home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #16 / NN_1992_16.iso / spool / comp / unix / ultrix / 5807 < prev    next >
Encoding:
Text File  |  1992-07-21  |  2.0 KB  |  44 lines
  1. Newsgroups: comp.unix.ultrix
  2. Path: sparky!uunet!cis.ohio-state.edu!zaphod.mps.ohio-state.edu!sol.ctr.columbia.edu!destroyer!ubc-cs!alberta!kakwa.ucs.ualberta.ca!acs.ucalgary.ca!honte.uleth.ca!xi.uleth.ca!senetza
  3. From: senetza@xi.uleth.ca (Len Senetza)
  4. Subject: Hesiod, Kerberos, and Password Changing (Oh My!)
  5. Message-ID: <senetza.711740927@honte>
  6. Sender: news@honte.uleth.ca (News System)
  7. Organization: University of Lethbridge
  8. Date: 21 Jul 92 17:48:47 GMT
  9. Lines: 33
  10.  
  11. We found an interesting problem the other day.  On our main server (the one
  12. with hesiod, kerberos and whatnot) we found that we could change passwords.
  13. In itsself this is expected, but not the way we had it set up.  Our
  14. /etc/svc.conf file had the following lines in it:
  15.  
  16.     auth=local,bind
  17.     passwd=local
  18.  
  19. This stopped people from logging in (we're a University lab and don't want
  20. students exploring the server) and I wrote a shell script to change passwords
  21. which would modify the passwd=local line to include bind.  
  22.  
  23. We found that you could do
  24.  
  25.     # passwd smith
  26.  
  27. and have smith's password changed.  Even without the passwd file being
  28. distributed by bind.  After changing the auth=local,bind line to exclude bind,
  29. we could not change passwords anymore (without my script).  
  30.  
  31. The big question is "Why could we change passwords in the first place?"  How
  32. could a lookup be done to retrieve the auth id number without the passwd
  33. database?
  34.  
  35. --
  36.   +-----------------------------------------------------------------------+
  37.   |  Leonard Senetza            |  E-Mail: senetza@alpha.uleth.ca         |
  38.   |  Academic Consultant        |          senetza@hg.uleth.ca            |
  39.   |  University of Lethbridge   |   Phone: 403-329-5162 FAX: 403-382-7108 |
  40.   |  Lethbridge, Alberta        |-----------------------------------------|
  41.   |  Canada, eh?                |  Disclaimer: Why should I tell _them_?  |
  42.   |  T1K 3M4                    |    What they don't know, can't fire me. |
  43.   +-----------------------------------------------------------------------+
  44.