home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #30 / NN_1992_30.iso / spool / comp / database / oracle / 2514 < prev    next >
Encoding:
Internet Message Format  |  1992-12-15  |  2.2 KB
  1. Path: sparky!uunet!dtix!relay!nswc-wo.nswc.navy.mil!rlarson
  2. From: rlarson@nswc-wo.nswc.navy.mil (Ruth Larson)
  3. Newsgroups: comp.databases.oracle
  4. Subject: Re: ORACLE on the DEC Alpha AXP
  5. Message-ID: <1992Dec15.144220.25349@relay.nswc.navy.mil>
  6. Date: 15 Dec 92 14:42:20 GMT
  7. References: <10DEC199207463237@erich.triumf.ca> <1992Dec11.235533.18673@pmafire.inel.gov> <1992Dec14.222728.13778@oracle.us.oracle.com>
  8. Sender: news@relay.nswc.navy.mil
  9. Organization: Naval Surface Warfare Center
  10. Lines: 43
  11.  
  12.  
  13. Steve Schow writes:
  14. >We routinely use the OPS$LOGIN feature of Oracle for all of our users.  This
  15. >way they don't have to worry about anything once they are logged onto the
  16. >UNIX machine.  They just type program / to run it with their UNIX login info.
  17.  
  18. >Question:  
  19.  
  20. >When we create a new user as follows:
  21.  
  22. >    grant connect to ops$user identified by bogus;
  23.  
  24. >and we actually use the word 'bogus' as the oracle password.
  25.  
  26. >Does this mean that user ops$user could login to Oracle with either
  27. >the /, which would use his UNIX login info, or with 'bogus' as the
  28. >password?
  29.  
  30. Yes, this is EXACTLY the case.
  31.  
  32. >Could a user go into sql*plus with any convienient name and type
  33.  
  34. >    connect ops$user/bogus
  35.  
  36. >to get into that user's oracle account
  37.  
  38. Again, Yes.
  39.  
  40. >We routinely use bogus to define new oracle users, but I am concerned about
  41. >security loop holes.  We also use a number of macintosh client products that
  42. >use the ops$user with the UNIX password to login.  I am beginning to think
  43. >that we should make sure that the Oracle password is the same as the UNIX
  44. >password and NOT use bogus for everyone?!@#%               
  45.  
  46. I would NOT suggest making the Oracle password the same as the system password.
  47. In many systems the logon password should only be known by the individual
  48. user.  However, there's now need for *anyone* to have to know the ops$ password
  49. for an individual user - he/she doesn't need to know it, and the DBA can 
  50. always reset it without the user even being aware that it has been reset.
  51. So use something random, and different for each ops$ account.  I like to pick 
  52. a 3 or 4 digit (or larger) number and then spell it out in words.  Example: 
  53. two_thousand_three_hundred_eleven.  *Nobody* including you will remember 
  54. *that*, and it's pretty hard to guess!
  55.