Mailinglist Archive: opensuse-de (5264 mails)

[B.Brodesser@xxxxxxxxxxx (Bernd Brodesser)]

* Matthias Popp schrieb am 17.Jun.2001:
> On Sun, 17 Jun 2001 09:26:17 +0200, Bernd Brodesser wrote:

> >Es ist auch kein Sicherheitsrisiko, denn man kann nur zu einem
> >solchen User werden, wenn man vorher root ist. Wenn aber ein
> >Angreifer schon root ist, dann ist so wie so alles zu spät.

> Wie kommst du denn auf den Trichter. Man muß ! nicht root sein um zum
> Beispiel der User adabas zu werden. Wenn ich das will werde ich als
> User brav nach einem Passwort gefragt. Ich muß zwar ein Passwort
> vergeben um mich einzuloggen, aber wer weiß ob man auch nicht so

Ja, wenn Du ein Paßwort vergibst, dann ja. Aber wer macht das schon.
Von Adabas habe ich keine Ahnung, daher sage ich dazu auch nichts.
Aber z.B gibt es ein User bin. Der hat kein Paßwort  und sollte nie
eins erhalten. Da steht in der /etc/shadow folgende Zeile:

bin:*:8902:0:10000::::

Wichtig ist das * Das sollte nie geändert werden. Wenn man es doch
tut, dann ist natürlich jedem Unsinn Tür und Tor eröffnet. Wenn man
aber den * stehen läßt, könnte auch ein X oder sonstwas in der Art
sein, dann kann sich keiner als bin einloggen, und es besteht somit
auch kein Sicherheitsrisko.

Einzige Möglichkeit bin zu werden ist als root su -u bin zu machen.

Bernd

-- 
LILO funktioniert nicht? Hast Du /etc/lilo.conf verändert und vergessen, lilo
aufzurufen? Ist Deine /boot-Partition  unter der 1024 Zylindergrenze?
Bei anderen LILO Problemen mal in der SDB nachschauen:
http://localhost/doc/sdb/de/html/rb_bootdisk.html           |Zufallssignatur 6