home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #16 / NN_1992_16.iso / spool / comp / security / misc / 780 < prev    next >
Encoding:
Internet Message Format  |  1992-07-22  |  1.9 KB
  1. Path: sparky!uunet!ogicse!reed!nelson
  2. From: nelson@reed.edu (Nelson Minar)
  3. Newsgroups: comp.security.misc
  4. Subject: Re: unhappy about overloading finger
  5. Message-ID: <1992Jul23.032058.3292@reed.edu>
  6. Date: 23 Jul 92 03:20:58 GMT
  7. Article-I.D.: reed.1992Jul23.032058.3292
  8. References: <ggm.711690458@brolga> <199207230140.AA18677@fnord.wang.com>
  9. Organization: Reed College, Portland, OR
  10. Lines: 32
  11.  
  12. In article <199207230140.AA18677@fnord.wang.com> fitz@wang.com (Tom Fitzgerald    ) writes:
  13. >The advantages of finger to crackers is it lets them find login names,
  14. >identify accounts that haven't been used for a while, and get the human
  15. >name for the account so they can try looking up spousal names and such in
  16. >the phone book, as potential passwords.
  17.  
  18. I think the "spousal name" thing is apocryphal, at least in the case
  19. of UNIX machines on the Internet. It looked great on Wargames, and it
  20. might work for your friend Joe, but if I'm hacking blegga.cac.washington.edu 
  21. I'm not going to go to a Seattle phonebook.
  22.  
  23. A far more common way for accounts to be cracked is for someone to
  24. steal your YP password file (not too hard to do if you're running yp
  25. and are on the internet) and run a fine cracking tool like Crack 4.1
  26. with a fast crypt().
  27.  
  28. How do you, as a sysadmin, prevent this? Crack your password file
  29. yourself. Don't let users have crackable passwords. 
  30.  
  31. If you want to be butch try to fix yp, or use a shadow scheme that
  32. works. That's a lot of trouble, and the best you'll probably do is
  33. security through obscurity.
  34.  
  35. >I'm wondering what to do about the person who ran "finger
  36. >\*@das.wang.com" from an outside site today.  Anybody know if there
  37. >are finger daemons that screw up on user "*"?
  38.  
  39. Dunno, but Ultrix finger joyfully screws up on user "@". Try "finger
  40. @@some.ultrix.machine.army.mil" - it's quite fun.
  41. -- 
  42.                 __
  43. nelson@reed.edu \/       Before the cream sits out too long, you must whip it
  44.