Newsgroup: it.comp.os.win.win2000
Titolo: Ma è giusto così?

Windows 2000. Dominio Windows 2000 A.D.
Nel miodominio esiste un utente pippo@miodominio\Users.
Una cartella di pc1 ha i permessi completi in lettura/scrittura per
pippo@miodominio\Users.
Se ora ho pc2 con un UTENTE LOCALE di nome pippo con STESSA password e se mi
loggo localmente a pc2 (quindi non sotto dominio), allora posso accedere
alla cartella condivisa di pc1!!!!
Mi ha lasciato un po' perplesso ma funziona!
E' un funzionamento corretto?
Mi hanno proposto questa soluzione per far accedere utenti di un dominio
windows esterno al mio (ma che riescono ad accedere alla stessa rete) ad una
cartella di un mio pc!
La soluzione migliore quale sarebbe? trust tra domini?
Grazie
Bye
John

 La soluzione migliore quale sarebbe? trust tra domini?
Eh si. 8)
Però questo è un efficiente workaround. Non bellissimo, ma funzionale.
-- 
			Luca Amicone
			Microsoft MVP
			ICQ: 14890779

 Perň questo č un efficiente workaround. Non bellissimo, ma funzionale.
Ammazza!!! ma te ne stavi con la tastiera pronta per rispondermi? 1' c'hai
messo!
complimenti!
:-))))))
A parte la battuta pensi che sia veramente una scorciatoia efficiente?
In questo modo ho accesso a risorse di un dominio pur non essendo stato
"autenticato" dall'amministratore di dominio... o no?
Bye
John

 "autenticato" dall'amministratore di dominio... o no?
Certo che sei autenticato. Il fatto è che quanto di presenti in rete 
fornisci comunque delle credenziali valide per accedere al dominio.
L'autenticazione è doppia: il fatto che l'utenza coincida ti permette di 
farne "solo una" anziché effettuare due login con una differente 
accoppiata utente/password.


 accoppiata utente/password.
Quello che intendevo è che normalmente per poter accedere ad un dominio da
una postazione il pc deve essere "messo sotto dominio" e questa è
un'operazione che deve fare l'amministratore quando modifica le proprietà di
rete della macchina windows. Giusto?
Dopodichè qualunque utente registrato nel dominio può fare login dalla
macchina in questione.
Nel nostro caso invece se si viene a conoscenza di un nome utente e password
validi è possibile grazie a questa scorciatoia (nell'ipotesi comunque di
essere sulla stessa rete) evitare che l'accesso alle risorse del dominio
debba passare da un'operazione svolta dall'amministratore! Sbaglio? o non
c'è di che preoccuparsi?
Bye
John



Infatti è così. Questo comportamento è chiaramente un errore, anche se molto
ben tollerato dagli amministratori.
Ti faccio un altro esempio. Hai 2 macchine COMP1 e COMP2 collegate in LAN,
se dai ai 2 Administrator locali la stessa password, hai di fatto due
Administrator che possono accedere alle risorse l'uno dell'altro. Il
problema è che evidentemente le credenziali fornite ignorano il dominio per
cui 2 utenti COMP1\Administrator e COMP2\Administrator che fondamentalmente
sono diversi, diventano omologhi.
Ancora un altro: se hai un WinXP Home Edition e ti scontri contro il
problema di non poterlo mettere "sotto" il dominio, puoi sempre creare un
utente locale che ha lo stesso nome e la stessa password di un utente di
dominio. Accederà a tutte le risorse (cartelle) consentite all'utente di
dominio.
Alcuni software invece non si accontetano di nome utente e password ma
richiedono esplicitamente il dominio (es. ISA Server), per cui nello stesso
caso di prima, l'utente per essere autenticato sul proxy di ISA dovrà
scrivere esplicitamente DOMINIO\utente e la password.
Bye
giaconet

 c'è di che preoccuparsi?
Da quanto ti ho detto sopra, dovresti potere rispondere da solo. 8)


 Da quanto ti ho detto sopra, dovresti potere rispondere da solo. 8)
Forse l'equivoco nasce dal fatto che le "risorse del dominio" di cui parlo
NON si trovano sulla workstation in questione (PC1) ma su un altro PC (PC2)
del dominio. Quindi sono risorse che di norma dovrebbero essere accessibili
o da utenti locali di PC2 o da utenti di dominio abilitati tramite ACL. Con
il workaround di cui parliamo invece un utente LOCALE di PC1 che conosce
user e password di un utente locale di PC2 o di un utente di dominio
abilitato può accedere alle risorse di cui stiamo parlando!
E' un caso particolare ma mi ha lasciato alquanto perplesso!
Bye
John

 E' un caso particolare ma mi ha lasciato alquanto perplesso!
Lo capisco; ma questo dovrebbe anche farti capire quanto una password 
"debole" possa essere pericolosa.
