Concessione dell'accesso al proprio account

Con Kerberos, è possibile concedere a un altro utente l'accesso al proprio account (con la relativa identità), senza bisogno di rivelare la password, collocando un file .k5login nella propria directory iniziale. Il file .k5login contiene un elenco di uno o più nomi principali Kerberos corrispondenti alle persone a cui si desidera concedere l'accesso al proprio account. (Ogni nome principale deve trovarsi su una riga diversa.)

Si supponga che l'utente davide abbia un file .k5login nella propria directory iniziale con il seguente contenuto:

giovanna@EURO.SPA.IT
mario@SPA.ORG  

Questo file permette agli utenti giovanna e mario di assumere l'identità di davide, purché abbiano già i ticket Kerberos necessari nei rispettivi settori. Ad esempio, giovanna può eseguire rlogin sul sistema di davide (torino), con l'identità di davide, senza dover inserire la sua password:

Figura 6-1 Uso del file .k5login

(Se la directory iniziale di davide fosse attivata via NFS, con i protocolli Kerberos V5, da un altro (terzo) sistema, giovanna, per poter accedere alla sua directory iniziale, dovrebbe avere un ticket inoltrabile. Per un esempio dell'uso dei ticket inoltrabili, vedere "Creare un ticket".)

Se si prevede di dover eseguire il login in altri sistemi attraverso la rete, può essere comodo includere il proprio nome principale Kerberos nei file .k5login di questi sistemi.

L'uso di un file .k5login è molto più sicuro della rivelazione della propria password, in quanto:

• L'accesso può essere revocato in qualunque momento rimuovendo i nomi principali degli altri utenti dal proprio file .k5login.

• Anche se gli utenti nominati nel file .k5login della directory iniziale di un utente hanno pieno accesso all'account di quell'utente sul sistema (o su più sistemi, se il file .k5login è condiviso, ad esempio tramite NFS), essi non ereditano i suoi privilegi di rete: i servizi basati su Kerberos autorizzano infatti l'accesso in base all'identità dell'utente richiedente, non in base a quella dell'utente che concede l'accesso. Questo significa che giovanna potrà eseguire il login nel sistema di mario ed eseguire operazioni su quel sistema, ma, se userà un programma basato su Kerberos come ftp o rlogin, dovrà farlo come se stessa.

• Kerberos registra in un log gli utenti che ricevono i ticket, perciò l'amministratore di sistema potrà scoprire. all'occorrenza, chi possa usare l'identità di un certo utente in un dato momento.

Un modo comune di usare il file .k5login è quello di collocarlo nella directory iniziale di root, assegnando l'accesso root per il sistema ai nomi principali Kerberos elencati. Questo permette agli amministratori di sistema di diventare root localmente, o di eseguire un login remoto come root senza dover rivelare la password di root, e senza che nessuno debba digitare la password di root attraverso la rete.

Esempi: Uso del file .k5login

Si supponga che giovanna decida di eseguire il login nel sistema torino.spa.it come root. Avendo una voce per il suo nome principale nel file .k5login della directory iniziale di root su torino.spa.it, essa non avrà bisogno di digitare la sua password:

% rlogin torino.spa.it -l root -x
Questa sessione rlogin utilizza la cifratura DES per tutte le 
trasmissioni di dati.  
Ultimo login: gio 20 giu 16:20:50 da plutone  
SunOS Release 5.7 (GENERIC) #2: Tue Nov 14 18:09:31 EST 1998  
torino[root]%