Newsgroup: it.comp.macintosh
Titolo: far passare radice

Salve,
ho impostato la password di root da Netinfo, tutto ok.
Se però provo a cambiarla da Terminale* ottengo una cosa strana:
salvo$ sudo passwd root
password: <**>
Changing password for root.
New password:   <****>
Retype new password:    <****>
Changing password for root.
password for salvo:     <**>
Sorry
ovviamente le password inserite sono giuste (e quella dell'user è
diversa da quella di root.
Perché mi chiede la password salvo e poi la rifiuta anche se giusta?
ciao,
salvo
* non lo faccio da Netinfo, perché questo mi mette la password cifrata e
non mascherata con gli asterischi, e non mi piace (nidump la presenta
diversamente dalle password utente, che hanno gli asterischi).
-- 
#!/usr/bin/perl
print "NeXT tip => /me == (~§alvomi©~ @ddress) - (Alfa kai Omega) \n";

 qualche parte sono sempre conservate. E sono conservate crittate!
certamente, infatti è bene che non si vedano per niente.
Comunque, il mio problema è capire perché non mi funziona quel comando e
mi rifiuta poi la password di amministratore :)
ciao,
Salvo

 questo algoritmo e' ancora abbastanza sicuro.
E' un algoritmo trap-door (si cripta ma non si decripta), tu cripti la
stringa  nulla usando  la  password come  chiave.   La verifica  della
password viene fatta verificando l'identita` degli output.
-- 
 /\            ___
/___/\__|_|\_|__|___Gian Uberto Lauri_____________________
  //--\ | | \|  |   Integralista GNUslamico e fancazzista 
\/

 password viene fatta verificando l'identita` degli output.
Corretto.
Poi però c'è da dire che programmi come "John the Ripper" possono
provare attacchi "brute force", e se la password non è sufficientemente
"random" (lettere, numeri, punteggiatura...) e lunga possono trovarla in
un tempo relativamente breve...
Ho fatto una prova con la versione per Mac:
con password che contengono il nome utente e numeri, tipo 12gianni34 le
trova anche in un paio di minuti; se poi il programma ha un dizionario
esteso...
Per questo sarebbe meglio che nidump in ogni caso mostrasse solo gli
asterischi.
Quei "programmilli" se trovano cose come
gianni:XZFFchUTZ3e2o
o
root:6vQ3nFk5jSqpg
tentano qualcosa.
Poi ci possono volere minuti o secoli, a seconda di com'è effettivamente
la password.
Il che *non* vuol dire affatto che MD5 sia insicuro, anzi, ma solo che
con tenacia e un bel po' di fortuna - se la password è "ingenua" - la
possono ugualmente scoprire.
Ok, saranno paranoie le mie, ma non capisco perché nidump debba mostrare
i dati anche agli utenti normali, e non solo agli amministratori.
Inoltre, qualcuno di voi mi diceva che normalmente si ha root:* e allora
mi chiedo perché da me invece mostra la stringa criptata, e anche se
cambio password a root con Netinfo continua ad essere così.
Grazie a tutti,
ciao
salvo

 non provano mica a decrittare la password.
beh, dai a John qualcosa come 
argo:KJ.5fzXzRG.rY
argos:*
e ti tira fuori
KJ.5fzXzRG.rY:argo5  (ci ha impiegato solo 2 minuti, se la password è
più complessa ci impiega moltissimo, ma non è escluso che non ci riesca,
come dicevo), ignorando la seconda.
Prova una password, la cripta e confronta il risultato con la stringa
che gli si passa. Alla fine l'effetto è lo stesso: ti indovina la
password.
E per farlo deve avere una base: la stringa criptata, degli asterischi
non se ne fa nulla, appunto perché non cerca il file delle shadow
password, ma un qualunque output con le stringhe criptate. questo
dicevo.
ciao,
salvo

 c'e` una trattazione
dell'argomento, a proposito di una vulnerabilità della modalità "singol
user", a suo tempo trattata anche da Apple.
mutando le cose da mutare, il problema è sempre il fatto che nidump
presenta l'hash, e questo puo` essere "trattato" da john the ripper ed
altri, ecc...
ciao,
salvo

 user", a suo tempo trattata anche da Apple.
un insicurezza della modalita` single user e` un'insicurezza da poco.
Se sei in single user, hai le mani sulla macchina.
Se hai le mani sulla macchina, c'e` proprio poco da fare... e comunque
uno potrebbe resettare la password bootando da cd...
-- 
RiK0
 Il sonno del teschio genera troll, e il quoting li manifesta.

 fopen: ./all.chr: No such file or directory
Ma lo usi con il dizionario di default o hai qualcosa di più ricco tipo
il CD che offrono sul sito? :P
-- 
"Imagination is more important than knowledge"
Albert Einstein 
1879-1955 

 uno potrebbe resettare la password bootando da cd...
perfettamente d'accordo, ma il fatto che nidump continui a presentare
l'hash č un po' piů grave: anche chi non mette le mani sulla macchina lo
vede e potrebbe agire di conseguenza.
ciao,
salvo

 il CD che offrono sul sito? :P
per ora con quello di default. Volendo si puň integrare con nomi, parole
comuni, ecc...
Il cd contiene milioni di parole in varie lingue, ma non ce l'ho :)
Ovviamente con combinazioni come qWE34.RT56vWc (in chiaro) non credo ce
la faccia, almeno in tempi ...umani.
Una password come cetty45 me l'ha trovata in poco meno di mezz'ora, una
come 12sunday346 in un'ora, ma una come cre21ti67no ancora no, dopo un
sacco di ore...
ciao,
salvo


e compilato con 
make generic
Tutto qui. Mi pare versione 1.6
Fatemi sapere se fate altre prove.
ciao,
salvo 

 sacco di ore...
Vedi sopra...


 Cosa e' questo file all.chr?
Se scarichi i sorgenti che dice Salvo, lo trovi dentro "John-1.6/run".
-- 
Ve lo meritate Gil Amelio!

 quando le password sono "semplici".
Pių che semplici, quando la password č uguale al nome utente, mi sa. Qui
son venti minuti che gira ciucciandosi il 90% della CPU, ma su 3
password, ha trovato solo quella coincidente col nome utente relativo.


 quando le password sono "semplici".
infatti.
Nei sacri testi sulla sicurezza ci sono interi capitoli che invitato a
non usare password semplici, composte di parole note, che contengano
nomeutente o nameserver, date di nascita, ecc...
Insomma, non si puň mai stare tranquilli.
ciao,
salvo

 password, ha trovato solo quella coincidente col nome utente relativo.
in linea di massima è vero, ma in 70 minuti mi ha trovato una finta
password dell'user concetta: cetty964
Sa mica che il suo diminuitivo è "cetty"?
ciao,
salvo

 Se scarichi i sorgenti che dice Salvo, lo trovi dentro "John-1.6/run".
già, è vero, ecco cosa non sapevo consigliare :)
salvo

 cambio password a root con Netinfo continua ad essere così.
Se non ricordo male  quello che mi ha detto il mio  amico che lavora a
Cupertino, in Mac OS X root parte disabilitato (root:*:0:0...) e nelle
idee  dei  progettisti l'utente  amminsitratore  dovrebbe limitarsi  a
"sudare" :)


 non provano mica a decrittare la password.
No, ma usano  il criptato che trovano per verificare  di aver usato la
chiave  giusta per  criptare  la stringa  di  zeri. Se  quello che  il
programma ottiene  corrisponde a quello  che c'e` nel file  di sistema
allora ha scoperto la password.


 password dell'user concetta: cetty964
Qui dopo 90 minuti sta ancora a caro amico. La password è di 8 lettere,
senza numeri o caratteri speciali.


 Se scarichi i sorgenti che dice Salvo, lo trovi dentro "John-1.6/run".
Ho scaricato questi:
http://www.openwall.com/john/b/john-1.6.37.tar.gz
Li ho compilati con "make generic" ma in /run non trovo nessun file
all.chr :(
Ma poi è strano... se gli faccio analizzare un hash che creo io funge...
se invece provo a fargli analizzare direttamente l'hash (presente nel
file che ho creato io copiando l'orignale file passwd) dell'utente root
no :(


 senza numeri o caratteri speciali.
come sarebbe più giusto sempre.
Si vede che in certi casi "ci azzecca" prima.
ciao,
salvo

 1.6.33
Strano che non abbiano quel file, perň.
ciao,
salvo

 "sudare" :)
approccio corretto. Mi sto convincendo a tenere disabilitato l'utente di
root per quanto possibile, e "sudare" spesso ;-)
ciao,
salvo

 htpasswd -n qualcosa
Ma con htpasswd posso anche creare un hash a piacere o devo per forza
cambiare/creare quello del mio utente?
Il manuale esordisce con "Create and update user authentication
files"... quindi immagino di no. Giusto?


 files"... quindi immagino di no. Giusto?
giusto

 prova cosi' e vedrai che va.
Infatti esatto ora funge... grz!


 come sarebbe piů giusto sempre.
beh, no, numeri e caratteri speciali ci vorrebbero :))


 Qui dopo 90 minuti sta ancora a caro amico.
Alla fine, dopo più di 4 ore, l'ho interrotto: non aveva ancora trovato
una mazza (a parte il caso banale). Meglio così comunque... :-)


 beh, no, numeri e caratteri speciali ci vorrebbero :))
right :)
intendevo dire giusto che ci stia relativamente poco se ci sono solo
lettere e numeri.
salvo

 una mazza (a parte il caso banale). Meglio cosě comunque... :-)
per fare un confronto:
due password del tipo mi23Txh700W non me le ha ancora trovate dopo 10
ore, e in fondo č ok. Solo un aggressore veramente motivato ci
perderebbe piů tempo :-)
ciao,
salvo