home *** CD-ROM | disk | FTP | other *** search
/ Network Support Encyclopedia 96-1 / novell-nsepro-1996-1-cd2.iso / download / netware / seclog.exe / SECLOG.TXT < prev   
Text File  |  1993-11-15  |  5KB  |  111 lines
  1.  
  2.               NOVELL TECHNICAL INFORMATION DOCUMENT
  3.  
  4. TITLE:              Security Enhancement LOGIN.EXE 4.02
  5. DOCUMENT ID:        TID013339
  6. DOCUMENT REVISION:  A
  7. DATE:               02SEP93
  8. ALERT STATUS:       Yellow
  9. INFORMATION TYPE:   Symptom Solution
  10. README FOR:         SECLOG.EXE
  11.  
  12. NOVELL PRODUCT and VERSION:
  13. NetWare 4.01
  14.  
  15. ABSTRACT:
  16.  
  17. LOGIN.EXE v4.02 eliminates a small window of exposure under NetWare 4.x where
  18. a user's name and password may be temporarily swapped to disk when running in
  19. a DOS environment with less than 640KB of EMS or XMS memory, or if the login
  20. script uses a SWAP command to swap to disk instead of to memory.  (If you are
  21. not using the external command (#), you don't need to install this update.)
  22.  
  23. ──────────────────────────────────────────────────────────────────────────────
  24. DISCLAIMER
  25. THE ORIGIN OF THIS INFORMATION MAY BE INTERNAL OR EXTERNAL TO NOVELL.  NOVELL
  26. MAKES EVERY EFFORT WITHIN ITS MEANS TO VERIFY THIS INFORMATION.  HOWEVER, THE
  27. INFORMATION PROVIDED IN THIS DOCUMENT IS FOR YOUR INFORMATION ONLY.  NOVELL
  28. MAKES NO EXPLICIT OR IMPLIED CLAIMS TO THE VALIDITY OF THIS INFORMATION.
  29. ──────────────────────────────────────────────────────────────────────────────
  30.  
  31. SYMPTOM
  32.  
  33.      A small window of exposure exists where a user's name and password may be
  34.      temporarily swapped to disk when running in a DOS environment with a
  35.      small memory configuration.  The NetWare 2.x and NetWare 3.x LOGIN
  36.      utilities are not affected and require no enhancement.
  37.  
  38. CAUSE
  39.      
  40.      In NetWare 2.x and 3.x, LOGIN.EXE keeps a version of the user ID and
  41.      password in protected domain memory so that attachment to other servers
  42.      does not require the user to reenter the same information.  After the
  43.      login process is complete, the memory is cleared.  This process poses no
  44.      security threat in NetWare 2.x or 3.x.
  45.  
  46.      In NetWare 4.x, the login process contains more steps.  The LOGIN.EXE is
  47.      larger because the added security features, such as NDS and
  48.      authentication, have expanded the file size.  During the current NetWare
  49.      4.x login and authentication process, portions of LOGIN.EXE may be
  50.      temporarily swapped to extended or expanded memory or to disk in DOS
  51.      environments with less than 640KB EMS or 640KB XMS memory configurations.
  52.      If login is temporarily swapped to disk, it is placed in the current
  53.      directory of the default disk, whether local or on the network.
  54.      
  55.      A security threat occurs if a portion of the login executable containing
  56.      the user ID and password information is temporarily swapped to disk. 
  57.      After login completes, a user may be able to salvage or undelete the
  58.      temporary swap file, gaining access to read the user ID and password
  59.      information of the logged-in network user.
  60.  
  61. SOLUTION
  62.  
  63.      Novell recommends that security conscious users implement the new
  64.      LOGIN.EXE v4.02 for NetWare 4.0 or 4.01 environments.
  65.  
  66.      Solution Specifics:
  67.  
  68.      Note:  The new version of LOGIN.EXE will be incorporated in future
  69.      versions of NetWare 4.x.
  70.  
  71.      Self-Extracting File Name:  SECLOG.EXE      Revision:  A
  72.  
  73.      Files Included     Size     Date       Time
  74.  
  75.      SECLOG.TXT       (This file)
  76.      LOGIN.EXE        354859   08-25-93    11:43a
  77.  
  78.      Installation Instructions:
  79.  
  80.      1.   Flag LOGIN.EXE in your PUBLIC and LOGIN directories to Shareable and
  81.           Read/write.  For example, at the LOGIN directory, type:
  82.  
  83.                FLAG LOGIN.EXE SRw <Enter>
  84.  
  85.      2.   Copy LOGIN.EXE from your PUBLIC and LOGIN directories to a diskette
  86.           for backup purposes.
  87.  
  88.      3.   Copy this version (4.02) of LOGIN.EXE to your PUBLIC and LOGIN
  89.           directories.
  90.  
  91.      4.   Flag the newly installed LOGIN.EXE in your PUBLIC and LOGIN
  92.           directories to Shareable and Read only.  For examle, at the PUBLIC
  93.           directory, type:
  94.  
  95.                FLAG LOGIN.EXE SRo <Enter>
  96.  
  97.      After installing LOGIN.EXE 4.02, you should require all users to change
  98.      their passwords.
  99.  
  100.      If this security enhancement is installed on a NetWare 4.0 server after
  101.      completing the upgrade to NetWare 4.01, verify that the LOGIN.EXE is
  102.      v4.02.  If the LOGIN.EXE is not v4.02, reinstall this enhancement.  Use
  103.      the NDIR.EXE utility with the /ver option to verify the version
  104.      information.  For example, at the PUBLIC directory, type:
  105.  
  106.           NDIR LOGIN /ver
  107.  
  108.  
  109.  
  110.  
  111.