home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1993 #1 / NN_1993_1.iso / spool / comp / sys / sgi / admin / 116 < prev    next >
Encoding:
Internet Message Format  |  1993-01-12  |  4.6 KB

  1. Xref: sparky comp.sys.sgi.admin:116 comp.sys.sgi:18537
  2. Newsgroups: comp.sys.sgi.admin,comp.sys.sgi
  3. Path: sparky!uunet!paladin.american.edu!howland.reston.ans.net!zaphod.mps.ohio-state.edu!rpi!utcsri!helios.physics.utoronto.ca!sysmark
  4. From: sysmark@helios.physics.utoronto.ca (Mark Bartelt)
  5. Subject: security concerns revisted
  6. Message-ID: <C0GEH4.2KJ@helios.physics.utoronto.ca>
  7. Sender: news@helios.physics.utoronto.ca (News Administrator)
  8. Reply-To: mark@cita.toronto.edu
  9. Organization: University of Toronto Physics/Astronomy/CITA
  10. References: <1992Dec24.193457.16465@u.washington.edu> <C0G7I2.JM3@helios.physics.utoronto.ca> <ui2dla0@zuni.esd.sgi.com>
  11. Date: Wed, 6 Jan 1993 22:29:27 GMT
  12. Lines: 86
  13.  
  14. [ me ]
  15.  
  16. | Section 3.2 of the IRIS Software Installation Guide ("Enabling Network
  17. | Access to Remote Workstations") suggests modifying inetd.conf so that
  18. | tftpd runs in unrestricted mode.  I wonder how many people have done
  19. | this, and have forgotten to put tftpd back into restricted mode.
  20.  
  21. [ Dave Olson ]
  22.  
  23. | That *exact* same section explictly reminds you to put it back.
  24. | It *also* tells you how you can modify the entry to leave security
  25. | on, but only allow a couple of directories.
  26.  
  27. [ me again ]
  28.  
  29. | But my question is, why should this ever be necessary at all?  Right
  30. | after suggesting that the tftpd "-s ..." stuff be removed, the guide
  31. | tells us that we might want to consider appending "<CDdir>/dist" (or
  32. | whatever) to the "-s /usr/local/boot" at the end of the tftpd entry
  33. | in inetd.conf instead, which certainly seems preferable.
  34.  
  35. [ Dave again ]
  36.  
  37. | Because we did *just* that first, and an amazing number of people didn't
  38. | seem to be able to handle the typing involved ;)
  39.  
  40. [ me yet again ]
  41.  
  42. | Given the security worries related to a unrestricted-mode tftpd, why
  43. | does the documentation even suggest running it that way in the first
  44. | place?
  45.  
  46. [ Dave once more ]
  47.  
  48. | See above.
  49.  
  50. Sorry to continue grousing, but ...  Although my feelings about SGI as a
  51. company are, for the most part, strongly in the "warm and fuzzy" category
  52. (due in large part to people like Dave and a host of others who provide
  53. great technical support via the net), I nonetheless feel that SGI tends
  54. to display a rather cavalier attitude toward security.
  55.  
  56. You basically have two types of customers: (1) experienced, sophisticated
  57. computeroids; and (2) people who want to use their IRISes as tools to get
  58. a job done, and whose level of computer expertise may be minimal.
  59.  
  60. I think that, if provided with wide-open tftpd as an option, people from
  61. both categories will sometimes forget to put it back.  (I did it myself
  62. once.  Hey, since most of us have at least twice as much on our to-do
  63. lists as there is time available, things do get hectic at times.)  And
  64. people in group (2) may not realize all the implications of leaving an
  65. unrestricted tftpd running.  And even if *everybody* remembered to put
  66. it back *every* time, there would still be time windows during which a
  67. nefarious creep could grab files.
  68.  
  69. Since unrestricted tftpd is unnecessary, I suggest that it's safer all
  70. around if the documentation wouldn't even propose it as one of several
  71. options.  Just expunge the suggestion from the documentation.
  72.  
  73. In the past year, our campus has been hit with tftp probes from outside,
  74. attempting to grab /etc/passwd; and many system administrators weren't
  75. even aware of it.  And several of them (on both SGI and non-SGI systems)
  76. had unrestricted tftpd enabled, and had their /etc/passwd grabbed.
  77.  
  78. Sorry to rant, but I think someone is underestimating the seriousness of
  79. the situation.  And since SGI seems to be attempting to target more of a
  80. less-sophisticated class of customers (positioning the Indigo as sort of
  81. a high-end PC, for example), one would hope that you folks would try to
  82. err on the side of defaulting to too much security rather than too little.
  83.  
  84. Yes, everything is pretty well documented, but there's a lot of stuff to
  85. read, and not all your new customers will read it all; and of those who
  86. do, many may not fully digest what they read.
  87.  
  88. Password-free accounts, and pointing people toward permissive tftpd, seem
  89. like poor ideas.  And commenting that the potential pitfalls are covered
  90. in the documentation strikes me as a bit of a cop-out.
  91.  
  92. ( Don't take any of this personally, Dave; we *do* love you! :-)
  93.  
  94. Mark Bartelt                                                416/978-5619
  95. Canadian Institute for                             mark@cita.toronto.edu
  96. Theoretical Astrophysics                           mark@cita.utoronto.ca
  97.  
  98. "Clothes not busy being worn are busy drying."  -  Dylan, on laundry day
  99.           [ singing "It's all right, ma (I'm only bleaching)" ]
  100.