From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <ldv@alt-linux.org>
Date: Thu, 20 Dec 2001 18:24:17 +0300
From: "Dmitry V. Levin" <ldv@alt-linux.org>
To: ALT Linux Sisyphus mailing list <sisyphus@altlinux.ru>
Message-ID: <20011220152417.GA23407@ldv.office.alt-linux.org>
Mail-Followup-To: ALT Linux Sisyphus mailing list <sisyphus@altlinux.ru>
Mime-Version: 1.0
Content-Type: multipart/signed; micalg=pgp-sha1;
	protocol="application/pgp-signature"; boundary="y0ulUmNC+osPPQO6"
Content-Disposition: inline
X-fingerprint: 9658 398D 181B 1200 8FC5  26B8 F6F8 846B C1E2 3429
Subject: [sisyphus] I: tcb scheme implemented for Sisyphus
Sender: sisyphus-admin@altlinux.ru
Errors-To: sisyphus-admin@altlinux.ru
X-BeenThere: sisyphus@altlinux.ru
X-Mailman-Version: 2.0
Precedence: bulk
Reply-To: sisyphus@altlinux.ru
List-Help: <mailto:sisyphus-request@altlinux.ru?subject=help>
List-Post: <mailto:sisyphus@altlinux.ru>
List-Subscribe: <http://altlinux.ru/mailman/listinfo/sisyphus>,
	<mailto:sisyphus-request@altlinux.ru?subject=subscribe>
List-Id: <sisyphus.altlinux.ru>
List-Unsubscribe: <http://altlinux.ru/mailman/listinfo/sisyphus>,
	<mailto:sisyphus-request@altlinux.ru?subject=unsubscribe>
List-Archive: <http://altlinux.ru/pipermail/sisyphus/>
Archived-At: <http://lore.altlinux.org/sisyphus/20011220152417.GA23407@ldv.office.alt-linux.org/>
List-Archive: <http://lore.altlinux.org/sisyphus/>

--y0ulUmNC+osPPQO6
Content-Type: text/plain; charset=koi8-r
Content-Disposition: inline
Content-Transfer-Encoding: 8bit

Greetings!

Сизиф перешел на новую схему хранения паролей и авторизации по ним.
Название tcb восходит к понятию Trusted Computing Base из Orange Book.
Данная технология является воплощением принципа минимизации прав доступа и
позволяет, в частности, снизить права программам, осуществляющим доступ к
shadow, с suid-root до sgid-shadow и sgid-chkpwd.

Изменениям были подвергнуты следующие пакеты:
pam
pam-config
passwd
setup
shadow
tcb
vlock
xlockmore
kdebase

При этом в составе привилегированных программ произошли следующие
изменения:
/lib/helper/unix_chkpwd (suid-root) --> /sbin/chkpwd.d/tcb_chkpwd (sgid-shadow)
/usr/bin/passwd: suid-root --> sgid-shadow
/usr/bin/chage: suid-root --> sgid-shadow
/usr/bin/vlock: none --> sgid-chkpwd
/usr/X11R6/bin/xlock: none --> sgid-chkpwd
/usr/bin/kcheckpass: none --> sgid-chkpwd

Суть нового принципа хранения состоит в том, что вместо одного файла
/etc/shadow для всех теперь применяется /etc/tcb/<user>/shadow для каждого
пользователя. Детали реализации см. в tcb(5) из пакета tcb-utils.

Вследствие этого программа, желающая проверять пароль текущего
пользователя, должна быть sgid-chkpwd.

Меры предосторожности:
До начала обновления необходимо обеспечить наличие рутового shell'а на
момент окончания обновления, чтобы, в случае неудачи обновления файла
/etc/pam.d/system-auth, можно было его поправить.

Переход на tcb scheme должен произойти автоматически во время обновления
(рекомендую apt-get dist-upgrade).

Banner:
Переход на TCB стал возможным благодаря огромной работе, проделанной
авторами TCB (см. /usr/share/doc/libtcb-0.9.7/LICENSE):
Copyright (c) 2001 Rafal Wojtczuk <nergal@owl.openwall.com> - автор
Copyright (c) 2001 Solar Designer <solar@owl.openwall.com> - соавтор, аудит кода
Copyright (c) 2001 Dmitry V. Levin <ldv@alt-linux.org> - аудит кода


Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

--y0ulUmNC+osPPQO6
Content-Type: application/pgp-signature
Content-Disposition: inline

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org

iD8DBQE8IgKh9viEa8HiNCkRAiJlAJ9tHr6irLQvl+HZ4j8h9uphs6z6AwCggLDu
Nn+D/lqbUmlGz612fOf9ZEk=
=IsgJ
-----END PGP SIGNATURE-----

--y0ulUmNC+osPPQO6--