Dotaz: nastavenie hesla z bashu , bez prezradenia hesla

[crusoe]

Ahojte ,

Ako sa da nastavit heslo zo shellu bez toho aby bolo "citatelne" v skripte ?

Pouzivam nasledovne :

echo "nbusr123" |passwd root --stdin

Ale z tohto prirodzene kazdy okamzite zisti spravne heslo ...

Odpovědi

[potato]

A z čekokoli jiného to zjistí taky, protože prostě skript nasimuluje až do bodu, kdy se cosi nastaví jako to heslo. U samostatného (self-contained) pro všechny čitelného skriptu to nejde. Ještě tak nejméně šílená varianta asi je vzít supersilné heslo, posolit a zahashovat do fomátu používaného v /etc/shadow a výsledek vložit do skriptu, který ho pak přímo nastaví v /etc/shadow -- a spoléhat, že nikdo nemá výpočetní výkon, aby ho cracknul. Ale všechna příčetná řešení vyžadují opustit některý předpoklad.

[rADOn]

Mít rovnou hash mi nijak šílený nepřipadá, pokud ten skript bude root:root 700. Teda aspoň ne víc šílený než celej ten nápad. K čemu má být taková volovina dobrá?

[marek]

Dobry den.

Jak to ale jinak resite v kickstartech?

Sice timto zpusobem nastavuji jenom docasne heslo, ktere po prvnim prihlaseni menim, ale stejne si myslim, ze je to dostatecne bezpecne.

marek

[rADOn]

Kdyz se na heslo nejde zeptat, tak je to nejaka sitova instalace, ergo nakopiruju ssh klic a heslo neresim.

[marek]

Musim ale alespon nejak zabezpecit pristup na konzoli.

Instalace bez hesla je pro me problem.

marek

[Kit]

Jaký problém? Bez klíče se nepřihlásí.

[marek]

Ja mam pocit, ze redhat defaultne pri nenastavenem heslu roota na konzoli pusti.

marek

[rADOn]

Nejaky heslo tam samozrejme je, ale nikdo ho nezna. Staci precist kousek urandomu, prohnat ho hexdumpem nebo md5kou, nastavit, zahodit.

[marek]

To ale znamena ze kdyz je nejaky problem a nemohu se prihlasit pomoci ssh, tak i na konzoli jsem "marnej". To tam opravdu radsi dam mne zname bezpecne heslo.

marek

[rADOn]

Marnej nejsi, pokud máš přístup k hardwaru tak se bez rootovskyho hesla v kritickým případě obejdeš. A i kdyby ne tak nikdo neřekl že ho nesmíš nastavit, jen ho nemusíš mít hardcodovaný v nějakým skriptu. Pokud teda nemáš v plánu rozbít ssh hned při instalaci

[marek]

Ale ja mam ssh rozbite hned pri instalaci docela casto.

Kdyz nekam vezu novy stroj, nainstaluji ho automatem v kancelari vcetne nastaveni site a uz na to do osazeni do racku ve vzdalene serverovne nesaham.

Kdyz to tam vezu ja, tak je nejjednodusi kontrola spravneho osazeni z konzole.

Kdyz to tam veze nekdo jiny, pak to kontroluji pomoci ssh.

Nerikam, ze to nejde delat jinak a mit pro kazdy zpusob instalace jinou politiku, ale ja jsem liny a trvam na tom, abych pouzival, pokud mozno jeden co nejjednodussi postup.

marek

ps: marnej jsem, pokud to nesmim svevolne vypnout

[ET]

Jak to ale jinak resite v kickstartech?

openssl passwd -1 -salt "shaker" "your_password"
rootpw --iscrypted encryptedpasswdstring

[Marek]

Jedna možnost je definovat nahodné heslo pomoci makepasswd nebo pwgen a pak ho zobrazit nebo nějak přenést ke správci. Druhá možnost je mít ve scriptu rovnou zacryptované heslo a nastavovat ho pomoci chpasswd. Nic lepšího asi nevymyslíš.