Re[2.1]: [GTER] Problemas com sevidores de E-mail

[Silmar A. Marca]

Concordo com a ineficiencia do passwd/shadow. O detalhe da falta de segurança é 
meio paranóico e ACONTECE: um processo ao ser executado no sistema tem de ter 
um dono (uid). Ele pode ser o root ou qualquer outro. Mas necessáriamente tem 
de EXISTIR no passwd/shadow. Quanto mais usuarios tiver no passwd, maiores 
chances de burlar o sistema, executando processos com pid/uid do passwd.

Outro detalhe é a falta de otimização na leitura destes arquivos texto.

Cordialmente, Silmar A. Marca

Citando Gustavo Molina <gustavo at molina.com.br>:

> Hello João,
> 
> Wednesday, April 30, 2003, 2:49:50 AM, you wrote:
> 
> > apenas um banco de dados que mapeia UIDs em nomes e nomes em UIDs, e tem 
> > como atributos senha, home dir, nome completo e shell.  A principal 
> > função do /etc/passwd é criar usuários para login shell, é verdade, mas 
> > não é a única.
> 
> A  senha  pode  estar  em  outro arquivo, como o /etc/shadow que, num sistema
> um
> pouco  mais  seguro,  teria  de ser lido APENAS pelo root. (não estou falando
> de
> NIS, que muitas vezes introduz outros problemas de segurança)
> 
> Assim,  o daemon TERIA de rodar como root (ou dar um su em algum momento - dá
> na
> mesma). Nem sempre pode ser uma Good Thing expor um serviço externo rodando
> como
> root.
> 
> > Por exemplo, para cada daemon que eu coloco rodando em um setvidor, eu 
> > escolho um UID diferente para ele, e registro esse uid no /etc/passwd. 
> > Não criei um usuário para o daemon, apenas registrei no banco de dados. 
> >   Se o daemon for configurado para tal, e pode usar esse banco de dados 
> > para mapear um nome em um uid, e dar setuid quando necessário, ou então, 
> > para buscar o seu home dir.
> 
> Perfeito.  E  se  algum  outro  serviço  que você não necessariamente quer
> que o
> usuário  acesse [como o horrível wu-ftpd] tiver por default aceitar
> autenticação
> do  /etc/passwd  ? Alguns serviços usam autenticação própria, como SQL, e
> TAMBÉM
> aceitam do /etc/passwd, nas configurações default.
> 
> Eu,  pessoalmente,  acho  a  solução  de /etc/passwd uma das mais
> ineficientes e
> perigosas  do  ponto  de vista da segurança. Mas pode ser paranóia minha,
> afinal
> todos usam.
> 
> --- 
> Gustavo Molina          mailto:gustavo at molina.com.br
> 
> --
> GTER list    http://eng.registro.br/mailman/listinfo/gter
> 


------------------------------------------------------------------
Este email foi enviado usando o servidor: webmail.grupogsn.com.br