura.

whiplash ha scritto:

Scusa{,te}, per sbaglio ho risposto in privato a whiplash e non sul ng.

whiplash ha scritto:

Note This behavior does not cause a security weakness. As long as only 
one user knows both passwords, the user is still securely authenticated 
by using either password.
Zelig.


 Zelig.
Hmmmm... è la prima o la seconda password ?
Bye, G. 

 by using either password.
Mi viene in mente quando qualche volta capita da certi clienti che debbo 
accedere ad un sistema con le credenziali di un determinato utente (talvolta 
amministratore); ovviamente per questioni di sicurezza suggerisco sempre di 
cambiare la password con qualcosa di semplice (pippo123) e di ricambiarla 
appena ho finito e me ne vado.
Con questa bella feature avrei un'ora di tempo per farmi i cazzi miei con un 
utente altrui senza poter essere "accusato" di nulla... simpatico :)
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Zelig.
Vale a dire: puoi lasciare tranquillamente la tua macchina con le chiavi
inserite, le carte di credito sul sedile, telefonini vari accesi e
sbloccati, i codici di accesso alla tua banca.
In questo modo non rischi alcun furto, almeno fintanto che ti ricordi di
chiudere la macchina nel box e di usare una porta blindata a protezione.
PSK


Del resto anche con i modem: tu puoi dire di non attivare il protocollo
di condivisione file e cartelle su alcune interfacce di rete, ma di
default è attivo tutto su tutto (e Sasser e compagnia bella hanno
ringraziato).
PSK

Paperino ha scritto:

Entrambe.
Nel dorato mondo di quel genio, l'unico caso in cui si cambia la
password è per il normale avvicendamento, perciò le due password le
conosce solo l'utente in questione, il che non ingenera nessun
problema di security.


 
utopia... al massimo l'utonto se ne ricorda una, e spesso manco quella.
che se ne ricordi due è pura FOLLIA



mmhh.... hai presenti le reti 802.1x, i server radius against ldap, le 
miriadi di applicazioni che possono sfruttare l'autenticazione LDAP, 
eccetera, eccetera?
A me pare chiara la ragione per cui è stata introdotta questa 
"feature".... e te lo avevo scritto nell'altro thread: mi sa di strana 
feature.
In questo modo potrai usare immediatamente tutte le applicazioni.... 
manon è solo questione di comodità.
Io stesso ho avuto il problema con la rete dot1x e non sono più riuscito 
a fare login su linux e ho dovuto fare un rollback della configurazione. 
Se avessi avuto la possibilità di usufruire di questa "strana" feature 
non avrei avuto quel problema.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

 :)
Sarà anche simpatico ... ma, sempre sulla stessa scia di queste seghe 
mentali, il workaround di cambiare la password due volte di fila immagino 
che dovrebbe funzionare.
password_segreta --> pippo123 --> pippo1234 --> password_supersegreta
mo' che fai?




soluzione = cambiare password due volte di fila.
la feature, in se, non è malvagia.


 "feature"...
Cazzate.
Una feature del genere, per essere seria, dovrebbe prevedere una
voce di registro esistente di default e, sempre di default, settata
a zero.

 password_segreta --> pippo123 --> pippo1234 --> password_supersegreta
Ti sfugge il dettaglio che una "feature" del genere andrebbe documentata
a caratteri cubitali, inserita ed evidenziata 20 volte negli strumenti
di amministrazione di AD e comunque disabilitata di default.



Su questo sono d'accordissimo, in quanto questa feature ha senso solo in 
ambienti particolarmente complessi. Anche nel caso di più AD server (che 
è una caso molto comune) ritengo questa feature inutile.
come dici tu:
-> deve essere documentata.
-> deve poter essere attivata solo se la si vuole veramente.
come dico io:
-> il fatto che esista questa possibilità non dispiace.... peccato che 
sia stata imposta.
D'altra parte *ATTENZIONE*: in certi ambienti (me ne ricordo uno in 
particolare) tutte le applicazioni richiedono un tempo lunghissimo per 
sincronizzarsi. Quindi, IN PRATICA, il problema di zipman si ripropone 
anche in quel caso:
pippo cambia la password, ma in realtà tu sei in grado entrare nelle 
applicazioni usando sempre la vecchia password....


Francesco Paolini ha scritto:

Ehi, parliamo dell'ora immediatamente successiva al cambio password.
Fino lì ci arrivano anche i *MIEI* utenti.


 a zero.
Una feature del genere per essere seria non dovrebbe esistere. Sono degli 
accrocchi fatti per far funzionare applicazioni scritte con il culo.
E' che in M$ ovviamente devono perseguire la compatibilità con tutto a tutti 
i costi ed il risultato è l'introduzione di merdate come questa. Non le 
introducessero probabilmente molte applicazioni verrebbero adattate 
all'utilizzo di protocolli di autenticazione seri come Kerberos al posto del 
  LM ancora in circolazione e attivo di default quasi ovunque.


   LM ancora in circolazione e attivo di default quasi ovunque.
THe CpiOMaN,
(lo dico tanto che me frega) in Sun, avevamo la feature al contrario. 
Cambiavamo la password, ma veniva replicata su tutte le applicazioni in 
giro in un tempo non specificato.
Ergo - citando il tuo esempio nell'altro messaggio - chiunque poteva 
connettersi alle applicazioni durante quel periodo di tempo con la 
password "pippo123"...
Quindi, cui prodest non avere questa feature cambia?


 mo' che fai?
Ci sono policy di dominio che vietano il cambio password più di X volte
in Y tempo.
Enrico

 Fino lì ci arrivano anche i *MIEI* utenti.
Sei fortunato. Uno dei miei si è /scordato/ di cambiare la pwd dell'e-mail
alla scadenza (nota: viene avvisato due settimane prima della scadenza,
poi la settimana prima, poi gli ultimi tre giorni una volta al giorno), ed è
venuto da me per farsela resettare.
Ok, l'ho cambiata io con una temporanea, e gliel'ho comunicata
dicendogli di cambiarla immediatamente.
Il tempo di tornare alla sua scrivania e se l'era scordata :-(.
Bye, G. 

 Il tempo di tornare alla sua scrivania e se l'era scordata :-(.
Le password non si comunicano a voce.
Io le faccio cambiare dal vivo, dalla mia tastiera, in quei casi.


 dalla mia tastiera, in quei casi.
Io - per essere ancora più aderente ai requisiti di sicurezza - faccio 
comunicare la password a voce a una terza persona.
Di questa persona, ovviamente, mi occuperò io stesso e la uccido non 
appena espleta il suo incarico.
E' buona norma far ritrovare questa persona con un pietra in bocca, in 
puro stile mafioso. In questo modo, chi ritroverà il suo corpo capirà 
subito che quella persona sapeva cose che non avrebbe mai dovuto sapere.

 Io le faccio cambiare dal vivo, dalla mia tastiera, in quei casi.
Ma, guarda:
A) Della *mia* tastiera non sanno se si possono fidare.
    (Hint: "no" >:-] )
B) Sulla *mia* tastiera non ci mette le mani *nessuno*,
    perlomeno nessuno che tenga al suo account.
    No, neanche per scrivere una singola parola.
C) Probabilmente gli darebbe fastidio la collana voodoo
    di mani e dita essiccate che c'è appesa intorno al monitor.
D) Se io mi alzo e mi allontano anche solo di un metro il mio
    PC si blocca (TX PCLock. Me l'hanno regalato, è carino :-))
Bye, G.