home *** CD-ROM | disk | FTP | other *** search
/ NetNews Usenet Archive 1992 #19 / NN_1992_19.iso / spool / comp / unix / question / 10539 < prev    next >
Encoding:
Text File  |  1992-08-30  |  2.9 KB  |  60 lines
  1. Newsgroups: comp.unix.questions
  2. Path: sparky!uunet!charon.amdahl.com!pacbell.com!att!linac!convex!convex!thurlow
  3. From: thurlow@convex.com (Robert Thurlow)
  4. Subject: Re: NFS security flawed (was: Re: chown : HELP!)
  5. Sender: usenet@news.eng.convex.com (news access account)
  6. Message-ID: <thurlow.715212393@convex.convex.com>
  7. Date: Sun, 30 Aug 1992 22:06:33 GMT
  8. References: <id.2FQS.7B6@ferranti.com> <p6c4vho@rhyolite.wpd.sgi.com> <4x91H880a9@atlantis.psu.edu> <14371@auspex-gw.auspex.com>
  9. Nntp-Posting-Host: dhostwo.convex.com
  10. Organization: Engineering, CONVEX Computer Corp., Richardson, Tx., USA
  11. X-Disclaimer: This message was written by a user at CONVEX Computer
  12.               Corp. The opinions expressed are those of the user and
  13.               not necessarily those of CONVEX.
  14. Lines: 44
  15.  
  16. In <14371@auspex-gw.auspex.com> guy@Auspex.COM (Guy Harris) writes:
  17.  
  18. >NFS, when using "UNIX authentication" has a simple "UID-mapping" scheme;
  19. >the NFS server can map a user ID of 0 to another user ID.  AT&T's RFS,
  20. >and, I believe, some NFS implementations, allow a more elaborate mapping
  21. >to be done, which can map other user IDs as well; RFS may support
  22. >different UID maps for different clients, but I don't know if any NFS
  23. >implementations do so.
  24.  
  25. We've experimented with a mapping mechanism that looks pretty reasonable.
  26. It has some inherent wrinkles due to the information loss that occurs
  27. when your client UID collides with a UID that exists on the server, but
  28. that's unavoidable.
  29.  
  30. >Some ONC RPC implementations support "DES authentication", and allow NFS
  31. >to use that as well as "UNIX authentication".  With "DES
  32. >authentication", the credentials are encrypted with a password derived,
  33. >in part, from the user's password, and include an encrypted "verifier"
  34. >to make it harder to forge credentials and have the forged credentials
  35. >appear valid.  It can be a pain to set up and get working, and I've
  36. >heard claims that it's possible to crack the encryption scheme.
  37.  
  38. IMHO, the worst problem is that there is no way in either the tools
  39. nor the keyserver protocol to announce that you will be logging off
  40. now; if you've ever authenticated yourself to a server, you can't ask
  41. it to forget that information, and are more vulnerable to spoofing.
  42. I can't for the life of me figure out why Sun didn't at least define
  43. the protocol operations for this so that people could implement it
  44. themselves.
  45.  
  46. >I don't know what the Andrew File System does to detect forged
  47. >credentials, nor what OSF's DCE DFS will do, nor what any other
  48. >distributed file systems do.
  49.  
  50. The AFS and DCE mechanisms are more-or-less vanilla Kerberos; this
  51. means that the security server is the critical link in the entire chain.  
  52. I only have vague positive impressions about DFS security that still
  53. have to be validated.
  54.  
  55. Rob T
  56. --
  57. Rob Thurlow, thurlow@convex.com
  58. Across the evening sky, all the birds are leaving
  59. But how can they know it's time for them to go?        - Sandy Denny
  60.