[Ubuntu 9.10] Verhinderen van veranderen van paswoord

[Petervanakelyen]

Volgens mij moet dit heel erg simpel te doen zijn, maar ik kan het zo direct niet vinden. Ik wil ervoor zorgen dat een normale gebruiker (geen root) zijn eigen paswoord niet kan wijzigen.

Ik neem aan dat je niet zomaar permissies op /etc/passwd kan instellen?

[Verwijderd]

code:

man passwd

code:

       -l, --lock
           Lock the password of the named account. This option disables a password by changing it to a value which matches no possible encrypted value (it adds a ´!´ at the beginning of the password).

Edit: whoops te snel gelezen deze avond. Probeer mindays

[ Voor 9% gewijzigd door Verwijderd op 30-05-2010 22:14 ]

[Kees]

wachtwoorden staan uberhaubt niet in /etc/password (mag ik hopen ).

Als je PAM gebruikt, dan zou je in de files in /etc/pam.d/ wel wat dingen kunnen veranderen; met name de lijnen die met 'passwd' beginnen.

[Rainmaker]

De lompe methode is gewoon de setuid bit van /bin/passwd af te halen.

Maar je kunt ook iets instellen in cracklib (inderdaad minimum aantal dagen e.d.)

[MartinMeijerink]

Rainmaker schreef op maandag 31 mei 2010 @ 08:50:
De lompe methode is gewoon de setuid bit van /bin/passwd af te halen.

Maar daar kan een gebruiker heel makkelijk omheen, door in zijn eigen homedir zijn eigen 'passwd' te zetten, en dan die gebruiken om zijn password te veranderen...

[BarthezZ]

Nee hoor MartinMeijerink, een gewone gebruiker kan geen SUID zetten, en ik ben benieuwd hoe een gewone gebruiker op /etc/shadow kan schrijven?

:~$ ls /etc/shadow /etc/passwd -l
-rw-r--r-- 1 root root   1791 2010-01-25 20:09 /etc/passwd
-rw-r----- 1 root shadow 1351 2010-02-22 20:08 /etc/shadow

[MartinMeijerink]

Het blijkt idd niet zo simpel te gaan als ik dacht...
Een suid zetten lukt echter nog wel, maar alleen als het bestand van de gebruiker zelf is, dus het heeft geen zin, aangezien een reguliere gebruiker de owner hiervan niet in root kan veranderen...

[Petervanakelyen]

OK, het is geblokkeerd, maar het is niet helemaal de nette manier precies. Als de gebruiker het paswoord nu probeerd te veranderen crasht de GUI na een paar seconden met de vraag een rapport te sturen

[u_nix_we_all]

Verwijderd schreef op zondag 30 mei 2010 @ 22:13:

code:

man passwd

code:

       -l, --lock
           Lock the password of the named account. This option disables a password by changing it to a value which matches no possible encrypted value (it adds a ´!´ at the beginning of the password).

Edit: whoops te snel gelezen deze avond. Probeer mindays

Dat is toch wel de goeie tip volgens mij hoor. Ik heb eens getest (op 10.04 weliswaar, maar dat zal op 9.10 toch ook wel werken?). In /etc/shadow het 4e veld met "minimum password age" op 99999 gezet, et voila:

code:

tester1@jaap-laptop:~$ passwd
Changing password for tester1.
(current) UNIX password: 
You must wait longer to change your password
passwd: Authentication token manipulation error
passwd: password unchanged
tester1@jaap-laptop:~$

Edit: man shadow is je vriend

[Petervanakelyen]

De mindays optie werkt inderdaad beter dan ik had verwacht.