[sisyphus] passwd теперь похож на windows-программу

[sisyphus] passwd теперь похож на windows-программу

[Vyt]

Hello, All!

Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
вводе короткого (простого и т.п.) пароля не просто предупреждают
об этом и принимают пароль, а просто предлагают ввести его 
снова :( 

Поздравляю, теперь passwd принимает решения на сервере, а админ
должен подстраиваться под него и придумывать сложные пароли,
чтобы завести тестового пользователя.

С "man -a passwd" ознакомился - упоминаний об этом не нашел,
равно как и в "rpm -q --changelog passwd".

Очень неприятная самостоятельность.

passwd-0.64.1-ipl4mdk
pam-config-1.0-alt1
pam_passwdqc-0.3-ipl1
libpam-0.75-alt9
pam-0.75-alt9
libpam-devel-0.75-alt9
pam-doc-0.75-alt9

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@jabber.org

Re: [sisyphus] passwd теперь похож на windows-программу

[cornet]

Vyt wrote:
> 
> Hello, All!
> 
> Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> вводе короткого (простого и т.п.) пароля не просто предупреждают
> об этом и принимают пароль, а просто предлагают ввести его
> снова :(
> 
> Поздравляю, теперь passwd принимает решения на сервере, а админ
> должен подстраиваться под него и придумывать сложные пароли,
> чтобы завести тестового пользователя.
> 
> С "man -a passwd" ознакомился - упоминаний об этом не нашел,
> равно как и в "rpm -q --changelog passwd".
> 
> Очень неприятная самостоятельность.

Блин! А это вилы!! У меня постоянно куча тестовых юзеров с
простыми паролями (лиш бы был не нулевой) и я постоянно с ними
работаю на отладке сервисов и доступа к ним.
Не, не буду я обновлять этот компонент раз такие дела пошли :-/

-- 
******** FIRE & STEEL ********

Re: [sisyphus] passwd теперь похож на windows-программу

[Artem K. Jouravsky]

Здравствуйте, Vyt <vyt@vzljot.ru>!
От Fri, 14 Sep 2001 12:04:49 +0400 вы писали на тему [sisyphus] passwd теперь похож на windows-программу:

> Hello, All!
> 
> Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> вводе короткого (простого и т.п.) пароля не просто
> предупреждают
> об этом и принимают пароль, а просто предлагают ввести его 
> снова :( 
> 
> Поздравляю, теперь passwd принимает решения на сервере, а админ
> должен подстраиваться под него и придумывать сложные пароли,
> чтобы завести тестового пользователя.
> 
> С "man -a passwd" ознакомился - упоминаний об этом не нашел,
> равно как и в "rpm -q --changelog passwd".
> 
> Очень неприятная самостоятельность.
Я уже смирился сам и заставил смириться два десятка пользователей


------
Best wishes,
+----------------------+--------------------------+
|  ."-.                |  Work: +7-(095)-229-4278 |
| /X  | _o.----.    _  |  ICQ:  103399444         |
|/\_  \/ /  __  \_// ) |  Artem K. Jouravsky      |
|\__)-/_/\_____)____/  |  http://www.ifirst.ru/   |
+----------------------+--------------------------+		      

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 12:04, Вы написали:
> Hello, All!
>
> Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> вводе короткого (простого и т.п.) пароля не просто предупреждают
> об этом и принимают пароль, а просто предлагают ввести его
> снова :(
>
> Поздравляю, теперь passwd принимает решения на сервере, а админ
> должен подстраиваться под него и придумывать сложные пароли,
> чтобы завести тестового пользователя.
>
> С "man -a passwd" ознакомился - упоминаний об этом не нашел,
> равно как и в "rpm -q --changelog passwd".
>
> Очень неприятная самостоятельность.

Скажу прикол: попробуй ему выдать еще раз этот же пароль на запрос ввести 
новый - скорей всего он его примет.

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Artem K. Jouravsky]

Здравствуйте, Sergei <serpiph@pochtamt.ru>!
От Fri, 14 Sep 2001 12:23:52 +0400 вы писали на тему Re: [sisyphus] passwd теперь похож на windows-программу:

> > Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> > вводе короткого (простого и т.п.) пароля не просто
> предупреждают
> > об этом и принимают пароль, а просто предлагают ввести его
> > снова :(
<skipped>
> Скажу прикол: попробуй ему выдать еще раз этот же пароль на
> запрос ввести 
> новый - скорей всего он его примет.
Увы, нет.

------
Best wishes,
+----------------------+--------------------------+
|  ."-.                |  Work: +7-(095)-229-4278 |
| /X  | _o.----.    _  |  ICQ:  103399444         |
|/\_  \/ /  __  \_// ) |  Artem K. Jouravsky      |
|\__)-/_/\_____)____/  |  http://www.ifirst.ru/   |
+----------------------+--------------------------+		      

Re: [sisyphus] [JT] passwd теперь похож на windows-программу

[Vyt]

On Fri, 14 Sep 2001 12:13:13 +0400
"Artem K. Jouravsky" <ujo@zuzusoft.com> wrote:

<skipped>

> > Поздравляю, теперь passwd принимает решения на сервере, а

<skipped>

> > Очень неприятная самостоятельность.
> Я уже смирился сам и заставил смириться два десятка
> пользователей

Два десятка - это не предел, про виндовые зависы мне часто
говорят:
"ну, он, как обычно завис, но сейчас завис как-то странно" :)
И смирятся, и привыкнут, и будут пользоваться, для win это
нормально. Но здесь, в Linux'е... о первых своих эмоциях я 
умолчу :)

<skipped>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@jabber.org

Re: [sisyphus] [JT] passwd теперь похож на windows-программу

[cornet]

Vyt wrote:
> 
> On Fri, 14 Sep 2001 12:13:13 +0400
> "Artem K. Jouravsky" <ujo@zuzusoft.com> wrote:
> 
> <skipped>
> 
> > > Поздравляю, теперь passwd принимает решения на сервере, а
> 
> <skipped>
> 
> > > Очень неприятная самостоятельность.
> > Я уже смирился сам и заставил смириться два десятка
> > пользователей
> 
> Два десятка - это не предел, про виндовые зависы мне часто
> говорят:
> "ну, он, как обычно завис, но сейчас завис как-то странно" :)
> И смирятся, и привыкнут, и будут пользоваться, для win это
> нормально. Но здесь, в Linux'е... о первых своих эмоциях я
> умолчу :)

Согласен!
Linux должен работать именно так, как мы считаем нужным, и не как
иначе. Если по поводу стиля работы компонента системы есть более
одного мнения - этот стиль должен легко настраиваться в конфиге.
И все будут счастливы :-)

-- 
******** FIRE & STEEL ********

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 12:30, Вы написали:

> > Скажу прикол: попробуй ему выдать еще раз этот же пароль на
> > запрос ввести
> > новый - скорей всего он его примет.
>
> Увы, нет.
Только что проверил - все работает, хотя и пишет, что при пароле "test" он 
слишком короткий и еще раз пишет о вводе нового пароля. pam и passwd самые 
новые из Сизифа.

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Artem K. Jouravsky]

Здравствуйте, Sergei <serpiph@pochtamt.ru>!
От Fri, 14 Sep 2001 13:01:23 +0400 вы писали на тему Re: [sisyphus] passwd теперь похож на windows-программу:

> Пятница 14 Сентябрь 2001 12:30, Вы написали:
> 
> > > Скажу прикол: попробуй ему выдать еще раз этот же пароль на
> > > запрос ввести
> > > новый - скорей всего он его примет.
> >
> > Увы, нет.
> Только что проверил - все работает, хотя и пишет, что при
> пароле "test" он 
> слишком короткий и еще раз пишет о вводе нового пароля. pam и
> passwd самые 
> новые из Сизифа.

[root@king root]# useradd test
[root@king root]# passwd test
Changing password for user test

You can now choose the new password or passphrase.
<skipped>
Enter new password:
Weak password: too short.
passwd: Authentication information cannot be recovered
[root@king root]#

Интересно, где может быть разница?

------
Best wishes,
+----------------------+--------------------------+
|  ."-.                |  Work: +7-(095)-229-4278 |
| /X  | _o.----.    _  |  ICQ:  103399444         |
|/\_  \/ /  __  \_// ) |  Artem K. Jouravsky      |
|\__)-/_/\_____)____/  |  http://www.ifirst.ru/   |
+----------------------+--------------------------+		      

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 13:17, Вы написали:
> [root@king root]# useradd test
> [root@king root]# passwd test
> Changing password for user test
>
> You can now choose the new password or passphrase.
> <skipped>
> Enter new password:
> Weak password: too short.
> passwd: Authentication information cannot be recovered
> [root@king root]#
>
> Интересно, где может быть разница?
Может, в /etc/pam.d/passwd?

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Artem K. Jouravsky]

Здравствуйте, Sergei <serpiph@pochtamt.ru>!
От Fri, 14 Sep 2001 13:50:09 +0400 вы писали на тему Re: [sisyphus] passwd теперь похож на windows-программу:

> Пятница 14 Сентябрь 2001 13:17, Вы написали:
> > [root@king root]# useradd test
> > [root@king root]# passwd test
> > Changing password for user test
> >
> > You can now choose the new password or passphrase.
> > <skipped>
> > Enter new password:
> > Weak password: too short.
> > passwd: Authentication information cannot be recovered
> > [root@king root]#
> >
> > Интересно, где может быть разница?
> Может, в /etc/pam.d/passwd?
#%PAM-1.0
auth    required        /lib/security/pam_stack.so service=system-auth
account required        /lib/security/pam_stack.so service=system-auth
password        required        /lib/security/pam_stack.so service=system-auth
session required        /lib/security/pam_deny.so

А у вас?

------
Best wishes,
+----------------------+--------------------------+
|  ."-.                |  Work: +7-(095)-229-4278 |
| /X  | _o.----.    _  |  ICQ:  103399444         |
|/\_  \/ /  __  \_// ) |  Artem K. Jouravsky      |
|\__)-/_/\_____)____/  |  http://www.ifirst.ru/   |
+----------------------+--------------------------+		      

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 14:15, Вы написали:

> #%PAM-1.0
> auth    required        /lib/security/pam_stack.so service=system-auth
> account required        /lib/security/pam_stack.so service=system-auth
> password        required        /lib/security/pam_stack.so
> service=system-auth session required        /lib/security/pam_deny.so
Аналогично. А Что думаете по поводу /etc/pam.d/system-auth? У меня так:
#%PAM-1.0
# This file is auto-generated.
auth		sufficient	/lib/security/pam_unix.so likeauth nullok blowfish shadow
auth		required	/lib/security/pam_deny.so
account		sufficient	/lib/security/pam_unix.so
account		required	/lib/security/pam_deny.so
password	required	/lib/security/pam_cracklib.so retry=3
password	sufficient	/lib/security/pam_unix.so nullok use_authtok blowfish 
shadow
password	required	/lib/security/pam_deny.so
session		required	/lib/security/pam_limits.so
session		required	/lib/security/pam_unix.so

Кстати, копайте именно этот файл, а в нем строчку с pam_passwdqc.
Значит так, после ковырялок нашел параметр min=... . В нем пишите :
min=1,1,1,1,1 и после проходит любой пароль, хоть "test", хоть t. Требование 
такое: чтобы числа в min уменьшались. Первый параметр говорит сколько 
символов должно быть без проверки его лояльности и т.д. по увеличению.

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 14:15, Вы написали:
> Здравствуйте, Sergei <serpiph@pochtamt.ru>!
>
> От Fri, 14 Sep 2001 13:50:09 +0400 вы писали на тему Re: [sisyphus] passwd 
теперь похож на windows-программу:
> > Пятница 14 Сентябрь 2001 13:17, Вы написали:
> > > [root@king root]# useradd test
> > > [root@king root]# passwd test
> > > Changing password for user test
> > >
> > > You can now choose the new password or passphrase.
> > > <skipped>
> > > Enter new password:
> > > Weak password: too short.
> > > passwd: Authentication information cannot be recovered
> > > [root@king root]#
Думаю, после пары десятков проб получите желаемое :))

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 12:13, Вы написали:

> Я уже смирился сам и заставил смириться два десятка пользователей
Торопитесь уж больно...

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 12:12, Вы написали:
> Vyt wrote:
> > Hello, All!
> >
> > Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> > вводе короткого (простого и т.п.) пароля не просто предупреждают
> > об этом и принимают пароль, а просто предлагают ввести его
> > снова :(
> >
> > Поздравляю, теперь passwd принимает решения на сервере, а админ
> > должен подстраиваться под него и придумывать сложные пароли,
> > чтобы завести тестового пользователя.
> >
> > С "man -a passwd" ознакомился - упоминаний об этом не нашел,
> > равно как и в "rpm -q --changelog passwd".
> >
> > Очень неприятная самостоятельность.
>
> Блин! А это вилы!! У меня постоянно куча тестовых юзеров с
> простыми паролями (лиш бы был не нулевой) и я постоянно с ними
> работаю на отладке сервисов и доступа к ним.
> Не, не буду я обновлять этот компонент раз такие дела пошли :-/
Надо было сначала покопаться в исходниках... и в настройках pam.

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 12:04, Вы написали:
> Hello, All!
>
> Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> вводе короткого (простого и т.п.) пароля не просто предупреждают
> об этом и принимают пароль, а просто предлагают ввести его
> снова :(
>
> Поздравляю, теперь passwd принимает решения на сервере, а админ
> должен подстраиваться под него и придумывать сложные пароли,
> чтобы завести тестового пользователя.

Задумано хорошо, каждый может выбрать себе тот уровень безопасности, какой 
пожелает и доки есть по pam_passwdqc, вот только это показывает, куда мы 
потихоньку идем... Ну прям "прощай Windows, да здраствует XWindow". Люди, 
может сначала доки, маны и инфо почитать а на худой конец - сырцы?

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Artem K. Jouravsky]

Здравствуйте, Sergei <serpiph@pochtamt.ru>!
От Fri, 14 Sep 2001 14:36:56 +0400 вы писали на тему Re: [sisyphus] passwd теперь похож на windows-программу:

> Кстати, копайте именно этот файл, а в нем строчку с
> pam_passwdqc.
> Значит так, после ковырялок нашел параметр min=... . В нем
> пишите :
> min=1,1,1,1,1 и после проходит любой пароль, хоть "test", хоть
> t. Требование 
> такое: чтобы числа в min уменьшались. Первый параметр говорит
> сколько 
> символов должно быть без проверки его лояльности и т.д. по
> увеличению.
Если больше ничего не помогает, читайте документацию.... 
rpm -qd pam_passwdqc очень помог, спасибо!

------
Best wishes,
+----------------------+--------------------------+
|  ."-.                |  Work: +7-(095)-229-4278 |
| /X  | _o.----.    _  |  ICQ:  103399444         |
|/\_  \/ /  __  \_// ) |  Artem K. Jouravsky      |
|\__)-/_/\_____)____/  |  http://www.ifirst.ru/   |
+----------------------+--------------------------+		      

Re: [sisyphus] passwd теперь похож на windows-программу

[Artem K. Jouravsky]

Здравствуйте, Sergei <serpiph@pochtamt.ru>!
От Fri, 14 Sep 2001 14:36:56 +0400 вы писали на тему Re: [sisyphus] passwd теперь похож на windows-программу:

> Кстати, копайте именно этот файл, а в нем строчку с
> pam_passwdqc.
> Значит так, после ковырялок нашел параметр min=... . В нем
> пишите :
enforce=users -> решение!

------
Best wishes,
+----------------------+--------------------------+
|  ."-.                |  Work: +7-(095)-229-4278 |
| /X  | _o.----.    _  |  ICQ:  103399444         |
|/\_  \/ /  __  \_// ) |  Artem K. Jouravsky      |
|\__)-/_/\_____)____/  |  http://www.ifirst.ru/   |
+----------------------+--------------------------+		      

Re: [sisyphus] passwd теперь похож на windows-программу

[Aleksey Novodvorsky]

Sergei wrote:

> Пятница 14 Сентябрь 2001 12:04, Вы написали:
> > Hello, All!
> >
> > Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> > вводе короткого (простого и т.п.) пароля не просто предупреждают
> > об этом и принимают пароль, а просто предлагают ввести его
> > снова :(
> >
> > Поздравляю, теперь passwd принимает решения на сервере, а админ
> > должен подстраиваться под него и придумывать сложные пароли,
> > чтобы завести тестового пользователя.
>
> Задумано хорошо, каждый может выбрать себе тот уровень безопасности, какой
> пожелает и доки есть по pam_passwdqc, вот только это показывает, куда мы
> потихоньку идем... Ну прям "прощай Windows, да здраствует XWindow". Люди,
> может сначала доки, маны и инфо почитать а на худой конец - сырцы?
>

Коллеги, сегодня Дмитрий отдыхает, а без него вряд ли стоит вести широкую
дискуссию. Давайте подождем до понедельника и все обсудим.

Rgrds, AEN

Re: [sisyphus] [JT] passwd теперь похож на windows-программу

[Vyt]

On Fri, 14 Sep 2001 15:19:39 +0400
"Artem K. Jouravsky" <ujo@zuzusoft.com> wrote:

> Здравствуйте, Sergei <serpiph@pochtamt.ru>!
> От Fri, 14 Sep 2001 14:36:56 +0400 вы писали на тему Re:
> [sisyphus] passwd теперь похож на windows-программу:
> 
> > Кстати, копайте именно этот файл, а в нем строчку с
> > pam_passwdqc.
> > Значит так, после ковырялок нашел параметр min=... . В нем
> > пишите :
> enforce=users -> решение!

Этот файл - это /etc/pam.d/system-auth
Чем дальше пользуюсь Linux'ом - тем больше приходится узнавать :)

<skipped>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@jabber.org

Re: [sisyphus] [JT] passwd

[Sergey S. Skulachenko]

On Fri, 14 Sep 2001 12:40:54 +0400
cornet <cornet@zmail.ru> wrote:


> Согласен! Linux должен работать именно так, как мы считаем
> нужным, и не как иначе. Если по поводу стиля работы компонента
> системы есть более одного мнения - этот стиль должен легко
> настраиваться в конфиге. И все будут счастливы :-)
 
И чуть не в каждом втором письме читаем советы бывалых: а Вы,
мол, закомментируйте only from. Это _так_ должен работать Linux?
Для кого же тогда разработчики совершенствуют систему
безопасности? И зачем они учат нас грамотному администрированию?
Нам же от этого неудобно :-). А снобы будут показывать на нас
пальцем, приговаривая, да, это же линуксятко (которого уже
истрепала моя собака).  
--
С уважением,
С.С.Скулаченко

Re: [sisyphus] [JT] passwd

[Sergei]

Пятница 14 Сентябрь 2001 20:43, Вы написали:
> И чуть не в каждом втором письме читаем советы бывалых: а Вы,
> мол, закомментируйте only from. Это _так_ должен работать Linux?
> Для кого же тогда разработчики совершенствуют систему
> безопасности? И зачем они учат нас грамотному администрированию?
> Нам же от этого неудобно :-). А снобы будут показывать на нас
> пальцем, приговаривая, да, это же линуксятко (которого уже
> истрепала моя собака).
Правильно замечено. Лучше для каждого сервиса отдельно настраивать откуда что 
может прибегать. По крайней мере потребуется настраивать только отдельный 
файл с настройками, а не все сразу.

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 15:19, Вы написали:

> > Кстати, копайте именно этот файл, а в нем строчку с
> > pam_passwdqc.
> > Значит так, после ковырялок нашел параметр min=... . В нем
> > пишите :
>
> enforce=users -> решение!

Кому что нравится... 

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] passwd теперь похож на windows-программу

[Sergei]

Пятница 14 Сентябрь 2001 15:22, Вы написали:

> Коллеги, сегодня Дмитрий отдыхает, а без него вряд ли стоит вести широкую
> дискуссию. Давайте подождем до понедельника и все обсудим.

Ежели только раньше про это не забудем.  :)))

-- 
С уважением, Епифанов Сергей.

Re: [sisyphus] Re: passwd теперь похож на windows-программу

[cornet]

Mikhail Zabaluev wrote:
> 
> Hello cornet,
> 
> On Fri, Sep 14, 2001 at 12:12:45PM +0400, cornet wrote:
> >
> > > Поздравляю, теперь passwd принимает решения на сервере, а админ
> > > должен подстраиваться под него и придумывать сложные пароли,
> > > чтобы завести тестового пользователя.
> > >
> > > С "man -a passwd" ознакомился - упоминаний об этом не нашел,
> > > равно как и в "rpm -q --changelog passwd".
> > >
> > > Очень неприятная самостоятельность.
> >
> > Блин! А это вилы!! У меня постоянно куча тестовых юзеров с
> > простыми паролями (лиш бы был не нулевой) и я постоянно с ними
> > работаю на отладке сервисов и доступа к ним.
> 
> Значит, можно сказать, что тестовые профили являются у вас
> уязвимым местом.

Да, уязвимым местом.
НО!!
В локальной сети;
за фаерволлом;
на МОЕЙ личной машине, рутовый пасворд которой не совпадает ни с
одним рутовым пасвордом имеющихся серверов, равно как и
пользовательские пасворды, и разумеется ни один из авсвордов сети
не хранится на моей машине в открытом виде.

        ^^^^^
ИМХО, в таких условиях можно себе позволить удобство простых
паролей для тестовых юзеров :-)

-- 
******** FIRE & STEEL ********

[sisyphus] Re: passwd теперь похож на windows-программу

[Mikhail Zabaluev]

Hello cornet,

On Fri, Sep 14, 2001 at 12:12:45PM +0400, cornet wrote:
>
> > Поздравляю, теперь passwd принимает решения на сервере, а админ
> > должен подстраиваться под него и придумывать сложные пароли,
> > чтобы завести тестового пользователя.
> > 
> > С "man -a passwd" ознакомился - упоминаний об этом не нашел,
> > равно как и в "rpm -q --changelog passwd".
> > 
> > Очень неприятная самостоятельность.
> 
> Блин! А это вилы!! У меня постоянно куча тестовых юзеров с
> простыми паролями (лиш бы был не нулевой) и я постоянно с ними
> работаю на отладке сервисов и доступа к ним.

Значит, можно сказать, что тестовые профили являются у вас
уязвимым местом.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
When I was little, I went into a pet shop and they asked how big I'd get.
		-- Rodney Dangerfield

[sisyphus] Re: [JT] passwd

[Mikhail Zabaluev]

Hello Sergey,

On Fri, Sep 14, 2001 at 08:43:12PM +0400, Sergey S. Skulachenko wrote:
>
> > Согласен! Linux должен работать именно так, как мы считаем
> > нужным, и не как иначе. Если по поводу стиля работы компонента
> > системы есть более одного мнения - этот стиль должен легко
> > настраиваться в конфиге. И все будут счастливы :-)
>  
> И чуть не в каждом втором письме читаем советы бывалых: а Вы,
> мол, закомментируйте only from. Это _так_ должен работать Linux?
> Для кого же тогда разработчики совершенствуют систему
> безопасности? И зачем они учат нас грамотному администрированию?
> Нам же от этого неудобно :-).

Неудобно, по-моему, тем, кто, не понимая системы в целом, хочет, чтобы
"у него все работало". В хорошо защищенной системе должно быть так:
по умолчанию не разрешено ничего существенного, любые разрешающие
действия производятся осознанно.

-- 
Stay tuned,
  MhZ                                     JID: mookid@jabber.org
___________
Oh Dad!  We're ALL Devo!

Re: [sisyphus] Re: [JT] passwd

[cornet]

Mikhail Zabaluev wrote:
> 
> Hello Sergey,
> 
> On Fri, Sep 14, 2001 at 08:43:12PM +0400, Sergey S. Skulachenko wrote:
> >
> > > Согласен! Linux должен работать именно так, как мы считаем
> > > нужным, и не как иначе. Если по поводу стиля работы компонента
> > > системы есть более одного мнения - этот стиль должен легко
> > > настраиваться в конфиге. И все будут счастливы :-)
> >
> > И чуть не в каждом втором письме читаем советы бывалых: а Вы,
> > мол, закомментируйте only from. Это _так_ должен работать Linux?
> > Для кого же тогда разработчики совершенствуют систему
> > безопасности? И зачем они учат нас грамотному администрированию?
> > Нам же от этого неудобно :-).
> 
> Неудобно, по-моему, тем, кто, не понимая системы в целом, хочет, чтобы
> "у него все работало". В хорошо защищенной системе должно быть так:
> по умолчанию не разрешено ничего существенного, любые разрешающие
> действия производятся осознанно.

Вы абсолютно правы. И я очень ценю Linux за соблюдение этого
принципа.
НО, игнорирование предупреждения passwd о том, что введен слишком
простой пароль разве не является осознанным действием? Кстати,
если человек назвал себя root'ом, поставил Линух на сервак (благо
это теперь сделать может всякий, кто не обделен мозгами вовсе) и
при этом неосознанно игнорирует предупреждающие мессаги - грош
цена такому root'у, пущай его хакают, туда ему и дорога.
Так что ИМХО, была очень правильная политика - пользователям
вводить простые пасворды не позволять вовсе, а root'а
предупреждать но позволять.

-- 
******** FIRE & STEEL ********

Re[2]: [sisyphus] Re: passwd ÔÅÐÅÒØ ÐÏÈÏÖ ÎÁ windows-ÐÒÏÇÒÁÍÍÕ

[Maxim Emm]

Hello cornet,

Saturday, September 15, 2001, 5:03:18 PM, you wrote:

>> > > Очень неприятная самостоятельность.
>> >
>> > Блин! А это вилы!! У меня постоянно куча тестовых юзеров с
>> > простыми паролями (лиш бы был не нулевой) и я постоянно с ними
>> > работаю на отладке сервисов и доступа к ним.
>> 
>> Значит, можно сказать, что тестовые профили являются у вас
>> уязвимым местом.

c> Да, уязвимым местом.
c> НО!!
c> В локальной сети;
c> за фаерволлом;
c> на МОЕЙ личной машине, рутовый пасворд которой не совпадает ни с
c> одним рутовым пасвордом имеющихся серверов, равно как и
c> пользовательские пасворды, и разумеется ни один из авсвордов сети
c> не хранится на моей машине в открытом виде.

c>         ^^^^^
c> ИМХО, в таких условиях можно себе позволить удобство простых
c> паролей для тестовых юзеров :-)

Братцы - понятие о  безопасности вещь относительная :))
просто речь идет о том что конфигурябильность не должна страдать...

другое дело что по дефаулту НУЖНО гайки посильнее закручивать - чтобы
из за тех "пользователей линукса" (коих несметные толпы), которые ставят себе
ОС с стандартными настройками и это их устраивает, а потом по
количеству незакрытых дыр в установках по умолчанию соревнования
проводятся..
а те кто ЗНАЕТ как что и зачем и как это на безопасность системы в
целом влияет - они должны иметь средства для установки такого уровня
безопасности - который они считают нужным. и достаточным для
выполнения поставленных задач. (см. выше)

так что я считаю спорить по поводу влияния установок уровня
безопасности по умолчанию несколько не в тему. Лучше давайте пожурим
тех, кто не задокументировал эту особенность перед публикацией новой
версии.



-- 
С Уважением,

Максим Эмм  
mailto:maxus@infosec.ru

[sisyphus] Re: [sisyphus] passwd теперь похож на windows-программу

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 2327 bytes --]

On Fri, Sep 14, 2001 at 12:04:49PM +0400, Vyt wrote:
> Так вот, что /usr/bin/passwd, что /usr/sbin/passwd теперь при
> вводе короткого (простого и т.п.) пароля не просто предупреждают
> об этом и принимают пароль, а просто предлагают ввести его 
> снова :( 
> 
> Поздравляю, теперь passwd принимает решения на сервере, а админ
> должен подстраиваться под него и придумывать сложные пароли,
> чтобы завести тестового пользователя.
> 
> С "man -a passwd" ознакомился - упоминаний об этом не нашел,
> равно как и в "rpm -q --changelog passwd".
> 
> Очень неприятная самостоятельность.

К сожалению, на эту тему уже даны исчерпывающие ответы, и мне остается
только подвести итог:

1. Характер поведения утилит /usr/{bin,sbin}/passwd определяется
   конфигурацией, указанной в файле /etc/pam.d/passwd.

2. По умолчанию, в этом файле указано, что следует использовать
   общесистемную конфигурацию, которая на данный момент располагается в
   файле /etc/pam.d/system-auth. Непосредственно правилами смены пароля
   управляет категория passwd.

3. Раньше, до перевода конфигурационного файла /etc/pam.d/system-auth в
   отдельный пакет pam-config, для проверки качества новых паролей
   использовался модуль pam_cracklib. К сожалению, это доисторическое
   животное уже давно не справляется со своими обязанностями, и я в
   конечном итоге решил завершить переход на pam_passwdqc (этот модуль
   появился В Сизифе еще до выхода Spring и распространяется в
   дистрибутивах ALT Linux, начиная со Spring 2001).

4. Теперь для отслеживания правил изменения пароля используется модуль
   pam_passwdqc в той же конфигурации по умолчанию, что и в Owl. По моему,
   эти правила должны быть достаточными для поддержания относительно
   безопасных паролей в системе.

5. Гибкость конфигурации pam_passwdqc позволяет легко адаптировать его для
   Вашей конфигурации. Документация содержится в файле
   /usr/share/doc/pam_passwdqc-0.3/README пакета pam_passwdqc.



Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

Re: [sisyphus] [JT] passwd теперь похож на windows-программу

[Michael Bykov]

> > > Кстати, копайте именно этот файл, а в нем строчку с
> > > pam_passwdqc.
> > > Значит так, после ковырялок нашел параметр min=... . В нем
> > > пишите :
> > enforce=users -> решение!
> 
> Этот файл - это /etc/pam.d/system-auth
> Чем дальше пользуюсь Linux'ом - тем больше приходится узнавать
> :)
> 

Непонятно, объясните, пожалуйста! Что означает enforce=users -> решение!

И второе - после обновления pam не пускает по ssh, с консоли нормально. 


-- 

M.

Re: [sisyphus] [JT] passwd теперь похож на windows-программу

[Vyt]

On Wed, 19 Sep 2001 15:12:42 +0400
Michael Bykov <michael@michael.rsuh.ru> wrote:

> > > > Кстати, копайте именно этот файл, а в нем строчку с
> > > > pam_passwdqc.
> > > > Значит так, после ковырялок нашел параметр min=... . В
> нем
> > > > пишите :
> > > enforce=users -> решение!
> > 
> > Этот файл - это /etc/pam.d/system-auth
> > Чем дальше пользуюсь Linux'ом - тем больше приходится
> узнавать
> > :)
> > 
> 
> Непонятно, объясните, пожалуйста! Что означает enforce=users ->
> решение!

Замена enforce=everyone на enforce=users в файле
/etc/pam.d/system-auth изменит помедение passwd:
он не примет простые пароли только у пользователей, а не у всех.
Это может понадобиться после обновления.

<skipped>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@jabber.org