Linux User Passwort

n_dot_force

@bo:

es ist ein feiner unterschied zwischen su root und dem setzen des suid-bits...

für ersteres ist das root-passwort erforderlich (das ausser lucky ja keiner haben sollte)

wenn man das suid-bit entfernt, dann kann _keiner_ ausser root mehr passwd benutzen (das will lucky ja auch nicht)

also bleibt nur der mittelweg über die zugriffsrechte (ohne antastung des suid)...

oder (sofern es funktioniert) der konfigurierung von pam...

lt. tecchannel sollte das suid-bit auch unangetastet bleiben:

</font><blockquote>Zitat:</font><hr />...
Daher sollten Sie nur bei den notwendigsten Dateien das SUID-root-Flag gesetzt lassen. Dazu zählen neben passwd, ping, traceroute und su gegebenenfalls Xwrapper für X11 sowie einige Files aus der KDE-Suite.
...</font>[/QUOTE](quelle: tecchannel)

@lucky:

du willst einen link zu einer pam-'anleitung'? ok [img]smile.gif[/img]
http://www.tecchannel.de/betriebssysteme/720/8.html

pam wäre eine erweiterte möglichkeit zu piet's vorschlag (komplexer, aber auch eleganter)...

folgendes wäre denkbar (hab das aber nicht selbst probiert):

man kann mit pam dienste zeitbegrenzen und diese begrenzung auf einzelne user explizieren...

siehe dazu hier: http://www.kernel.org/pub/linux/libs...-6.html#ss6.25

wenn du jetzt das time-modul startest, und deine regel (/etc/security/time.conf) so aussieht:

passwd ; tty* & ttyp* ; accountname ; !Al0000-2400

dann sollte es auch den gewünschten erfolg bringen (kein zugriff für accountname auf passwd über die terminals tty* und ttyp* an allen wochentagen von 0 bis 24 uhr)...

gegebenfalls musst du - sofern du noch andere terminal-verbindungsarten hast - diese im 2. feld hinzufügen...

wie schon erwähnt: pam ist die elegante methode!

@piet:

wie oben schon von bo erwähnt: es stimmt... nimmst du das suid-bit von passwd, dann kann _kein_ zugriff (ausser vom root) auf passwd mehr erfolgen...

da lucky das aber ja nicht generell haben will, liegt die lösung IMO in den zugriffsrechten oder (sofern es funktioniert) bei pam...

da ich grad kde3.1 final kompiliere, kann ich das mit pam nicht verifizieren (aber theoretisch müsste es funktionieren)...

[edit]

text für lucky (im @lucky-teil) um 1-2 sätze erweitert...

[/edit]

[img]graemlins/teufel3.gif[/img]

[ 28. Januar 2003, 15:24: Beitrag editiert von: n_dot_force ]