Dotaz: Hash algoritmus v /etc/shadow

[trancelius]

Zdravím,
jednu svou síť stěhuju z SUSE 9.2 na Gentoo, všecko jede hladce, až na jeden drobnej problém: Suse ukládá hesla jako blowfish otisk, v Gentoo je defaultně MD5. Kde se nastavuje, jaký algoritmus se bude používat při přihlašování ? Je tam skoro 800 uživatelů a každýmu znovu dělat heslo by bylo dost otravný. Předem děkuju za pomoc :)

Odpovědi

[unchallenger]

Kde se to dělá na Gentoo, nevím. Na jiných distrech by to mohlo být např.: /etc/login.defs, /etc/libuser.conf, /etc/libuser/libuser.conf, /etc/default/passwd, ..., a asi i jinde ;-)

[Michal Marek (twofish)]

Ale tak jako tak by před tím hashem měla být značka určující použitý algoritmus (u toho MD5-based je to "$1$"), takže by mělo jít ověřovat různě zahashovaná hesla (doufám ).

[unchallenger]

No, já jsem četl tu manálovou stránku dopředu i pozpátku, ale pochopil jsem z ní akorát, jak se pozná DES a MD5. Ale ne jak se pozná MD5 a něco dalšího. To se píše kde?

[Michal Marek (twofish)]

No to bylo spíš zbožné přání

[Zdeněk Burda]

Pokud si dobře pamatuju, tak MD5 začíná $1$ a blowfish $2a$ pak je salt a $ (i u md5) a DES je hnusnej 13 znakovej řetězec.

[trancelius]

login.defs mám, ale tam jsou nastavení jako timeouty atd ... Vypadá to, že ve standardním GNU blowfish vůbec není, je to asi doména redhatoidů :o) takže emerge libxcrypt (ta je btw od suse teamu). Nějak to spatlám dokupy, i tak dík :)

[unchallenger]

Zkus prostě grepovat case-insensitive md5 v /etc, ono to tam někde bude...

[Michal Čihař]

Není to spíš věc nastavení PAMu?

/etc/pam.d/common-password:
# (Add `md5' after the module name to enable MD5 passwords)

[unchallenger]

To je fakt, tazatele spíš zajímá ověřování než vytváření nových účtů.

Např. SuSE se používá nějaký jiný pam_unix -- pam_unix2, který má konfigurák /etc/security/pam_unix2.conf, kde tohle je.

No, grepovat v /etc se zatím ukazuje jako nejelpší metoda ;-)

[trancelius]

grepování (grep -ri "md5" /etc/pam.d/) bylo efektívní ;) stačilo změnit v /etc/pam.d/system-auth

password   sufficient   /lib/security/pam_unix.so nullok md5 shadow use_authtok

na blowfish ... zajímavé :)

[Michal Kubeček]

Při ověřování se prostě použije ten algoritmus, který je použit u konkrétního hashe. Mám systém, kde jsou v /etc/shadow hesla hasovaná DES, MD5 i Blowfishem a fungují všechna. Samozřejmě ale musí váš systém ten algoritmus rozeznat a podporovat.

[trancelius]

Takže funkční řešení nakonec bylo emerge libxcrypt pam_unix2 a změna všech výskytů "pam_unix" v /etc/pam.d/system-auth na "pam_unix2". Easy :)

PS: ebuild pam_unix2 jsem si napsal, kdyby někdo chtěl, pošlu mu ho na mail