[devel] Insecure installer log

[devel] Insecure installer log

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 194 bytes --]

Здравствуйте.

Есть предложение в установщике не писать пароли пользователей
открытым текстом в /var/cache/alterator/install3.log.

--
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 256 bytes --]

Re: [devel] Insecure installer log

[Sergey Pinaev]

On Wed, 18 May 2005 17:01:09 +0400
Vitaly Ostanin <vyt@vzljot.ru> wrote:

> Есть предложение в установщике не писать пароли пользователей
> открытым текстом в /var/cache/alterator/install3.log.

и, заодно, слать по почте на rider@altlinux.org

-- 
mail="Sergey Pinaev <dfo@antex.ru>"
url="http://`echo $mail | sed 's/.* <\(.*\)@\(.*\)>/\1.\2/'`"

Re: [devel] Insecure installer log

[Sergey Pinaev]

On Wed, 18 May 2005 17:02:28 +0400
Sergey Pinaev <dfo@antex.ru> wrote:

> > Есть предложение в установщике не писать пароли пользователей
> > открытым текстом в /var/cache/alterator/install3.log.
> 
> и, заодно, слать по почте на rider@altlinux.org

тьфу. "не писать" прочитал как "писать" =(
простите меня, дуру грешную...

-- 
mail="Sergey Pinaev <dfo@antex.ru>"
url="http://`echo $mail | sed 's/.* <\(.*\)@\(.*\)>/\1.\2/'`"

Re: [devel] Insecure installer log

[Anton Farygin]

Sergey Pinaev wrote:

>On Wed, 18 May 2005 17:01:09 +0400
>Vitaly Ostanin <vyt@vzljot.ru> wrote:
>
>  
>
>>Есть предложение в установщике не писать пароли пользователей
>>открытым текстом в /var/cache/alterator/install3.log.
>>    
>>
>
>и, заодно, слать по почте на rider@
>
>  
>
Нахрен мне этот спам ? ;-)

тогда уж на passwd@ ;-)

Re: [devel] Insecure installer log

[Denis Smirnov]

On Thu, May 19, 2005 at 10:50:06AM +0400, Anton Farygin wrote:
 >>>Есть предложение в установщике не писать пароли пользователей
 >>>открытым текстом в /var/cache/alterator/install3.log.
 >> и, заодно, слать по почте на rider@
 AF> Нахрен мне этот спам ? ;-)
 AF> тогда уж на passwd@ ;-)

Организуешь распределённое тестирование hotplug/libhw на различном
оборудовании  :) 
 
-- 
С уважением, Денис

http://freesource.info

[devel] Re: Insecure installer log

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 813 bytes --]

Anton Farygin пишет:
> Sergey Pinaev wrote:
>
>>On Wed, 18 May 2005 17:01:09 +0400
>>Vitaly Ostanin <vyt@vzljot.ru> wrote:
>>
>>>Есть предложение в установщике не писать пароли пользователей
>>>открытым текстом в /var/cache/alterator/install3.log.
>>
>>и, заодно, слать по почте на rider@
>
> Нахрен мне этот спам ? ;-)

На самом деле не смешно. Удивлюсь, если многие пользователи в
каждом аккаунте используют разные пароли. Возможность увидеть их
приаттаченными к bugzilla в виде install3.log как-то не радует.
Кстати, надо будет посмотреть права доступа к этому файлу в
установленной системе.

Этот же файл после выпуска дистрибутива будут спрашивать в
рассылках при возникновении проблем с установкой. И народ будет
наивно отсылать...

<skipped/>

--
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 256 bytes --]

Re: [devel] Re: Insecure installer log

[Stanislav Ievlev]

On Thu, May 19, 2005 at 12:52:07PM +0400, Vitaly Ostanin wrote:
> Anton Farygin пишет:
> >Sergey Pinaev wrote:
> >
> >>On Wed, 18 May 2005 17:01:09 +0400
> >>Vitaly Ostanin <vyt@vzljot.ru> wrote:
> >>
> >>>Есть предложение в установщике не писать пароли пользователей
> >>>открытым текстом в /var/cache/alterator/install3.log.
> >>
> >>и, заодно, слать по почте на rider@
> >
> >Нахрен мне этот спам ? ;-)
> 
> На самом деле не смешно. Удивлюсь, если многие пользователи в
> каждом аккаунте используют разные пароли. Возможность увидеть их
> приаттаченными к bugzilla в виде install3.log как-то не радует.
> Кстати, надо будет посмотреть права доступа к этому файлу в
> установленной системе.
> 
> Этот же файл после выпуска дистрибутива будут спрашивать в
> рассылках при возникновении проблем с установкой. И народ будет
> наивно отсылать...
> 
> <skipped/>
Он всегда перемещался в /root по окончанию установки. Впрочем теперь он
там будет сразу - справедливое замечание.
Ну а что касается паролей, то тут сложный вопрос: звукозаписывающее
устройство, которое генерит этот лог ничего о паролях не знает ибо потом
оно может полностью "проиграть" этот лог в alterator'е заместо
пользователя, как будто бы он сидел за клавиатурой. Наверное потом мы
сделаем какой-нибудь 'чистильщик' паролей для желающих.

> 
> --
> Regards, Vyt
> mailto:  vyt@vzljot.ru
> JID:     vyt@vzljot.ru



> _______________________________________________
> Devel mailing list
> Devel@altlinux.ru
> https://lists.altlinux.ru/mailman/listinfo/devel

[devel] Re: Insecure installer log

[Michael Shigorin]

On Thu, May 19, 2005 at 03:48:14PM +0400, Stanislav Ievlev wrote:
> Наверное потом мы сделаем какой-нибудь 'чистильщик' паролей для
> желающих.

Скорее "по умолчанию, если не запрошено иного с явным упоминанием 
про пароли".

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[devel] Re: Insecure installer log

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 1281 bytes --]

Stanislav Ievlev пишет:

<skipped/>

> Он всегда перемещался в /root по окончанию установки.

Как показала практика - не всегда :)

> Впрочем теперь он там будет сразу - справедливое замечание.
> Ну а что касается паролей, то тут сложный вопрос: звукозаписывающее
> устройство, которое генерит этот лог ничего о паролях не знает ибо потом
> оно может полностью "проиграть" этот лог в alterator'е заместо
> пользователя, как будто бы он сидел за клавиатурой.

Имеется в виду, что лог нужен в том числе для клонирования
установки? Клонирование пользователей системы (с паролями) -
спорный вопрос. Может, сделать это опциональным с большим
предупреждающем окном о паролях открытым текстом?

Мне как-то дико видеть где бы то ни было пароли открытым текстом,
да ещё пароли всех пользователей системы, включая root :(

На худой конец стадии с приватными данными могли бы писать свои
логи в отдельные файлы с именами вроде private.log

> Наверное потом мы сделаем какой-нибудь 'чистильщик' паролей для желающих.

Тогда в процессе установки дистрибутива придётся неотступно
сидеть над машиной, чтобы кто-нибудь не переключился в текстовую
консоль для просмотра лога... Нет, кругом не враги, но любопытных
- полно.

<skipped/>

--
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 256 bytes --]

Re: [devel] Re: Insecure installer log

[Alexander Bokovoy]

[-- Attachment #1: Type: text/plain, Size: 1144 bytes --]

On Thu, May 19, 2005 at 04:19:33PM +0400, Vitaly Ostanin wrote:
> >Впрочем теперь он там будет сразу - справедливое замечание.
> >Ну а что касается паролей, то тут сложный вопрос: звукозаписывающее
> >устройство, которое генерит этот лог ничего о паролях не знает ибо потом
> >оно может полностью "проиграть" этот лог в alterator'е заместо
> >пользователя, как будто бы он сидел за клавиатурой.
> 
> Имеется в виду, что лог нужен в том числе для клонирования
> установки? Клонирование пользователей системы (с паролями) -
> спорный вопрос. Может, сделать это опциональным с большим
> предупреждающем окном о паролях открытым текстом?
> 
> Мне как-то дико видеть где бы то ни было пароли открытым текстом,
> да ещё пароли всех пользователей системы, включая root :(
Значит, Вы не пользовались RedHat и SUSE -- запоминание паролей в сценарии
быстрой установки является штатным механизмом как в Kickstart, так и в
AutoYAST.

-- 
/ Alexander Bokovoy
Samba Team                      http://www.samba.org/
ALT Linux Team                  http://www.altlinux.org/
Midgard Project Ry              http://www.midgard-project.org/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: Insecure installer log

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 854 bytes --]

Alexander Bokovoy пишет:

<skipped/>

>>Имеется в виду, что лог нужен в том числе для клонирования
>>установки? Клонирование пользователей системы (с паролями) -
>>спорный вопрос. Может, сделать это опциональным с большим
>>предупреждающем окном о паролях открытым текстом?
>>
>>Мне как-то дико видеть где бы то ни было пароли открытым текстом,
>>да ещё пароли всех пользователей системы, включая root :(
>
> Значит, Вы не пользовались RedHat

Последним пользовался 5.2, тогда я паролями не интересовался :)

> и SUSE -- запоминание паролей в сценарии
> быстрой установки является штатным механизмом как в Kickstart, так и в
> AutoYAST.

Значит, сценарий установки и лог установки должны быть разными
вещами. Да ладно, я на это уже наступил - время покажет, что из
этого выйдет.

<skipped/>

--
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: OpenPGP digital signature --]
[-- Type: application/pgp-signature, Size: 256 bytes --]

Re: [devel] Re: Insecure installer log

[Stanislav Ievlev]

On Thu, May 19, 2005 at 04:56:54PM +0400, Vitaly Ostanin wrote:
> Alexander Bokovoy пишет:
> 
> <skipped/>
> 
> >>Имеется в виду, что лог нужен в том числе для клонирования
> >>установки? Клонирование пользователей системы (с паролями) -
> >>спорный вопрос. Может, сделать это опциональным с большим
> >>предупреждающем окном о паролях открытым текстом?
> >>
> >>Мне как-то дико видеть где бы то ни было пароли открытым текстом,
> >>да ещё пароли всех пользователей системы, включая root :(
> >
> >Значит, Вы не пользовались RedHat
> 
> Последним пользовался 5.2, тогда я паролями не интересовался :)
> 
> >и SUSE -- запоминание паролей в сценарии
> >быстрой установки является штатным механизмом как в Kickstart, так и в
> >AutoYAST.
> 
> Значит, сценарий установки и лог установки должны быть разными
> вещами. Да ладно, я на это уже наступил - время покажет, что из
> этого выйдет.
В общем мы это тем или иным способом пофиксим, осталось понять только как
сделать как лучше чтобы не получилось как всегда.