[sisyphus] I: tcb scheme implemented for Sisyphus

* [sisyphus] I: tcb scheme implemented for Sisyphus
@ 2001-12-20 15:24 Dmitry V. Levin
  2001-12-20 19:53 ` Marat Khairullin
                   ` (3 more replies)
  0 siblings, 4 replies; 33+ messages in thread
From: Dmitry V. Levin @ 2001-12-20 15:24 UTC (permalink / raw)
  To: ALT Linux Sisyphus mailing list

[-- Attachment #1: Type: text/plain, Size: 2195 bytes --]

Greetings!

Сизиф перешел на новую схему хранения паролей и авторизации по ним.
Название tcb восходит к понятию Trusted Computing Base из Orange Book.
Данная технология является воплощением принципа минимизации прав доступа и
позволяет, в частности, снизить права программам, осуществляющим доступ к
shadow, с suid-root до sgid-shadow и sgid-chkpwd.

Изменениям были подвергнуты следующие пакеты:
pam
pam-config
passwd
setup
shadow
tcb
vlock
xlockmore
kdebase

При этом в составе привилегированных программ произошли следующие
изменения:
/lib/helper/unix_chkpwd (suid-root) --> /sbin/chkpwd.d/tcb_chkpwd (sgid-shadow)
/usr/bin/passwd: suid-root --> sgid-shadow
/usr/bin/chage: suid-root --> sgid-shadow
/usr/bin/vlock: none --> sgid-chkpwd
/usr/X11R6/bin/xlock: none --> sgid-chkpwd
/usr/bin/kcheckpass: none --> sgid-chkpwd

Суть нового принципа хранения состоит в том, что вместо одного файла
/etc/shadow для всех теперь применяется /etc/tcb/<user>/shadow для каждого
пользователя. Детали реализации см. в tcb(5) из пакета tcb-utils.

Вследствие этого программа, желающая проверять пароль текущего
пользователя, должна быть sgid-chkpwd.

Меры предосторожности:
До начала обновления необходимо обеспечить наличие рутового shell'а на
момент окончания обновления, чтобы, в случае неудачи обновления файла
/etc/pam.d/system-auth, можно было его поправить.

Переход на tcb scheme должен произойти автоматически во время обновления
(рекомендую apt-get dist-upgrade).

Banner:
Переход на TCB стал возможным благодаря огромной работе, проделанной
авторами TCB (см. /usr/share/doc/libtcb-0.9.7/LICENSE):
Copyright (c) 2001 Rafal Wojtczuk <nergal@owl.openwall.com> - автор
Copyright (c) 2001 Solar Designer <solar@owl.openwall.com> - соавтор, аудит кода
Copyright (c) 2001 Dmitry V. Levin <ldv@alt-linux.org> - аудит кода

Regards,
	Dmitry

+-------------------------------------------------------------------------+
Dmitry V. Levin     mailto://ldv@alt-linux.org
ALT Linux Team      http://www.altlinux.ru/
Fandra Project      http://www.fandra.org/
+-------------------------------------------------------------------------+
UNIX is user friendly. It's just very selective about who its friends are.

[-- Attachment #2: Type: application/pgp-signature, Size: 232 bytes --]

^ permalink raw reply	[flat|nested] 33+ messages in thread