Passwort-Verwaltung

Wenn Sie SEAM installiert haben, verfügen Sie jetzt über zwei Passwörter: Ihr normales Solaris-Passwort und ein Kerberos-Passwort. Sie können für beides dieselben oder unterschiedliche Passwörter verwenden.

Nicht kerberosfähige Befehle wie login werden in der Regel durch PAM so eingerichtet, dass sie die Authentisierung bei Kerberos wie auch bei UNIX vornehmen. Wenn Sie unterschiedliche Passwörter haben, müssen Sie beide Passwörter für eine Anmeldung mit entsprechender Authentisierung angeben. Wenn beide Passwörter aber dieselben sind, wird das erste, das Sie für UNIX eingeben, auch von Kerberos akzeptiert.

Leider kann durch Verwendung desselben Passworts für beide die Sicherheit beeinträchtigt werden. Das heißt, wenn jemand Ihr Kerberos-Passwort entdeckt, dann ist eben Ihr UNIX-Passwort auch kein Geheimnis mehr. Jedoch ist die Verwendung desselben Passworts für UNIX und für Kerberos immer noch sicherer als eine Site ohne Kerberos, weil in einer Kerberos-Umgebung die Passwörter nicht über das Netzwerk versendet werden. Gewöhnlich hat eine Site Richtlinien, die Ihnen bei der Entscheidung über Ihre Optionen helfen.

Ihr Kerberos-Passwort ist für Kerberos die einzige Möglichkeit, Ihre Identität zu überprüfen. Wenn jemand Ihr Kerberos-Passwort entdeckt, wird die Kerberos-Sicherheit bedeutungslos, weil diese Person sich für Sie ausgeben und E-Mails senden kann, die scheinbar von Ihnen kommen, Ihre Dateien lesen, bearbeiten oder löschen kann, oder sich mit Ihrem Namen bei anderen Hosts anmelden kann; niemand wird in der Lage sein, einen Unterschied festzustellen. Aus diesem Grund ist es es unerlässlich, dass Sie ein gutes Passwort auswählen und es geheim halten. Wenn Sie einer anderen Person Zugang zu Ihrem Konto gewähren müssen, können Sie dies über Kerberos tun, ohne Ihr Passwort preisgeben zu müssen (Siehe "Zugriffserlaubnis auf ein Konto"). Sie solten niemals Ihr Passwort einer anderen Person nennen, nicht einmal Ihrem Systemverwalter. Außerdem sollten Sie Ihr Passwort häufig ändern, besonders immer dann, wenn Sie glauben, jemand könnte es herausgefunden haben.

Ratschläge zur Auswahl eines Passworts

Ihr Passwort kann fast aus jedem Zeichen bestehen, das Sie eingeben können (die wichtigsten Ausnahmen sind die STRG-Taste und die RETURN-Taste oder Eingabetaste). Ein gutes Passwort ist eines, das Sie leicht behalten können, aber das kein anderer leicht erraten kann. Hier sind einige Beispiele für schlecht gewählte Passwörter:

• Wörter, die in einem Wörterbuch gefunden werden können

• Ein allgemein bekannter oder beliebter Name

• Der Name einer berühmten Person oder Gestalt

• Ihr eigener Name oder Benutzername in irgendeiner Form (zum Beispiel rückwärts, zweimal wiederholt und so weiter.)

• Der Name der Ehefrau, eines Kindes oder Haustiers.

• Ihr Geburtstag oder der eines Verwandten

• Sozialversicherungsnummer, Führerscheinnummer, Reisepassnummer oder eine ähnliche identifizierende Zahl

• Jedes Beispielpasswort, das in diesem oder irgendeinem anderen Handbuch vorkommt.

Ein geeignetes Passwort umfasst mindestens acht Zeichen. Darüber hinaus sollte ein Passwort eine Mischung unterschiedlicher Zeichen enthalten, wie Groß- und Kleinbuchstaben, Zahlen und Interpunktionszeichen. Es folgen Beispiele von Passwörtern, die gut wären, wenn Sie nicht in diesem Handbuch erschienen:

• Akronyme wie "IHmhiHv" (gemerkt als "Ich hab' mein Herz in Heidelberg verloren")

• Leicht auszusprechende, unsinnige Wörter wie "DackeDiDu" oder "UmmsFallera!"

• Absichtlich falsch geschriebene Phrasen wie "sexOhr" oder "AaaleMchtDnFrauuun!"

Verwenden Sie diese Beispiele nicht. Passwörter, die in Handbüchern erscheinen, sind die ersten, die ein Hacker ausprobiert.

Ändern eines Passworts

Sie können Ihr Kerberos-Passwort auf zwei Arten ändern:

• Mit dem üblichen UNIX-Befehl passwd. Wenn SEAM installiert ist, fragt der Solaris-Befehl passwd automatisch auch nach einem neuen Kerberos-Passwort.

  Der Vorteil bei der Verwendung von passwd anstelle von kpasswd liegt darin, dass Sie beide Passwörter (UNIX und Kerberos) zur selben Zeit festlegen können. Im Allgemeinen müssen Sie jedoch nicht beide Passwörter mit passwd ändern; oft können Sie einfach Ihr UNIX-Passwort ändern und das Kerberos-Passwort unverändert lassen oder umgekehrt.

  ---

  Hinweis -

  Das Verhalten von passwd hängt davon ab, wie das PAM-Modul konfiguriert ist. In manchen Konfigurationen könnte es erforderlich sein, beide Passwörter zu ändern. Für manche Sites muss das UNIX-Passwort geändert werden, während andere verlangen, dass Sie das Kerberos-Passwort ändern.

  ---

• Der Befehl kpasswd ähnelt sehr dem Befehl passwd. Ein Unterschied ist, dass kpasswd nur Kerberos-Passwörter ändert: Sie müssen passwd verwenden, um Ihr UNIX-Passwort zu ändern.

  Ein weiterer Unterschied ist, dass kpasswd das Passwort für einen Kerberos-Hauptbenutzer ändern kann, der kein gültiger UNIX-Benutzer ist. So ist zum Beispiel david/admin ein Kerberos-Hauptbenutzer, aber kein UNIX-Benutzer, weswegen Sie den Befehl kpasswd anstelle von passwd verwenden müssen.

Nachdem Sie Ihr Passwort geändert haben, dauert es einige Zeit, bis die Änderung sich durch ein System vervielfältigt hat (besonders, wenn es sich um ein großes Netzwerk handelt). Abhängig davon, wie Ihr System eingerichtet ist, könnte das etwa einige Minuten bis zu einer Stunde und länger dauern. Wenn Sie kurz nach dem Ändern Ihres Passworts neue Kerberos-Tickets abrufen müssen, versuchen Sie das neue Passwort zuerst. Wenn das neue Passwort nicht funktioniert, versuchen Sie es noch einmal mit dem alten.

Kerberos V5 erlaubt Systemverwaltern, Kriterien über zulässige Passwörter pro Benutzer festzulegen. Solche Kriterien werden durch die Richtlinie definiert, die für jeden Benutzer eingerichtet ist (oder durch eine Standard-Richtlinie); Weitere Informationen zu Richtlinien finden Sie unter "Verwalten von Richtlinien". Nehmen wir zum Beispiel an, dass die Benutzerin jennifer eine Richtlinie (mit dem Namen jenpol) festgelegt hat, die verlangt, dass Passwörter wenigstens acht Zeichen lang sein müssen und mindestens zwei unterschiedliche Zeichenarten enthalten muss. In diesem Fall weist kpasswd den Versuch zurück, "penner" als Passwort zu verwenden.

% kpasswd
kpasswd: Passwort ändern für jennifer@ENG.ACME.COM.
Altes Passwort:   <jennifer gibt Ihr bestehendes Passwort ein>
kpasswd: Das Passwort von jennifer@ENG.ACME.COM wird von 
einer Richtlinie gesteuert, nach der mindestens 8 Zeichen 
mit mindestens zwei unterschiedlichen Zeichenarten erforderlich 
sind (die fünf Zeichenarten sind Grußbuchstaben, Kleinbuchstaben, 
Zahlen, Satzzeichen und alle anderen Zeichen).
Neues Passwort: <jennifer gibt 'penner' ein>
Neues Passwort (erneut):  <jennifer gibt nochmals 'penner' ein>>
kpasswd: Neues Passwort ist zu kurz.
Bitte wählen Sie ein Passwort, das mindestens 8 Zeichen umfaßt. 

Im folgenden Beispiel verwendet jennifer "faulPelz008" als Passwort. Das erfüllt die Kriterien, weil es länger als 8 Zeichen ist und wenigstens zwei Arten von Zeichen (Kleinbuchstaben, Großbuchstabe, Zahlen) enthält.

% kpasswd
kpasswd: Passwort ändern für jennifer@ENG.ACME.COM.
Altes Passwort:  <jennifer gibt Ihr bestehendes Passwort ein>
kpasswd: Das Passwort von jennifer@ENG.ACME.COM wird von 
einer Richtlinie gesteuert, nach der mindestens 8 Zeichen 
mit mindestens zwei unterschiedlichen Zeichentypen erforderlich 
sind (die fünf Zeichentypen sind Grußbuchstaben, Kleinbuchstaben, 
Zahlen, Satzzeichen und alle anderen Zeichen).
Neues Passwort:  <jennifer gibt 'faulPelz008' ein>
Neues Passwort (erneut):  <jennifer gibt noch einmal 'faulPelz008' ein>
Kerberos-Passwort geändert.

Beispiele -- Ändern des Passworts

Das folgende Beispiel zeigt, wie david sein UNIX- und auch sein Kerberos-Passwort mit passwd ändert.

% passwd
	passwd:  Passwort ändern für david.
	Geben Sie Anmeldepasswort (NIS+) ein:         <geben Sie das aktuelle UNIX-Passwort ein>
	Neues Passwort:                        <geben Sie das neue UNIX-Passwort ein>
	Geben Sie das Passwort erneut ein:            <bestätigen Sie das neue UNIX-Passwort>
	Altes KRB5-Passwort:                   <geben Sie das aktuelle Kerberos-Passwort ein>
	Neues KRB5-Passwort:                   <geben Sie das neue Kerberos-Passwort ein>
	Geben Sie das neue KRB5-Passwort erneut ein: <bestätigen Sie das neue Kerberos-Passwort>

Im obigen Beispiel fragt passwd nach dem UNIX- und dem Kerberos-Passwort; wenn jedoch der Parameter try_first_pass im PAM-Modul gesetzt ist, dann wird automatisch das Kerberos-Passwort identisch mit dem UNIX-Passwort eingerichtet. (Dies ist die Standardkonfiguration.) In diesem Fall muss david mit kpasswd das Kerberos-Passwort ändern, wie nachfolgend gezeigt.

Das Beispiel zeigt, wie er nur sein Kerberos-Passwort mit kpasswd ändert:

% kpasswd
kpasswd: Passwort ändern für david@ENG.ACME.COM.
Altes Passwort:           <geben Sie das aktuelle Kerberos-Passwort ein>
Neues Passwort:           <geben Sie das neue Kerberos-Passwort ein>
Neues Passwort (erneut):   <bestätigen Sie das neue Kerberos-Passwort>
Kerberos-Passwort geändert.
 

In diesem Beispiel ändert david das Passwort für den Kerberos-Hauptbenutzer david/admin (der kein gültiger UNIX-Benutzer ist). Um dies zu tun, muss er den Befehl kpasswd verwenden.

% kpasswd david/admin
kpasswd:  Passwort ändern für david/admin.
Altes Passwort:		   	     <geben Sie das aktuelle Kerberos-Passwort ein>
Neues Passwort:			       <geben Sie das neue Kerberos-Passwort ein>
Neues Passwort (erneut):	   <bestätigen Sie das neue Kerberos-Passwort>
Kerberos-Passwort geändert. 
 

Zugriffserlaubnis auf ein Konto

Wenn Sie jemandem Zugriff auf Ihr Konto geben müssen, damit er/sie sich mit Ihrer ID anmelden kann, dann können Sie das über Kerberos erreichen, ohne Ihr Passwort preiszugeben, indem Sie eine .k5login-Datei in Ihrem Home-Verzeichnis ablegen. Diese Datei besteht aus einer Liste mit einem oder mehreren Hauptbenutzern, die jeweils der Person, der Sie den Zugang erlauben möchten, zugeordnet werden. (Jeder Hauptbenutzer muss auf einer gesonderten Zeile angegeben sein.)

Nehmen wir an, dass der Benutzer david eine .k5login-Datei in seinem Home-Verzeichnis führt, deren Inhalt folgendermaßen aussieht:

jennifer@ENG.ACME.COM
joe@ACME.ORG  

Diese Datei erlaubt den Benutzern jennifer und joe, die Identität von david anzunehmen, vorausgesetzt, sie besitzen schon Kerberos-Tickets in ihren jeweiligen Bereichen. So kann zum Beispiel jennifer sich über rlogin auf davids Computer (hamburg) mit dessen Identiät anmelden, ohne dessen Passwort eingeben zu müssen:

Abbildung 6-1 Verwendung der .k5login-Datei

In dem Fall, dass das Home-Verzeichnis von david ein NFS-Mount von einem anderen (dritten) Computer unter Verwendung der Kerberos V5-Protokolle ist, muss jennifer ein weiterreichbares Ticket haben, damit sie auf das Home-Verzeichnis zugreifen kann. Ein Beispiel für die Verwendung eines weiterreichbaren Tickets finden Sie unter "So erstellen Sie ein Ticket".

Wenn Sie sich auf anderen Computern im Netzwerk anmelden möchten, sollten Sie Ihren eigenen Kerberos-Hauptbenutzer in den jeweiligen .k5login-Dateien auf diesen Computern eintragen.

Die Verwendung einer .k5login-Datei ist viel sicherer als die Preisgabe Ihres Passworts:

• Sie können den Zugang jederzeit wieder aufheben, indem Sie den/die Hauptbenutzer aus der Datei .k5login entfernen.

• Obwohl die in der .k5login-Datei Ihres Home-Verzeichnisses genannten Benutzer vollen Zugriff auf Ihr Konto auf diesem Computer (oder auf eine Gruppe von Computern, wenn die Datei .k5login, zum Beispiel über NFS, freigegeben ist) haben, erhalten sie nicht Ihre Netzwerk-Privilegien; das heißt, jeder kerberosfähige Service autorisiert den Zugriff auf der Basis der Identität des jeweiligen Benutzers, nicht Ihrer eigenen. So kann sich jennifer auf dem Computer von joe anmelden und dort Aufgaben erledigen, aber wenn sie ein mit Kerberos ausgestattetes Programm wie ftp oder rlogin verwendet, tut sie dies unter ihrer eigenen Identität.

• Kerberos führt ein Protokoll darüber, wer Tickets abruft; daher kann ein Systemverwalter, sofern erforderlich, herausfinden, wer die Fähigkeit hat, Ihre Benutzer-Identität zu einem bestimmten Zeitpunkt zu benutzen.

Eine übliche Art, die Datei .k5login zu benutzen, ist, sie im Home-Verzeichnis von root abzulegen, wodurch root Zugriff auf die für diesen Computer aufgelisteten Kerberos-Hauptbenutzer erhält. Das gibt einem Systemverwalter die Möglichkeit, auf lokaler Ebene root zu werden, oder sich remote als root anzumelden, ohne das root-Passwort ausgeben zu müssen, und ohne dass jemand das root-Passwort über das Netzwerk eingeben muss.

Beispiel--Verwendung der Datei .k5login

Nehmen wir an, jennifer beschließt, sich auf dem Computer hamburg.acme.com als root anzumelden. Da sie einen Eintrag für ihren Hauptbenutzernamen in der Datei .k5login im Home-Verzeichnis von root auf hamburg.acme.com hat, muss sie auch in diesem Fall nicht ihr Passwort eingeben:

% rlogin hamburg.acme.com -l root -x
Diese rlogin-Sitzung verwendet DES-Verschlüsselung für alle Datenübertragungen.  
Letzte Anmeldung: Do. 20. Juni, 16:20:50 h von chrysantheme
SunOS Release 5.7 (GENERIC) #2: Di 14. Nov 18:09:31 h 1998
hamburg[root]%