6.3. Red Hat Enterprise Linux-Spezifische Informationen

6.3.1.1. Benutzernamen und UIDs, Gruppen und GIDs

In Red Hat Enterprise Linux dienen Benutzer-Account und Gruppen-Namen haupts�chlich dem Komfort von Personen. Intern benutzt das System numerische Identifizierungszeichen. F�r Benutzer ist diese Identifizierung als UID bekannt, w�hrend f�r Gruppen diese Identifizierung als GID bekannt ist. Programme, welche Benutzer- oder Gruppeninformationen f�r Benutzer verf�gbar machen, �bersetzen die UID/GID-Werte in visuell-lesbare Gegenst�cke.

Wichtig

UIDs und GIDs m�ssen weltweit einzigartig innerhalb Ihres Unternehmens sein, sollten Sie beabsichtigen Dateien und Ressourcen �ber ein Netzwerk gemeinsam zu benutzen. Ansonsten w�rden jegliche Zugangskontrollen scheitern, da diese auf UIDs und GIDs basieren und nicht auf Benutzer- und Gruppennamen. Speziell im Falle, dass sich /etc/passwd- und /etc/group-Dateien auf einem Dateiserver und auf dem Arbeitsplatz eines Benutzers in Bezug auf die UIDs oder GIDs unterscheiden, so kann die ungenaue Verwendung von Berechtigungen Sicherheitsfragen aufwerfen. Wenn zum Beispiel Benutzer juan eine UID von 500 auf einem Desktop-Computer besitzt, so werden Dateien, die juan auf einem Dateiserver erstellt, mit Benutzer UID 500 erzeugt. Wenn sich jedoch Benutzter bob lokal auf einem Dateiserver anmeldet (oder auch einem anderen Computer) und bobs Account auch eine UID von 500 besitzt, so hat bob vollen Zugang zu juans Dateien und umgekehrt. Deshalb m�ssen UID- und GID-Kollisionen mit allen Mitteln vermieden werden.

Es gibt zwei F�lle, in denen der eigentliche numerische Wert der UID oder GID eine spezifische Bedeutung hat. Eine UID und GID von Null (0) werden f�r den root-User benutzt und werden speziell behandelt von Red Hat Enterprise Linux — jeglicher Zugang wird automatisch gew�hrt.

Der zweite Fall ist der, dass UIDs und GIDs unter 500 f�r Systembenutzung reserviert sind. Zum Unterschied von UID/GID gleich Null (0) werden UIDs und GIDs unter 500 nicht speziell behandelt. Jedoch d�rfen diese UIDs/GIDs niemals einem Benutzer zugewiesen werden, da es sehr wahrscheinlich ist, dass eine Computerkomponente eine dieser Nummern benutzt oder irgendwann in der Zukunft benutzen wird. F�r weitere Informationen zu diesen Standardbenutzern und -gruppen, siehe Kapitel Benutzer und Gruppen im Red Hat Enterprise Linux Referenzhandbuch.

Wenn neue Benutzer-Accounts mittels der Red Hat Enterprise Linux Standard-Tools zur Benutzer-Erstellung hinzugef�gt werden, so wird dem neuen Benutzer-Account die erstm�glich erh�ltliche UID und GID beginnend mit 500 zugewiesen. Dem n�chsten neuen Benutzer-Account wird sodann UID/GID 501 zugewiesen, gefolgt von UID/GID 502, usw..

Ein kurzer �berblick �ber die verschiedenen Benutzer-Erzeugungstools, welche unter Red Hat Enterprise Linux erh�ltlich sind, scheint sp�ter in diesem Kapitel auf. Jedoch bevor diese Tools besprochen werden, behandelt der n�chste Abschnitt die Dateien, welche von Red Hat Enterprise Linux benutzt werden, um System-Accounts und -Gruppen zu definieren.

6.3.2.1. /etc/passwd

Die /etc/passwd-Datei besitzt eine allgemeine Leseberechtigung und beinhaltet eine Liste von Benutzern, jeweils in einer eigenen Zeile. In jeder Zeile befindet sich eine durch Doppelpunkt abgegrenzte Auflistung mit folgendem Inhalt:

• Benutzername — Der Name, den der Benutzer eintippt, um sich im System anzumelden.

• Passwort — Beinhaltet das verschl�sselte Passwort (oder ein x wenn Schattenpassw�rter (Shadow Passwords) benutzt werden— mehr dar�ber sp�ter).

• Benutzer-ID (UID) — der numerische Gegenwert des Benutzernamens, auf den sich das System und Applikationen beziehen, wenn Zugangsprivilegien festgestellt werden.

• Gruppen-ID (GID) — der numerische Gegenwert des haupts�chlichen Gruppennamens, auf den sich das System und Applikationen beziehen, wenn Zugangsprivilegien festgestellt werden.

• GECOS — Aus historischen Gr�nden GECOS genannt, ist das GECOS[1]-Feld optional und wird dazu benutzt zus�tzliche Informationen zu speichern (wie zum Beispiel den vollen Namen des Benutzers). Mehrere Eintr�ge k�nnen hier in einer durch Beistriche unterteilten Liste gespeichert werden. Einrichtungen wie finger greifen auf dieses Feld zu, um zus�tzliche Benutzerinformation zur Verf�gung zu stellen.

• Heimverzeichnis — Der absolute Pfad zum Heimverzeichnis des Benutzers, wie z.B. /home/juan/.

• Shell — Das Programm, das automatisch startet, wann immer sich ein Benutzer anmeldet. Dies ist normalerweise ein Befehls-Interpreter (oft auch eine shell genannt). Unter Red Hat Enterprise Linux, ist der standardm��ige Wert /bin/bash. Wenn das Feld leer gelassen wird, so wird /bin/sh benutzt. Wenn es zu einer nicht-existenten Datei gesetzt ist, kann sich der Benutzer nicht anmelden.

Hier ist ein Beispiel eines /etc/passwd-Eintrags:

root:x:0:0:root:/root:/bin/bash

Diese Zeile zeigt auf, dass der root-Benutzer ein Shadow-Passwort besitzt sowie ebenso eine UID und GID lautend auf 0. Der root-Benutzer besitzt /root/ als Heimverzeichnis, und benutzt /bin/bash f�r eine Shell.

F�r weitere Informationen �ber /etc/passwd, siehe diepasswd(5) man-Seite.

6.3.2.2. /etc/shadow

Da die /etc/passwd-Datei world-readable sein muss (der Hauptgrund daf�r liegt in der Benutzung der Datei zur �bersetzung von UID auf den Benutzernamen), ist das Speichern aller Passw�rter in /etc/passwd mit einem Risiko verbunden. Zugegeben, die Passw�rter sind verschl�sselt. Jedoch besteht die M�glichkeit Attacken auf Passw�rter zu ver�ben, sobald das verschl�sselte Passwort vorhanden ist.

Wenn ein Attacker ein Kopie von /etc/passwd erlangen kann, so besteht die M�glichkeit, dass insgeheim eine Attacke durchgef�hrt werden kann. Ohne riskieren zu m�ssen, bei einem tats�chlichen Anmeldeversuch mit potentiellen, von einem Passwort-Cracker generierten Passw�rtern erwischt zu werden, kann ein sog. Attacker einen Passwort-Cracker, wie nachfolgend beschrieben, benutzen:

• Ein Passwort-Cracker generiert potentielle Passw�rter

• Jedes potentielle Passwort ist sodann verschl�sselt und benutzt den selben Algorithmus wie das System

• Das verschl�sselte potentielle Passwort wird sodann mit den verschl�sselten Passw�rtern in /etc/passwd verglichen.

Der gef�hrlichste Aspekt einer solchen Attacke ist die Tatsache, dass diese auf einem System weit entfernt von Ihrem Unternehmen stattfinden kann. Daher kann der Angreifer die neueste und beste High-Performance-Hardware benutzen, die es ihm erm�glicht eine enorme Anzahl von Passw�rtern in kurzer Zeit durchzugehen.

Daher kann die /etc/shadow-Datei nur vom Root-Bentuzer gelesen werden und beinhaltet das Passwort (und optionale Passwort-Aging-Information) f�r jeden einzelnen Benutzer. Wie in der /etc/passwd-Datei ist die Information jedes einzelnen Benutzers in einer separaten Zeile. Jede dieser Zeilen ist eine durch Doppelpunkt abgegrenzte Auflistung, welche folgende Infomationen enth�lt:

• Benutzername — Der Name, den der Benutzer eintippt, um sich im System anzumelden. Dies erlaubt der Login-Applikation das Passwort des Benutzers abzufragen (und dazugeh�rige Information).

• Verschl�sseltes Passwort — Das 13 bis 24 Zeichen lange Passwort. Das Passwort ist entweder verschl�sselt mittels der crypt(3)-Bibliothek-Funktion oder dem md5 Hash-Algorithmus. In diesem Feld werden andere Gr��en als g�ltig-formatierte, verschl�sselte oder 'hashed' Passw�rter benutzt, um Benutzer-Logins zu kontrollieren und den Passwortstatus aufzuzeigen. Wenn zum Beispiel der Messwert ! oder *anzeigt, ist der Account gesperrt und der Benutzer darf sich nicht anmelden. Wenn der Messwert !! anzeigt, so wurde zuvor niemals ein Passwort festgelegt (und der Benutzer, der noch kein Passwort vergeben hat, ist nicht in der Lage sich anzumelden).

• Datum der letzten Passwort-�nderung — Die Anzahl der Tage, die vergangen sind, (auch Epoch genannt) seitdem das Passwort zuletzt ge�ndert worden ist. Diese Information wird in Zusammenhang mit den Passwort-Aging Feldern benutzt, welche darauf folgen.

• Anzahl der Tage bevor das Passwort ge�ndert werden kann — Die Mindestanzahl von Tagen, die vergehen m�ssen, bevor das Passwort ge�ndert werden kann.

• Anzahl von Tagen bevor eine Passwort-�nderung erforderlich ist — Die Anzahl der Tage, welche vergehen m�ssen, bevor das Passwort wieder ge�ndert werden muss.

• 'Anzahl der Tage'-Warnung vor der Passwort-�nderung — Die Anzahl der Tage bevor das Passwort abl�uft und w�hrenddessen der Benutzer vor dem bevorstehenden Verfall gewarnt wird.

• Anzahl der Tage bevor der Account deaktiviert wird — Die Anzahl der Tage nachdem ein Passwort abgelaufen ist und bevor der Account deaktiviert wird.

• Zeitpunkt seitdem der Account deaktiviert worden ist — Der Zeitpunkt (gespeichert als Anzahl der Tage seit dem Epoch) seitdem der Benutzer-Account gesperrt worden ist.

• Ein reserviertes Feld — Ein Feld das in Red Hat Enterprise Linux ignoriert wird.

Hier ist eine Beispielzeile von /etc/shadow:

juan:$1$.QKDPc5E$SWlkjRWexrXYgc98F.:12825:0:90:5:30:13096:

Diese Zeile zeigt die folgende Information f�r Benutzer juan auf:

• Das Passwort wurde zuletzt am 11. Februar 2005 ge�ndert

• Es gibt keinen erforderlichen Mindestzeitraum bevor das Passwort ge�ndert werden kann

• Das Passwort muss alle 90 Tage ge�ndert werden

• Der Benutzer erh�lt eine Warnung f�nf Tage bevor das Passwort ge�ndert werden muss

• Der Account wird 30 Tage nachdem das Passwort abgelaufen ist und im Falle, dass keine Anmeldeversuche stattgefunden haben, deaktiviert werden

• Der Account wird am 9. November 2005 ablaufen

F�r weitere Infomationen zur /etc/shadow-Datei, siehe dieshadow(5) man-Seite.

6.3.2.3. /etc/group

Die /etc/group-Datei ist world-readable und beinhaltet eine Auflistung von Gruppen, wobei sich jede einzelne in einer eigenen Zeile befindet. Jede Zeile ist eine aus vier durch Doppelpunkte getrennte Felder bestehende Auflistung, welche die folgende Information beinhaltet:

• Gruppenname — Der Name der Gruppe. Von verschiedensten Dienstprogrammen als visuell lesbarer Identifikatior f�r die Gruppe benutzt.

• Gruppenpasswort — Wenn gesetzt, erm�glicht es Benutzern, die nicht einer Gruppe angeh�ren, der Gruppe beizutreten, indem der Befehl newgrp benutzt wird und das hier gespeicherte Passwort eingetippt wird. Wenn sich ein kleingeschriebenes x in diesem Feld befindet, so werden Shadow-Gruppenpassw�rter benutzt.

• Gruppen-ID (GID) — Das numerische �quivalent zum Gruppennamen. Es wird vom Betriebssystem und Applikationen zur Ermittlung von Zugangsprivilegien benutzt.

• Mitgliederliste — Eine durch Beistriche getrennte Auflistung von Benutzern, die zu einer Gruppe geh�ren.

Hier ist eine Beispielzeile von /etc/group:

general:x:502:juan,shelley,bob

Diese Zeile zeigt auf, dass die General Gruppe, die Shadow-Passw�rter besitzt, eine Gruppen-ID von 502 besitzt und dass juan, shelley und bob Mitglieder dieser Gruppe sind.

F�r weitere Informationen zu /etc/group, siehe diegroup(5) man-Seite.

6.3.2.4. /etc/gshadow

Die /etc/gshadow-Datei kann nur vom Root-Benutzer gelesen werden und beinhaltet ein verschl�sseltes Passwort f�r jede einzelne Gruppe sowie auch Gruppenmitglieder- und Adminstratorinformationen.Genau wie in der /etc/group-Datei, befindet sich die Information jeder einzelnen Gruppe in einer separaten Zeile. Jede einzelne dieser Zeilen ist eine durch Doppelpunkt getrennte Auflistung, welche folgende Informationen enth�lt:

• Gruppenname — Der Name der Gruppe. Von verschiedensten Dienstprogrammen als visuell lesbarer Identifikatior f�r die Gruppe benutzt.

• Verschl�sseltes Passwort — Das verschl�sselte Passwort f�r die Gruppe. Wenn festgesetzt, erm�glicht es Benutzern, die nicht einer bestimmtenGruppe angeh�ren, der Gruppe beizutreten, indem der Befehl newgrp benutzt wird. Wenn der Wert des Feldes ! ist, ist es keinem Benutzer erlaubt mittels dem newgrp-Befehl auf eine Gruppe zuzugreifen. !! besitzt den selben Wert wie ! — zeigt jedoch gleichzeitig an, dass niemals zuvor ein Passwort bestimmt worden ist. Sollte der Wert null sein, so haben nur Gruppenmitglieder Zugang zur Gruppe.

• Gruppenadministratoren — Hier aufgelistete Gruppenmitglieder (in einer durch Beistriche getrennten Auflistung) k�nnen Gruppenmitglieder hinzuf�gen oder entfernen mittels demgpasswd -Befehl.

• Gruppenmitglieder — Hier aufgelistete Gruppenmitglieder (in einer durch Beistriche getrennten Auflistung) sind regul�re, nicht-administrative Mitglieder der Gruppe.

Hier ist eine Beispielzeile aus /etc/gshadow:

general:!!:shelley:juan,bob

Diese Zeile zeigt, dass General Gruppe kein Passwort besitzt und Nicht-Mitgliedern nicht erlaubt beizutreten, indem diese den Befehl newgrp verwenden. Zus�tzlich dazu ist shelley ein Gruppenadministrator und juan und bob sind regul�re, nicht-administrative Mitglieder.

Da das manuelle Bearbeiten dieser Dateien das Potential f�r Syntax-Fehler erh�ht, wird empfohlen, dass die Applikationen, die mit Red Hat Enterprise Linux f�r diesen Zweck zur Verf�gung gestellt werden stattdessen benutzt werden. Der n�chste Abschnitt behandelt die prim�ren Tools, die diese Aufgaben erf�llen.

6.3.3.1. Dateirechte-Applikationen

Dateirechte sind ein wesentlicher Bestandteil in der Verwaltung von Ressourcen innerhalb eines Unternehmens. Die folgende Auflistung beschreibt einige der gebr�uchlicheren Befehlszeilen-Tools, die f�r diesen Zweck verwendet werden.

Es ist auch m�glich diese Attribute in der grafischen Umgebung von GNOME und KDE zu ver�ndern. Klicken Sie mit der rechten Maustaste auf das Symbol der Datei (zum Beispiel w�hrend das Symbol in einem grafischen Dateimanager oder Desktop angezeigt wird) und w�hlen Sie Properties.