NFS root filesystem - bezpecnost

[Jiri Stepanek]

From: Pavel Kankovsky <peak na argo.troja.mff.cuni.cz>
Subject: Re: NFS root filesystem - bezpecnost
> > > Prinejmensim by mely stanice pouzivat jako root neco, co je
exportovano
> > > readonly a co neni zcela identicke s root fs serveru. Pristup rw byl
mel
> > > byt omezen na oblasti pro obycejne uzivatele a povolen pro konkretni
> > > stanici a konkretniho uzivatele az pote, co se z ni dany uzivatel
> > > autentizuje (i kdyz tam porad chybi obrana proti utokum na sitove
> > > urovni).

Root bezdiskovych stanic je samozrejme uplne jiny nez na serveru. Na
serveru existuje partition /diskless ve ktere je adresar pro kazdou
stanici. Disklessaci {ve skutecnosti to nejsou to bezdiskove pocitace [na
hd je fat a maly (1 mb) ext2 pro lilo]} maji spolecne bin, dev, lib, sbin,
home, usr, cast etc a cast var.

> > Jak mam povolit pristup az potom, co se nekdo na server prihlasi ?
> > Upravit exports a restartovat nfsd asi nebude to prave.

> No, muzete zkusit pustit noveho demona na jinem portu...ale to je trochu
> prekombinovane.

Ale kdyz tam bude nekolik uzivatelu najednou, tak bude muset bezet nekolik
nfs demonu. To bude asi chtit nekolikrat vic pameti.
Pak je tu ale jeste jeden problem: I kdyz bude root readonly, tak si ten
clovek s tou bootdisketou muze precist shadow, ktery si muze dekodovat
[napr. pomoci programu john (hysteria.sk)]. Premyslel jsem o pouziti NIS,
ten na tom ale s bezpecnosti asi neni o moc lip, protoze staci na klientovi
spustit ypcat passwd. Jeste me napadlo, ze by se dal pouzit nejaky modul
PAM (ale netusim ktery), ktery by overoval login na serveru.

Neexistuje nahodou nejake sifrovane NFS nebo ext2 ?

---------------------------------------------------------------------------
Jiri Stepanek <jiri.stepanek na atlas.cz, jstep na volny.cz>
student Gymnazia tr. Kpt. Jarose Brno
http://www.jaroska.cz/
---------------------------------------------------------------------------
At zije Microsoft, ale nekde jinde, treba na Marsu.