Am Sonntag, 26. September 2004 13:06 schrieb Helga Fischer:

jetzt habe ich's tatsächlich geschafft und mich ausgesperrt. Passwort des Users, der sich einloggen wollte, abgelaufen, root-Login über ssh unterbunden; Authentifizierung über Schlüssel noch nicht eingerichtet. Das ist jetzt irgendwie Mist.

Gibt's irgendeinen Schalter, der meinem User eine Mail an einen anderen Rechner schickt und ihn dran erinnert, er möge das Passwort rechtzeitig ändern? Die Logins lagen wohl doch so weit auseinander, daß die (eigentlich eingerichtete) Warnung beim Login nicht griff.

Dann müsste ja irgendwas dauernd laufen und die Passwörter überwachen. pam und Konsorten werden ja nur beim Login aufgerufen. Du könntest so einmal täglich ein Script starten, was die Passwort Ablauf Daten checkt und den Usern ne Mail schickt. Hilfreich dabei wären wohl passwd(1) chage(1)...

Wie macht ihr das? (Die Methode, Passwort läuft nie aus, kenne ich und will sie eigentlich nicht benutzen, auch wenn's mir jetzt gerade reichlich lästig ist).

-- Andreas

Hallo, Helga Fischer schrieb:

Gibt's irgendeinen Schalter, der meinem User eine Mail an einen anderen Rechner schickt und ihn dran erinnert, er möge das Passwort rechtzeitig ändern? Die Logins lagen wohl doch so weit auseinander, daß die (eigentlich eingerichtete) Warnung beim Login nicht griff.

Wie macht ihr das? (Die Methode, Passwort läuft nie aus, kenne ich und will sie eigentlich nicht benutzen, auch wenn's mir jetzt gerade reichlich lästig ist).

Wie wäre es denn mit dem AT-Dämon? Vielleicht könntest du das PW-Ändern-Programm in ein Script packen und beim Ändern einen Job erzeugen, der, bevor das PW ausläuft, 'ne Mail verschickt. Also ungefähr so: #!/bin/bash echo "/usr/local/bin/checkpw" | at now + 30 days passwd Mehr siehe "man at". "/usr/local/bin/checkpw" würde dann die Überprüfung vornehmen und ggf. die Mail verschicken. Sven

Hallo Ratti, Am Sonntag 26 September 2004 20:24 schrieb Joerg Rossdeutscher:

Am Sonntag, den 26.09.2004, 13:06 +0200 schrieb Helga Fischer:

...

jetzt habe ich's tatsächlich geschafft und mich ausgesperrt. Passwort des Users, der sich einloggen wollte, abgelaufen, root-Login über ssh unterbunden; Authentifizierung über Schlüssel noch nicht eingerichtet. Das ist jetzt irgendwie Mist.

Wie macht ihr das? (Die Methode, Passwort läuft nie aus, kenne ich und will sie eigentlich nicht benutzen, auch wenn's mir jetzt gerade reichlich lästig ist).

Mal 'ne Frage:

Ich persönlich finde lange Passwörter über verschlüsselte Verbindungen sind eine sichere Sache.

Noch weniger erratbar? Bisher habe ich immer meine häßlichen Passwörter benutzt, wollte das mit den Schlüsseln aber auch mal probieren.

Keys benutze ich nicht, weil mir die auch mal eben schnell von meiner Workstation gemopst werden könnten,

Stimmt.

das ist mir zu unsicher, und ich habe auch keinen Bock auf die notwendigen Sicherheitsmaßnahmen an meiner Workstation (Kiste lock'en bevor man zur Kaffeemaschine geht und wieder freischalten, wenn man zurückkommt und so...)

Man kann natürlich auch den Private_Key Passwort schützen (Das weißt Du vermutlich). Manche Systeme lassen Dich anders gar nicht rein.

Aus welchem Grund siehst du das genau andersrum?

Im Moment probiere ich rum und sammle Erfahrungen.

Zu deinem Problem: Klingt nach einer remote-Kiste? Sprich: Lokales einloggen entfällt? Hast du nix von geschrieben...

Weil die remote-Kiste bei mir im gleichen Zimmer steht. Hab' halt grummelnd einen Monitor drangehängt und 'ne Tastatur. Diese Kiste hütet mein Intranet und wird zu meinem Leidwesen öfter angetestet. Aus dem Intranet möchte ich mich immer ungestört (und möglichst bequem) einloggen können; von außerhalb kommt das gelegentlich auch mal vor. Gastaccounts gibt's auch. Wer sie nicht benutzt, wird halt nach einer vorgegebenen Zeitspanne ausgesperrt. Helga -- ## Content Developer OpenOffice.org: lang/DE ## Office-Suite für Linux, Mac, Windows -- http://de.openoffice.org/ ## Werkstatt & Information zu OpenSource -- http://www.eschkitai.de/ ## Etikette, nein Danke? -- http://www.suse-etikette.de.vu/

Hi Ratti, Am Sonntag 26 September 2004 23:27 schrieb Joerg Rossdeutscher:

Am Sonntag, den 26.09.2004, 21:36 +0200 schrieb Helga Fischer:

Naja - ich habe mal versucht, ein Passwort-geschütztes ZIP-Archiv von einem Programm knacken zu lassen, welches Passwörter durchprobierte und auch darauf optimiert war. Der fing halt mit aaaaaaaa an, und zählte dann hoch... Nach einigen Tagen standen vorne immer noch zwei "a"'s, und dabei hatte ich schon eingestellt, er solle bloß a-zA-Z0-9_ verwenden...

Das ist fein.

Seitdem betrachte ich Passwörter als "sicher". Man kriegt ja auch Fehlermeldungen im syslog, wenn jemand so massiv PWs ausprobiert.

Die Versuche sind eher langweilig, aber sie sind so gut wie täglich da.

...

Man kann natürlich auch den Private_Key Passwort schützen (Das weißt Du vermutlich). Manche Systeme lassen Dich anders gar nicht rein.

Ne, wusste ich nicht. (Merk).

Das CVS-System bei OOo zum Bespiel. Dort ein Login ist nur über einen Key möglich, nicht aber über ein Passwort. Bei der suse-faq ist's meines Wissens auch so geregelt. Jedes Sicherheitsverfahren hat halt so seine Vor- und Nachteile.

...

Weil die remote-Kiste bei mir im gleichen Zimmer steht. Hab' halt grummelnd einen Monitor drangehängt und 'ne Tastatur.

Diese Kiste hütet mein Intranet und wird zu meinem Leidwesen öfter angetestet.

DAS kenne ich! Learning by carrying of annoying heavy hardware. So'nen Strafmonitor habe ich hier auch. Wenn ich mal wieder meinen kleinen Server an die Wand gefahren hab, müssen 40 kg/21" den Flur hochgewuchtet werden :-)

So schlimm war's dann bei mir nicht, war aber trotzdem ärgerlich, weil ich eigentlich nur was vom Gateway kopieren wollte. Gut, daß mir das nicht mit einer Kiste passiert ist, die irgenwo stand, aber nur nicht in greifbarer Nähe. Helga -- ## Content Developer OpenOffice.org: lang/DE ## Office-Suite für Linux, Mac, Windows -- http://de.openoffice.org/ ## Werkstatt & Information zu OpenSource -- http://www.eschkitai.de/ ## Etikette, nein Danke? -- http://www.suse-etikette.de.vu/

Joerg Rossdeutscher schrieb am 09/26/2004 08:24 PM:

Keys benutze ich nicht, weil mir die auch mal eben schnell von meiner Workstation gemopst werden könnten, das ist mir zu unsicher, und ich habe auch keinen Bock auf die notwendigen Sicherheitsmaßnahmen an meiner Workstation (Kiste lock'en bevor man zur Kaffeemaschine geht und wieder freischalten, wenn man zurückkommt und so...)

AFAIK sind die Keys Host-gebunden, es funzt also nicht ohne weiteres, einfach mal den privaten Schluessel auf eine andere Kiste zu kopieren und ihn dort zu benutzen (ich habe das gerade probiert: privaten Key von Rechner A nach Rechner B kopiert, von Rechner A aus kann ich mich mit dem Key ohne Passwort auf Rechner C einloggen, von Rechner B aus erfolgt trotz des kopierten privaten Schluessels eine Passwortabfrage beim Einlogversuch auf Rechner C). Wie leicht das umgangen werden kann, weiss ich aber nicht. Auf jeden Fall sind Keys, verbunden mit einem sicheren Passwort, die mit Abstand sicherste Methode, weil es einem Angreifer eben nicht reicht, nur den privaten Schluessel oder nur das Passwort zu kennen - denn er braucht beides. Michael.

Hallo Michael, hallo Leute, Am Montag, 27. September 2004 11:25 schrieb Michael Schachtebeck:

Joerg Rossdeutscher schrieb am 09/26/2004 08:24 PM:

...

Keys benutze ich nicht, weil mir die auch mal eben schnell von meiner Workstation gemopst werden könnten, das ist mir zu unsicher, und ich habe auch keinen Bock auf die notwendigen Sicherheitsmaßnahmen an meiner Workstation (Kiste lock'en bevor man zur Kaffeemaschine geht und wieder freischalten, wenn man zurückkommt und so...)

... und Deine lokalen Daten sind Dir egal? Ich lös das mit einem sehr kurzen Bildschirmschoner-Timeout. Bis da jemand an die Tastatur kommt, ist schon der Screensaver mit Passwortabfrage da ;-)

AFAIK sind die Keys Host-gebunden, es funzt also nicht ohne weiteres, einfach mal den privaten Schluessel auf eine andere Kiste zu kopieren und ihn dort zu benutzen (ich habe das gerade probiert: privaten Key von Rechner A nach Rechner B kopiert, von Rechner A aus kann ich mich mit dem Key ohne Passwort auf Rechner C einloggen, von Rechner B aus erfolgt trotz des kopierten privaten Schluessels eine Passwortabfrage beim Einlogversuch auf Rechner C).

Dann hast Du was verkehrt gemacht ;-) Als ich auf meinen Laptop umgezogen bin, habe ich den Key übernommen und er funktioniert wie gewohnt. Kopiere mal ~/.ssh komplett, vielleicht hast Du nur die falsche oder zu wenig Dateien erwischt.

Auf jeden Fall sind Keys, verbunden mit einem sicheren Passwort, die mit Abstand sicherste Methode, weil es einem Angreifer eben nicht reicht, nur den privaten Schluessel oder nur das Passwort zu kennen - denn er braucht beides.

Das ist dann aber eine serverseitige Einstellung, und auf die hat man als User nicht immer Einfluss. Aber auch ohne diese Kombination sind SSH-Keys sicherer als Passwörter, weil ein paar Buchstaben eines Passworts leichter rauszukriegen (oder zu knacken) sind als 1024 bit eines SSH-Keys ;-) Ein weiterer Vorteil: SSH-Keys kann man auf dem Zielrechner mit command=... stark in ihrer Verwendbarkeit einschränken. Beispiel: bei der FAQ kommt man nur per SSH-Key schreibend ans CVS. Und Kris hat mit command="/usr/bin/cvs server" den Key so limitiert, dass man wirklich *nur* im CVS arbeiten kann. Mit Passwörtern geht sowas nicht (ohne weiteres). So, noch ein paar Lesetipps für alle Leser dieses Threads: 8. SSH - Secure Shell Einsatz unter Linux http://suse-linux-faq.koehntopp.de/ch/ch-ssh.html und darin insbesondere 8.3. Wie erstellt man einen SSH-Key? Wie kommt der Key auf den Zielrechner? http://suse-linux-faq.koehntopp.de/q/q-ssh-keygen.html 8.4. Wie geht SSH ohne Passwort? http://suse-linux-faq.koehntopp.de/q/q-ssh-without_passwd.html Gruß Christian Boltz --

Bitte? Ich glaub ich steh im Wald! wenn rings um dich lauter Bäume sind dann hast Du vermutlich recht. [> David Haller und Bernhard Walle in suse-linux]

Am Dienstag, den 28.09.2004, 00:18 +0200 schrieb Christian Boltz:

Am Montag, 27. September 2004 11:25 schrieb Michael Schachtebeck:

...

Joerg Rossdeutscher schrieb am 09/26/2004 08:24 PM:

...

...

Keys benutze ich nicht, weil mir die auch mal eben schnell von meiner Workstation gemopst werden könnten, das ist mir zu unsicher, und ich habe auch keinen Bock auf die notwendigen Sicherheitsmaßnahmen an meiner Workstation (Kiste lock'en bevor man zur Kaffeemaschine geht und wieder freischalten, wenn man zurückkommt und so...)

... und Deine lokalen Daten sind Dir egal?

Ja. In Anführungsstrichen. Natürlich wäre ich nicht begeistert, wenn morgen alle Mails weg sind - aber wenn man in der Firma seine Workstation vor den Kollegen schützen muß, arbeitet man in der falschen Firma. Meine Policy umfasst vollen Zugriff für jeden auf jeden Rechner und alle Mails, und da sich auf meinem Rechner nichts anderes verbirgt als auf den normalen Arbeitsrechnern auch, mache ich da für mich keine Ausnahme. Zumal sowieso alle Rechner beim Start ein autologin machen.

Ich lös das mit einem sehr kurzen Bildschirmschoner-Timeout. Bis da jemand an die Tastatur kommt, ist schon der Screensaver mit Passwortabfrage da ;-)

Das ist mir einfach zu anstrengend, und was soll ich denn schützen?

Dann hast Du was verkehrt gemacht ;-) Als ich auf meinen Laptop umgezogen bin, habe ich den Key übernommen und er funktioniert wie gewohnt.

Sehe ich auch so. Ich habe mehrfach die Distri auf /dev/hda gewechselt, und ich lege ~/.ssh immer an als Softlink auf /disk2/ssh. I.d.R. hat das geklappt.

Aber auch ohne diese Kombination sind SSH-Keys sicherer als Passwörter, weil ein paar Buchstaben eines Passworts leichter rauszukriegen (oder zu knacken) sind als 1024 bit eines SSH-Keys ;-)

Schon mal ausprobiert? "leichter" kann sehr relativ sein. Spätestens nach zwei Tagen Dauerbeschuss (wenn es am Wochenende ist) bekomme ich ein dickes Logbuch zugemailt, und wenn ich die IP nicht einfach filtern kann, denke ich mir eben was anderes aus (z.B. Stichwort: Portknocking). Da ist dein Passwortscanner erst bei "aaaaaazzzz". :-)

Ein weiterer Vorteil: SSH-Keys kann man auf dem Zielrechner mit command=... stark in ihrer Verwendbarkeit einschränken. Beispiel: bei der FAQ kommt man nur per SSH-Key schreibend ans CVS. Und Kris hat mit command="/usr/bin/cvs server" den Key so limitiert, dass man wirklich *nur* im CVS arbeiten kann. Mit Passwörtern geht sowas nicht (ohne weiteres).

Das ist sehr interessant. Nun, glücklicherweise habe ich nur Systeme zu managen, auf denen nur ich und mein Co was zu suchen haben. Gruß, Ratti -- -o) fontlinge | Fontmanagement for Linux | Schriftenverwaltung in Linux /\\ http://freshmeat.net/projects/fontlinge/ _\_V http://www.gesindel.de https://sourceforge.net/projects/fontlinge/