tcb вместо /etc/shaddow

Разнесение хешей по отдельным файлам, с правом чтения своих хешей самими пользователями

Откуда вот вы берётесь? Только честно? На ЛОРе же посылают к окулисту с 199... не помню какого года. А воз и ныне там.

«Для проверки паролей системным процессом доступ предоставляется через помещение процесса в группы „shadow“ и „auth“, при том, что доступ к иерархии /etc/tcb ограничен только членам группы shadow. Например, параметры сохраняются в файле /etc/tcb/user/shadow, где каталог /etc/tcb принадлежит root:shadow и имеет права „drwx--x---“ , а /etc/tcb/user/ user:auth „drwx--s---“ и /etc/tcb/user/shadow - user:auth »-rw-r-----"). "

Для пользователя ничего не поменяется. (В следующий раз глаза на продажу изымем. Потому что они явно не используются.)

В следующий раз глаза на продажу изымем.

Ай, зачем, дорогой, такое фуфло хочешь впарить, да?
Хорошие давай.

Не ну текст-то он видит, раз новость прочитал. Так что глаза рабочие. Он дальше читать не захотел. Превышен лимит SMS/твитта...

Для пользователя ничего не поменяется.

Расскажи как же тогда реализовано следующее?

При подобной организации хранения операции с паролями можно выполнять без повышения прав, а процесс, осуществляющий обработку учётных данных, ограничен учётной записью отдельного пользователя.

Да и сбавь тон, хамством ты ничего не докажешь.

Ну на opennet же в камментах отвечают и разжёвывают.

Но если надо повторить здесь, то утилита, которой нужен хеш пользователя имеет владельцем группу shadow и setgid. Т.е. при запуске становится не user:user, а user:shadow и получает доступ на чтение к /etc/tcb.

А ваши скрипты и программы, если root вас зачем-то не засунул в shadow доступа туда не получат.

утилита, которой нужен хеш пользователя имеет владельцем группу shadow и setgid. Т.е. при запуске становится не user:user, а user:shadow и получает доступ на чтение к /etc/tcb

Теперь понятно.

Решето!

(просто давно хотел такое написать)

Код, имеющий доступ к /etc/shadow проверен десятилетиями.

Прости, это не так работает.

/etc/shadow - как и юзеры в /etc/passwd - не нужны. Есть sssd с которым общение идет через сокет и который, в принципе, может работать вообще без рутовых привилегий.

Есть sssd с которым общение идет через сокет и который, в принципе, может работать вообще без рутовых привилегий.

Это пока в нём дыру не найдут лол

Оно теоретически да, но чем такие вещи проще и дубовее, тем менее вероятно, что там что-то не так окажется.