Dotaz: Hromadna zmena inicializacnich hesel na serverech

[aaaaaa]

Ahoj, obracim se na vas s prosbou, jak hromadne zmenit inicializacni hesla na serverech tak, aby to bylo bezpecne. Dival jsem se na http://arunaw.blogspot.cz/2012/01/change-your-own-password-in-multiple.html, coz je dobry start, ale neresi se bezpecnost a dve ruzna hesla. Jak tedy nejlepe prenest heslo a jak propsat heslo pri promptu ke zmene hesla ? Diky moc

---

---

Odpovědi

[tomasgn]

imo chpasswd v spravnom cykle spravi to co ma

D.

[aaaaaa]

Problem je v tom, ze je potreba zadat inicializacni heslo, pote soucasne heslo a dvakrat nove, ale to urcite vite. ssh HOSTNAME "echo 'USER:PASSWORD'|chpasswd -c" Takhle to nebude nebude fungovat.

[Jendа]

Udělal bych si skript na "expect" a passwd. Nebo můžeš prasácky vygenerovat pomocí mkpasswd hashe a přepsat to v /etc/shadow.

Pokud těch serverů není >1000, tak se to podle mě nevyplatí skriptovat. A pokud je, tak mě zaráží, že někdo, kdo dostal do správy takový botnet, pokládá takový dotaz.

[Jendа]

No dobře, tak >50, to přepsání ve shadow je jednoduché.

[aaaaaa]

jezis, ze by to byl obycejny uzivatel, ktery /etc/shadow nezmeni a uz vubec se k nemu nedostane, protoze po pripojeni na server musi zmenit inicializacni heslo? botnet, to se maze na chleba? U nas na vesnici nemame zadne obchody s botami, pouze jednotu a smisene zbozi.

[Jendа]

jezis, ze by to byl obycejny uzivatel

Aha tak to bych zase čekal že v takovém systému se budou používat SSH klíče, nějaká centralizovaná správa přihlášení nebo nejlépe obojí.

No tak ten expect.

[marek]

dobry den.

nascriptovat se to rozhodne vyplati:

OLD='2423dfgdes1423sdgfju65'
NEW='tfujhnuj56!@$'
for i in 127.0.0.1 ; do  expect -c 'spawn ssh zk@'$i'
expect "password: "
send "'$OLD'\r"
expect "$ "
send "passwd\r"
expect "(current) UNIX password:"
send "'$OLD'\r"
expect "Enter new UNIX password:"
send "'$NEW'\r"
expect "Retype new UNIX password:"
send "'$NEW'\r"
expect "$ "
send "exit\r"
'; done

Toto trvalo asi 5 minut i s instalaci expect.(kostru jsem samozrejme nekde opsal)

Marek

[aaaaaa]

Jak jsem psal vyse, nemuzu pouzit expect, bohuzel, ani nic jineho, co by bylo potreba doinstalovat.

[pepe_]

Nikde neni uvedeno ze nemuzes instalovat a pouzivat expect. Jak a kde vyse ?

[aaaaaa]

Aha, expect teda vyuzit muzu, pujdu z jineho serveru, na kterym expect je. To jsem netusil. To, co me trapi nejvic je: ps -ef |grep uzivakcopoustiscriptprozmenuhesla a ups.... Security issue >d

[aaaaaa]

To opravdu nikdo neumi resit, nebo co?

[Sten]

Otrocké metody jsou zmíněny výše. Pro větší počet serverů se vyplatí použít LDAP nebo Kerberos