From: "Dmitry V. Levin" <ldv@alt-linux.org> To: ALT Linux Sisyphus mailing list <sisyphus@altlinux.ru> Subject: [sisyphus] I: tcb scheme implemented for Sisyphus Date: Thu, 20 Dec 2001 18:24:17 +0300 Message-ID: <20011220152417.GA23407@ldv.office.alt-linux.org> (raw) [-- Attachment #1: Type: text/plain, Size: 2195 bytes --] Greetings! Сизиф перешел на новую схему хранения паролей и авторизации по ним. Название tcb восходит к понятию Trusted Computing Base из Orange Book. Данная технология является воплощением принципа минимизации прав доступа и позволяет, в частности, снизить права программам, осуществляющим доступ к shadow, с suid-root до sgid-shadow и sgid-chkpwd. Изменениям были подвергнуты следующие пакеты: pam pam-config passwd setup shadow tcb vlock xlockmore kdebase При этом в составе привилегированных программ произошли следующие изменения: /lib/helper/unix_chkpwd (suid-root) --> /sbin/chkpwd.d/tcb_chkpwd (sgid-shadow) /usr/bin/passwd: suid-root --> sgid-shadow /usr/bin/chage: suid-root --> sgid-shadow /usr/bin/vlock: none --> sgid-chkpwd /usr/X11R6/bin/xlock: none --> sgid-chkpwd /usr/bin/kcheckpass: none --> sgid-chkpwd Суть нового принципа хранения состоит в том, что вместо одного файла /etc/shadow для всех теперь применяется /etc/tcb/<user>/shadow для каждого пользователя. Детали реализации см. в tcb(5) из пакета tcb-utils. Вследствие этого программа, желающая проверять пароль текущего пользователя, должна быть sgid-chkpwd. Меры предосторожности: До начала обновления необходимо обеспечить наличие рутового shell'а на момент окончания обновления, чтобы, в случае неудачи обновления файла /etc/pam.d/system-auth, можно было его поправить. Переход на tcb scheme должен произойти автоматически во время обновления (рекомендую apt-get dist-upgrade). Banner: Переход на TCB стал возможным благодаря огромной работе, проделанной авторами TCB (см. /usr/share/doc/libtcb-0.9.7/LICENSE): Copyright (c) 2001 Rafal Wojtczuk <nergal@owl.openwall.com> - автор Copyright (c) 2001 Solar Designer <solar@owl.openwall.com> - соавтор, аудит кода Copyright (c) 2001 Dmitry V. Levin <ldv@alt-linux.org> - аудит кода Regards, Dmitry +-------------------------------------------------------------------------+ Dmitry V. Levin mailto://ldv@alt-linux.org ALT Linux Team http://www.altlinux.ru/ Fandra Project http://www.fandra.org/ +-------------------------------------------------------------------------+ UNIX is user friendly. It's just very selective about who its friends are. [-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]
next reply other threads:[~2001-12-20 15:24 UTC|newest] Thread overview: 33+ messages / expand[flat|nested] mbox.gz Atom feed top 2001-12-20 15:24 Dmitry V. Levin [this message] 2001-12-20 19:53 ` Marat Khairullin 2001-12-21 9:51 ` Dmitry V. Levin 2001-12-24 5:55 ` Marat Khairullin 2001-12-26 9:20 ` Alexander Bokovoy 2001-12-26 11:36 ` Dmitry V. Levin 2001-12-22 5:27 ` Sergei 2001-12-24 9:50 ` Dmitry V. Levin 2001-12-22 9:29 ` Sergey S. Skulachenko 2001-12-22 9:57 ` Aleksandr Blohin 2001-12-22 15:04 ` Sergei 2001-12-24 9:52 ` Dmitry V. Levin 2001-12-24 21:01 ` Sergey S. Skulachenko 2001-12-24 22:53 ` AVL 2001-12-25 6:14 ` Vitaly Lipatov 2001-12-25 6:48 ` Dmitry V. Levin 2001-12-22 11:25 ` Ihar Viarheichyk 2001-12-24 9:54 ` Dmitry V. Levin 2001-12-26 10:51 ` Ihar Viarheichyk 2001-12-26 11:23 ` Dmitry V. Levin 2001-12-26 13:02 ` Ihar Viarheichyk 2001-12-26 13:27 ` Dmitry V. Levin 2001-12-26 13:37 ` Ihar Viarheichyk 2001-12-26 14:12 ` Dmitry V. Levin 2001-12-29 10:40 ` Re[2]: " Kir 2001-12-29 10:59 ` Dmitry V. Levin 2001-12-29 11:19 ` Re[2]: " Kir 2002-01-01 14:35 ` Kir 2002-01-01 14:44 ` Alexander Bokovoy 2002-01-01 21:50 ` Re[4]: " Kir 2002-01-01 23:19 ` Andrey 2002-01-01 23:43 ` Alexander Bokovoy 2002-01-02 10:34 ` Re[6]: " Kir
Reply instructions: You may reply publicly to this message via plain-text email using any one of the following methods: * Save the following mbox file, import it into your mail client, and reply-to-all from there: mbox Avoid top-posting and favor interleaved quoting: https://en.wikipedia.org/wiki/Posting_style#Interleaved_style * Reply using the --to, --cc, and --in-reply-to switches of git-send-email(1): git send-email \ --in-reply-to=20011220152417.GA23407@ldv.office.alt-linux.org \ --to=ldv@alt-linux.org \ --cc=sisyphus@altlinux.ru \ /path/to/YOUR_REPLY https://kernel.org/pub/software/scm/git/docs/git-send-email.html * If your mail client supports setting the In-Reply-To header via mailto: links, try the mailto: link
ALT Linux Sisyphus discussions This inbox may be cloned and mirrored by anyone: git clone --mirror http://lore.altlinux.org/sisyphus/0 sisyphus/git/0.git # If you have public-inbox 1.1+ installed, you may # initialize and index your mirror using the following commands: public-inbox-init -V2 sisyphus sisyphus/ http://lore.altlinux.org/sisyphus \ sisyphus@altlinux.ru sisyphus@altlinux.org sisyphus@lists.altlinux.org sisyphus@lists.altlinux.ru sisyphus@lists.altlinux.com sisyphus@linuxteam.iplabs.ru sisyphus@list.linux-os.ru public-inbox-index sisyphus Example config snippet for mirrors. Newsgroup available over NNTP: nntp://lore.altlinux.org/org.altlinux.lists.sisyphus AGPL code for this site: git clone https://public-inbox.org/public-inbox.git