abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 22:33 | Nová verze

    Byla vydána beta verze openSUSE Leap 16. Ve výchozím nastavení s novým instalátorem Agama.

    Ladislav Hagara | Komentářů: 0
    včera 17:44 | Zajímavý článek

    Devadesátková hra Brány Skeldalu prošla portací a je dostupná na platformě Steam. Vyšel i parádní blog autora o portaci na moderní systémy a platformy včetně Linuxu.

    karkar | Komentářů: 0
    včera 12:11 | Humor

    Lidi dělají divné věci. Například spouští Linux v Excelu. Využít je emulátor RISC-V mini-rv32ima sestavený jako knihovna DLL, která je volaná z makra VBA (Visual Basic for Applications).

    Ladislav Hagara | Komentářů: 2
    včera 10:44 | IT novinky

    Revolut nabídne neomezený mobilní tarif za 12,50 eur (312 Kč). Aktuálně startuje ve Velké Británii a Německu.

    Ladislav Hagara | Komentářů: 22
    včera 09:55 | IT novinky

    Společnost Amazon miliardáře Jeffa Bezose vypustila na oběžnou dráhu první várku družic svého projektu Kuiper, který má z vesmíru poskytovat vysokorychlostní internetové připojení po celém světě a snažit se konkurovat nyní dominantnímu Starlinku nejbohatšího muže planety Elona Muska.

    Ladislav Hagara | Komentářů: 2
    včera 09:33 | IT novinky

    Poslední aktualizací začal model GPT-4o uživatelům příliš podlézat. OpenAI jej tak vrátila k předchozí verzi.

    Ladislav Hagara | Komentářů: 0
    včera 08:11 | Nová verze

    Google Chrome 136 byl prohlášen za stabilní. Nejnovější stabilní verze 136.0.7103.59 přináší řadu novinek z hlediska uživatelů i vývojářů. Podrobný přehled v poznámkách k vydání. Opraveno bylo 8 bezpečnostních chyb. Vylepšeny byly také nástroje pro vývojáře.

    Ladislav Hagara | Komentářů: 0
    29.4. 20:55 | Nová verze

    Homebrew (Wikipedie), správce balíčků pro macOS a od verze 2.0.0 také pro Linux, byl vydán ve verzi 4.5.0. Na stránce Homebrew Formulae lze procházet seznamem balíčků. K dispozici jsou také různé statistiky.

    Ladislav Hagara | Komentářů: 0
    29.4. 16:22 | Nová verze

    Byl vydán Mozilla Firefox 138.0. Přehled novinek v poznámkách k vydání a poznámkách k vydání pro vývojáře. Řešeny jsou rovněž bezpečnostní chyby. Nový Firefox 138 je již k dispozici také na Flathubu a Snapcraftu.

    Ladislav Hagara | Komentářů: 0
    29.4. 15:55 | Pozvánky

    Šestnáctý ročník ne-konference jOpenSpace se koná 3. – 5. října 2025 v Hotelu Antoň v Telči. Pro účast je potřeba vyplnit registrační formulář. Ne-konference neznamená, že se organizátorům nechce připravovat program, ale naopak dává prostor všem pozvaným, aby si program sami složili z toho nejzajímavějšího, čím se v poslední době zabývají nebo co je oslovilo. Obsah, který vytvářejí všichni účastníci, se skládá z desetiminutových

    … více »
    Zdenek H. | Komentářů: 2
    Jaký filesystém primárně používáte?
     (58%)
     (1%)
     (9%)
     (21%)
     (4%)
     (1%)
     (2%)
     (0%)
     (1%)
     (3%)
    Celkem 494 hlasů
     Komentářů: 19, poslední včera 11:32
    Rozcestník

    pam_access & DNS spoofing

    1.6.2005 13:04 | Přečteno: 1360×

    Používáte PAM modul pam_access? Pak byste měli zbystřit, protože za vhodných podmínek existuje potenciální možnost obejití tohoto modulu.

    Ukázková konfigurace

    Předpokládejme, že součástí autentizace uživatele pro PAM službu sshd je modul pam_access, kterým můžete řídit přístup uživatele k jeho účtu na základě IP adresy, IP sítě nebo domény odkud se uživatel hlásí (v případě lokálního uživatele podle terminálového zařízení, což ale není pro náš případ zajímavé). Nechť obsah konfiguračního souboru /etc/security/access.conf je následující:

    -:root:ALL EXCEPT 127.0.0.1.
    

    a /etc/pam.d/sshd obsahuje v sekci account:

    account    required     /lib/security/pam_access.so
    

    Což znamená, že uživatel root se bude moci přihlásit jen z localhostu. Zdálo by se, že takováto konfigurace je neprůstřelná a dotěrní crackeři snažící se přihlásit jako root přes SSH budou mít smůlu.

    Jenže tomu tak není. Pokud (a teď vyjmenuji ony hypotetické vhodné podmínky)

    1. útočník je schopen podvrhnout dopředné DNS dotazy na doménové jméno localhost. a reverzní na svoji IP 1.2.3.4
    2. pokud nemáte tyto údaje v statické databázi /etc/hosts (nebo resolvujete v pořadi bind host)
    3. a pokud používáte výchozí nastavení OpenSSH démona UseDNS yes,

    tak si může utočník začít hledat nůž na další zářez ve svém terminálu.

    Jak je to možné?

    1. útočník se připojí z IP 1.2.3.4 na server
    2. sshd provede revezní dotaz gethostbyaddr("1.2.3.4")
    3. útočník odpoví localhost.
    4. sshd provede dopředný dotaz gethostbyname("localhost.")
    5. útočník odpoví 1.2.3.4
    6. sshd shledá, že DNS záznamy jsou v pořádku a nastaví PAM_RHOST na localhost
    7. sshd zavolá PAM autentizační proces přes pam_authenticate()
    8. libpam zavolá nepřímo match_from()pam_access.so
    9. match_from() provede gethostbyname("localhost")
    10. match_from() obdrží tentokrát správnou IP adresu 127.0.0.1
    11. match_from() najde shodu v /etc/security/access.conf
    12. a konečně pam_access vratí PAM_SUCCESS

    Kde je zakopán pes a jak se bránit

    Problém spočívá v tom, že PAM důvěřuje DNS systému. Problém je, že tuto důveru zavádí již XSSO standard, konkrétně definice položky PAM_RHOST. A OpenSSH se jí drží, a proto defaultně předává PAMu hostname a ne IP adresu.

    Řešením je vypnutí DNS překladu v sshd démonu volbou UseDNS no a samozřejmě nepoužíváním domenových jmen v konfiguraci modulu pam_access.

    Problematika samozřejmě není omezena jen na pam_access a sshd, ale týká se jakéhokoliv PAM modulu, který rozhoduje na základě doménového jména. Nebo který rozhoduje základě IP adresy, ale služba jej používající mu předává hostname.

           

    Hodnocení: -

    zatím nehodnoceno
            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    1.6.2005 13:18 imro | skóre: 19 | blog: hovado
    Rozbalit Rozbalit vše dobry tip,takych treba viac
    zaujimave.Sice tento pam modul nepouzivam,ale je pekne dozvediet sa nieco viac.Dik za dobry typ.
    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.