Newsgroup: it.comp.sicurezza.unix
Titolo: Boot come single user sotto Red Hat Pericoloso!

Mi sono accorto che, con l'installazione di default della RedHat (almeno
della 6.0 e 6.1) il lilo,(o meglio la modalitą single user) č stata lasciata
senza protezione:
Mi spiego: niente password e shell di root aperta come per magia!
in pratica: al prompt di lilo, uno digita:
linux single
e ... shell di root aperta!
Io ho trovato una pezza: la fornisce lilo stesso fornendo la possibilitą di
impostare una pwd
Il problema č che lilo passa i parametri da riga di comando oltre che al
kernel, anche
al comando init se necessario, quindi, o si obbliga linux a chiedere la
password anche
in modalita' single user (se ci riuscite famtelo sapere! C'entra qualcosa il
file /etc/login/defs ?)
oppure esiste un'opzione appositamente creata nel lilo!
Infatti si puo' impostare lilo affiche' chieda la password al boot nel caso
in cui siano presenti
parametri (single | S | s | 1 | ...).
La parte brutta e' che la password non č quella di root, ma un'altra e alla
fine te la ritrovi scritta
in chiaro in un file (/etc/lilo.conf) che e' ben accessibile solo da root,
ma sarebbe preferibile
che la pwd fosse criptata...
Dunque, in pratica devi editare /etc/lilo.conf ed aggiungere nella sezione
di linux (tipicamente: image=/boot/***)
le seguenti voci:
password=pippo
restricted
in questo modo, se ci sono parametri al boot lui chiede la password che č
pippo.
adesso devi reinstallare lilo lanciandolo al prompt e buona fortuna!
Per ulteriori chiarimenti o semplicemente per rispondere direttamente
togliere _NO_SPAM_
Ciao            Stef



impostare una pwd
e se poi arrivo io con un qualsiasi dischetto di boot per linux?
mmmm mi sa che quando hai accesso fisico alla macchina l'unica cosa
che può funzionare (poco) è una pwd al bios (che poi puoi resettare
comunque piuttosto facilmente alzando il coperchio dello scatolone).
ciao
Jabba
--
 g_farinelli at yahoo punto com
______________________________
c:\> win2000patch001.exe
This Microsoft(c) patch fix all bugs present. All rigth reserved.
Insert Linux boot disk to continue ... loading kernel ...

file /etc/login/defs ?)
No.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 senza protezione:
Tanto se hai accesso fisico alla macchina puoi fare questo ed altro.
-- 
Vincent


http://www.penguinpowered.com/~ecesena
"La prima volta che ho visto un piatto di spaghetti pensavo che fosse una
versione impegnativa dello Shangai."
		-- Alessandro Bergonzoni

>password anche in modalita' single user [...] 
MdI>Debian la chiede di default, non so come fare con red hat.
Facendo quello che fa la Debian:
[root@fokhouse /root]# grep -B 1 sulogin /etc/inittab
# What to do in single-user mode.
~~:S:wait:/sbin/sulogin
[root@fokhouse /root]#
Ciao ciao,
Andrea
-- 
"...Unix, MS-DOS, and Windows NT (also known as the Good, the Bad, and 
 the Ugly)."
(by Matt Welsh)

che vuoi.
Non proprio tutte, suse (dalla 5.3 sicuramente, non so prima) anche in
single chiede la password di root, ma non e' lo stesso fort-knox.
Ciao.roberto
-- 
Save our planet!
Save wildlife;
For your E-MAIL use only recycled Bytes !!
roberto poggi  
rpo...@softhome.net

 comunque piuttosto facilmente alzando il coperchio dello scatolone).
E se poi arrivo io, smonto l'hard disk e me lo porto a casa? :)
Come gia' suggerivi tu l'unica cosa da fare e' mettere i server
fisicamente al sicuro... 
Ciao.
-- 
Gian-Luca Dei Rossi (acaso)
Un povero studente di un maledetto liceo scientifico :)

 Jabba
Infatti nei case di qualita' c'e' un dispositivo anti-intrusione
collegato alla mainboard...  Comunque siamo lontani dalla "filosofia"
del sistema GNU/Linux, che e' appunto quella di dare al proprietario
della macchina totale e completo controllo su di essa.  Se poi
si vuole per un motivo o per l'altro modificare questo comportamento,
la via corretta e' agire in /usr/src/linux/init...  GNU/Linux comincia
li...  Altro che pezze, LUI non ne ha bisogno!  Quelle lasciamole alle
piattaforme Win32, senza rimpianti.

Ok, grazie per le risposte!
...per precisare:
Slackware chiede pwd anche in single..
cmq so' anch'io che se uno ha accesso in console...
le cose si complicano non poco anche se, per il discorso del boot da floppy
un po' si risolve con l'opzione del bios "C only" e un pwd di protezione del
bios...
Ovvio che se uno proprio vuole entrare, si procura qualche passpartout per
bios..
o al limite apre il case e ...
Il fatto è che nel mio caso si tratta di un'aula didattica dove ri rende
necessario il boot da parte degli utenti (che non sono i proprietari delle
macchine!) e non di server, quelli sono gia in uno stanzino a parte..
... fine spiegazioni
grazie ancora per le risposte e alla prossima!
Stef

macchine!) e non di server, quelli sono gia in uno stanzino a parte..
allora prendi una serie di quei lucchetti per floppy , li chiudi, e ti
togli il pensiero: password al bios, password a lilo, password su linux
single, e sei protetto fino ad un buon livello di *hackeraggio*.
Ovvio che se trovi un alunno particolarmente sveglio, chiedi alla
questura se ti prestano un paio di agenti da mettere in fondo all'aula,
rigorosamente alle spalle della scolaresca, sai, di solito basta la
presenza....:-)
