Fichier /etc/uucp/Permissions UUCP

Le fichier /etc/uucp/Permissions spécifie les autorisations des ordinateurs distants en matière de connexion, d'accès aux fichiers et d'exécution des commandes. Certaines options restreignent la capacité de l'ordinateur distant à envoyer des demandes aux fichiers et sa capacité à recevoir les fichiers mis en file d'attente par l'ordinateur local. Une autre option disponible permet de spécifier les commandes qu'un ordinateur distant peut exécuter sur l'ordinateur local.

Structuration des entrées UUCP

Chaque entrée est une ligne logique, avec des lignes physiques terminées par un backslash (\) pour indiquer qu'elles continuent. Les entrées sont composés d'options délimitées par une espace. Chaque option est une paire nom-valeur dans le format suivant :

name=value

values peut consister en des listes séparés par deux points. Aucune espace n'est autorisée au sein d'une affectation d'option.

Les lignes de commentaires commencent par le signe dièse (#) et occupent l'intégralité de la ligne jusqu'à un caractère de nouvelle ligne. Les lignes vides sont ignorées, même au sein d'entrées à plusieurs lignes.

Les types d'entrées du fichier Permissions sont les suivants :

• LOGNAME : spécifie les autorisations qui entrent en vigueur lorsqu'un ordinateur distant se connecte à (appelle) votre ordinateur.

  ---

  Remarque - Lorsqu'un ordinateur distant vous appelle, son identité est douteuse sauf si l'ordinateur distant possède un identifiant de connexion unique et un mot de passe vérifiable.

  ---

• MACHINE : spécifie les autorisations qui entrent en vigueur lorsque votre ordinateur se connecte à (appelle) un ordinateur distant.

Les entrées LOGNAME contiennent une option LOGNAME. Les entrées MACHINE contiennent une option MACHINE. Une entrée peut contenir les deux options.

Eléments à prendre en compte relatifs au protocole UUCP

Lors de l'utilisation du fichier Permissions pour limiter les autorisations accordées à des ordinateurs distants, vous devez prendre en compte les éléments suivants :

• Tous les ID de connexion utilisés par les ordinateurs distants pour se connecter pour les communications UUCP doivent apparaître dans une seule et unique entrée LOGNAME.

• Tous les sites appelés avec un nom qui ne figure pas dans une entrée MACHINE comportent les autorisations ou restrictions par défaut suivantes :

  • Les demandes d'envoi et de réception locales sont exécutées.

  • L'ordinateur distant peut envoyer des fichiers au répertoire /var/spool/uucppublic de votre ordinateur.

  • Les commandes qui sont envoyées par l'ordinateur distant pour être exécutées sur votre ordinateur doit être l'une des commandes par défaut, généralement rmail.

Option REQUEST UUCP

Lorsqu'un ordinateur distant appelle votre ordinateur et effectue une demande de réception de fichier, cette demande peut être autorisée ou refusée. L'option REQUEST indique si l'ordinateur distant peut envoyer une demande afin de configurer les transferts de fichiers à partir de votre ordinateur. La chaîne REQUEST=yes indique que l'ordinateur distant peut demander à transférer des fichiers à partir de votre ordinateur. La chaîne REQUEST=no indique que l'ordinateur distant ne peut pas demander à recevoir de fichiers depuis votre ordinateur. REQUEST=no, la valeur par défaut, est utilisée si l'option REQUEST n'est pas spécifiée. L'option REQUEST peut apparaître dans une entrée LOGNAME, de sorte que l'ordinateur distant vous appelle, ou dans l'entrée MACHINE, de sorte que vous pouvez appeler l'ordinateur distant.

Option SENDFILES UUCP

Lorsqu'un ordinateur distant appelle votre ordinateur et termine son travail, l'ordinateur distant peut tenter de récupérer le travail que votre ordinateur a mis en file d'attente. L'option SENDFILES indique si votre ordinateur peut envoyer le travail mis en file d'attente pour l'ordinateur distant.

La chaîne SENDFILES=yes indique que l'ordinateur peut envoyer le travail en attente pour l'ordinateur distant si la connexion est établie à l'un des noms figurant dans l'option LOGNAME. Cette chaîne est obligatoire si vous avez saisi Never dans le champ Time du fichier /etc/uucp/Systems. Cette désignation configure votre machine locale en mode passif, mais ne l'autorise pas à lancer un appel vers cet ordinateur distant. Pour plus d'informations, reportez-vous à la section Fichier /etc/uucp/Systems UUCP.

La chaîne SENDFILES=call indique que les fichiers en attente sur votre ordinateur sont envoyés uniquement lorsque votre ordinateur appelle l'ordinateur distant. La valeur call est la valeur par défaut pour l'option SENDFILES. Cette option est significative uniquement dans les entrées LOGNAME, car les entrées MACHINE s'appliquent lorsque des appels sont envoyés vers des ordinateurs distants. Si l'option est utilisée avec une entrée MACHINE, elle est ignorée.

Option MYNAME UUCP

Cette option vous permet de définir un nom de noeud UUCP unique pour votre ordinateur en plus de son nom d'hôte TCP/IP, tel que renvoyé par la commande hostname. Par exemple, si vous avez involontairement donné à votre hôte le même nom que celui d'un autre système, vous pouvez définir l'option MYNAME du fichier Permissions. Supposons que vous souhaitiez que votre société soit connue sous le nom widget. Si tous les modems sont connectés à une machine avec le nom d'hôte gadget , vous pouvez avoir une entrée dans le fichier Permissions de gadgettelle que la suivante :

service=uucico systems=Systems.cico:Systems   
  dialers=Dialers.cico:Dialers \ 
  devices=Devices.cico:Devices   
service=cu systems=Systems.cu:Systems \ 
  dialers=Dialers.cu:Dialers \   
  devices=Devices.cu:Devices

A présent, le système world peut se connecter à l'ordinateur gadget de la même manière que si il se connectait à widget. Afin que la machine world vous connaisse également par l'alias widget lorsque vous appelez, vous pouvez avoir une entrée similaire à la suivante :

MACHINE=world MYNAME=widget

Vous pouvez également utiliser l'option MYNAME à des fins de test, étant donné que cette option permet à votre ordinateur de s'appeler lui-même. Toutefois, étant donné que cette option pourrait être utilisée pour masquer l'identité réelle d'un ordinateur, vous devez utiliser l'option VALIDATE, tel que décrit à la section Option VALIDATE UUCP.

Options READ et WRITE UUCP

Ces options spécifient les différentes parties du système de fichiers que la commande uucico peut lire ou sur lesquelles elle peut écrire. Vous pouvez désigner les options READ et WRITE avec une entrée MACHINE ou LOGNAME.

La valeur par défaut des options READ et WRITE est le répertoire uucppublic, comme indiqué dans les chaînes suivantes :

READ=/var/spool/uucppublic WRITE=/var/spool/uucppublic 

Les chaînes READ=/ et WRITE=/ indiquent l'autorisation d'accéder à tous les fichiers accessibles par un utilisateur local disposant d'autorisations Other.

La valeur de ces entrées est une liste séparée par deux-points de noms de chemin. L'option READ permet de demander des fichiers et l'option WRITE de déposer des fichiers. L'une des valeurs doit être le préfixe du nom du chemin d'accès complet d'un fichier entrant ou sortant. Pour accorder l'autorisation de déposer des fichiers dans /usr/news, ainsi que dans le répertoire public, utilisez les valeurs suivantes avec l'option WRITE :

WRITE=/var/spool/uucppublic:/usr/news 

Si les options READ et WRITE sont utilisées, tous les noms de chemin doivent être spécifiés car ils ne sont pas ajoutés à la liste par défaut. Par exemple, si le nom de chemin /usr/news était le seul chemin spécifié dans une option WRITE, l'autorisation de déposer des fichiers dans le répertoire public serait refusée.

Soyez prudent lorsque vous définissez les répertoires accessibles en lecture et en écriture aux systèmes distants. Par exemple, le répertoire /etc contient de nombreux fichiers système critiques. Les utilisateurs distants ne doivent pas être autorisés à déposer des fichiers dans ce répertoire.

Options NOREAD et NOWRITE UUCP

Les options NOREAD et NOWRITE permettent de spécifier des exceptions aux options READ et WRITE ou aux valeurs par défaut. L'entrée suivante autorise la lecture de n'importe quel fichier, à l'exception des fichiers présents dans le répertoire /etc (et ses sous-répertoires). N'oubliez pas que ces options sont des préfixes.

READ=/ NOREAD=/etc WRITE=/var/spool/uucppublic 

Cette entrée autorise uniquement à écrire dans le répertoire /var/spool/uucppublic par défaut. L'option NOWRITE fonctionne de la même manière que l'option NOREAD. Vous pouvez utiliser les options NOREAD et NOWRITE dans les entrées LOGNAME et MACHINE.

Option CALLBACK UUCP

Vous pouvez utiliser l'option CALLBACK des entrées LOGNAME pour indiquer qu'aucune transaction ne se produit jusqu'à ce que le système appelant soit rappelé. Les raisons de configurer l'option CALLBACK sont les suivantes :

• Sécurité : si vous rappelez un ordinateur, vous pouvez être sûr qu'il s'agit du bon ordinateur.

• Comptabilité : si vous effectuez de longues transmissions de données, vous pouvez choisir l'ordinateur facturé pour l'appel le plus long.

La chaîne CALLBACK=yes indique que votre ordinateur doit rappeler l'ordinateur distant avant que le transfert de fichiers ne se produise.

La valeur par défaut pour l'option CALLBACK est CALLBACK=no. Si vous définissez l'option CALLBACK sur yes, les autorisations qui ont une incidence sur le reste de la conversation doivent être spécifiées dans l'entrée MACHINE correspondant à l'appelant. N'indiquez pas ces autorisations dans l'entrée LOGNAME ou dans l'entrée LOGNAME que l'ordinateur distant peut avoir défini pour votre hôte.

Option COMMANDS UUCP

---

Attention - L'option COMMANDS peut compromettre la sécurité de votre système. Utilisez-la avec une extrême précaution.

---

Vous pouvez utiliser l'option COMMANDS des entrées MACHINE pour spécifier les commandes qu'un ordinateur distant peut exécuter sur votre ordinateur. Le programme uux génère des demandes d'exécution à distance et établit des files d'attente des demandes à transférer vers l'ordinateur distant. Les commandes et fichiers sont envoyés à l'ordinateur cible pour une exécution à distance, ce qui est une exception à la règle selon laquelle les entrées MACHINE s'appliquent uniquement lorsque votre système appelle.

Notez que l'option COMMANDS n'est pas utilisée dans une entrée LOGNAME. L'option COMMANDS dans les entrées MACHINE définit les autorisations des commandes, que vous appeliez le système distant ou vice-versa.

La chaîne COMMANDS=rmail spécifie les commandes par défaut qu'un ordinateur distant peut exécuter sur votre ordinateur. Si une chaîne de commande est utilisée dans une entrée MACHINE, les commandes par défaut sont remplacées. Par exemple, l'entrée suivante remplace l'option COMMAND par défaut, de sorte que les ordinateurs nommés owl, raven, hawk et dove peuvent désormais exécuter les commandes rmail, rnews et lp sur votre ordinateur.

MACHINE=owl:raven:hawk:dove COMMANDS=rmail:rnews:lp 

En plus des noms, tels que ceux de l'exemple précédent, vous pouvez spécifier des noms du chemin d'accès complet de commandes. Par exemple, l'entrée suivante indique que la commande rmail utilise le chemin de recherche par défaut.

COMMANDS=rmail:/usr/local/rnews:/usr/local/lp 

Le chemin de recherche par défaut pour UUCP est /bin et /usr/bin. Lorsque l'ordinateur distant spécifie rnews ou /usr/local/rnews pour la commande à exécuter, la commande /usr/local/rnews est exécutée indépendamment de ce chemin d'accès par défaut. De même, /usr/local/lp est la commande lp qui est exécutée.

L'inclusion de la valeur ALL dans la liste signifie que toute commande émise par les ordinateurs distants spécifiés dans l'entrée est exécutée. Si vous utilisez cette valeur, vous donnez aux ordinateurs distants un accès complet à votre ordinateur.

---

Attention - Cette valeur autorise davantage d'accès que celui qu'ont les utilisateurs standard. N'utilisez cette valeur que lorsque les deux ordinateurs se trouvent sur le même site, sont étroitement liés et que les utilisateurs sont de confiance.

---

Voici la chaîne avec la valeur ALL ajoutée :

COMMANDS=/usr/local/rnews:ALL:/usr/local/lp 

Cette chaîne illustre deux points :

• La valeur ALL peut figurer n'importe où dans la chaîne.

• Les noms de chemin d'accès spécifiés pour rnews et lp sont utilisés (au lieu du nom par défaut) si la commande demandée ne contient pas les noms de chemin d'accès complets pour rnews ou lp.

Utilisez l'option VALIDATE chaque fois que vous indiquez des commandes potentiellement dangereuses, telles que cat et uucp avec l'option COMMANDS. Toute commande qui lit ou écrit des fichiers présente un danger potentiel pour la sécurité locale lorsque la commande est exécutée par le démon d'exécution à distance UUCP (uuxqt).

Option VALIDATE UUCP

Utilisez l'option VALIDATE avec l'option COMMANDS chaque fois que vous spécifiez des commandes présentant un danger potentiel pour la sécurité de votre ordinateur. L'option VALIDATE est simplement un niveau de sécurité supplémentaire ajouté à l'option COMMANDS, bien qu'elle représente un moyen plus sécurisé d'ouvrir l'accès aux commandes que l'option ALL.

L'option VALIDATE fournit un certain degré de vérification de l'identité de l'appelant en effectuant un contrôle croisé du nom d'hôte d'un ordinateur appelant par rapport au nom de connexion qu'il utilise. La chaîne suivante garantit que si un ordinateur autre que widget ou gadget tente de se connecter en tant que Uwidget, la connexion sera refusée.

LOGNAME=Uwidget VALIDATE=widget:gadget 

L'option VALIDATE requiert que les ordinateurs disposant de privilèges aient un identifiant de connexion unique et un mot de passe pour les transactions UUCP. L'un des aspects importants de cette validation est que l'identifiant de connexion et le mot de passe associés à cette entrée soient protégés. Si un intrus obtient ces informations, cette option VALIDATE particulière ne peut plus être considérée comme sécurisée.

Réfléchissez bien aux ordinateurs distants auxquels vous accordez des identifiants et des mots de passe disposant de privilèges pour les transactions UUCP. L'attribution d'un identifiant de connexion et d'un mot de passe spéciaux à un ordinateur distant avec la possibilité d'accéder aux fichiers et d'exécuter des commandes à distance revient à donner à une personne sur cet ordinateur un identifiant de connexion et un mot de passe normaux sur votre ordinateur. Par conséquent, si vous ne pouvez pas faire confiance à quelqu'un sur l'ordinateur distant, vous ne devez pas fournir d'identifiant de connexion disposant de privilèges et de mot de passe à cet ordinateur.

L'entrée LOGNAME suivante spécifie que si l'un des ordinateurs distants qui prétend être eagle, owl ou hawk se connecte sur votre ordinateur, il doit avoir utilisé l'identifiant de connexion uucpfriend :

LOGNAME=uucpfriend VALIDATE=eagle:owl:hawk 

Si un intrus obtient l'identifiant et le mot de passe uucpfriend, l'usurpation d'identité est facile.

Quel est le rapport de cette entrée avec l'option COMMANDS, qui apparaît uniquement dans les entrées MACHINE ? Cette entrée lie l'entrée MACHINE (et l'option COMMANDS) à une entrée LOGNAME associée à un identifiant de connexion disposant de privilèges. Ce lien est nécessaire car le démon d'exécution n'est pas exécuté pendant que l'ordinateur distant est connecté. En fait, le lien est un processus asynchrone qui ne sait pas quel ordinateur a envoyé la demande d'exécution. Par conséquent, la vraie question est celle-ci : comment votre ordinateur connaît-il la provenance des fichiers d'exécution ?

Chaque ordinateur distant dispose de son propre répertoire spool sur votre machine locale. Ces répertoires spool disposent d'une autorisation d'écriture qui est uniquement accordée aux programmes UUCP. Les fichiers d'exécution issus de l'ordinateur distant sont placés dans son répertoire spool après avoir été transférés sur votre ordinateur. Lorsque le démon uuxqt s'exécute, il peut utiliser le nom du répertoire spool pour rechercher l'entrée MACHINE dans le Permissions et obtenir la liste COMMANDS. Ou, si le nom de l'ordinateur n'apparaît pas dans le fichier Permissions, la liste par défaut est utilisée.

Cet exemple montre la relation entre les entrées MACHINE et LOGNAME :

MACHINE=eagle:owl:hawk REQUEST=yes \ 
COMMANDS=rmail:/usr/local/rnews \ 
READ=/ WRITE=/ 
LOGNAME=uucpz VALIDATE=eagle:owl:hawk \ 
REQUEST=yes SENDFILES=yes \ 
READ=/ WRITE=/ 

La valeur dans l'option COMMANDS signifie que les utilisateurs distants peuvent exécuter les commandes rmail et /usr/local/rnews .

Dans la première entrée, vous devez supposer que lorsque vous souhaitez appeler l'un des ordinateurs répertoriés, vous êtes appelez en fait eagle, owl ou hawk. Par conséquent, tous les fichiers placés dans l'un des répertoires spool eagle, owl ou hawk l'est par l'un de ces ordinateurs. Si un ordinateur distant se connecte et dit qu'il s'agit de l'un de ces trois ordinateurs, ses fichiers d'exécution sont également placés dans le répertoire spool disposant de privilèges. Par conséquent, vous devez confirmer que l'ordinateur possède l'identifiant de connexion disposant de privilège uucpz.

Entrée MACHINE UUCP pour l'option OTHER

Vous pouvez spécifier différentes valeurs d'option pour les ordinateurs distants qui ne sont pas mentionnés dans des entrées MACHINE spécifiques. Cela peut s'avérer nécessaire lorsque de nombreux ordinateurs appellent votre hôte et que l'ensemble de commandes change de temps en temps. Le nom OTHER pour le nom de l'ordinateur est utilisée pour cette entrée comme indiqué dans cet exemple :

MACHINE=OTHER \ 
COMMANDS=rmail:rnews:/usr/local/Photo:/usr/local/xp 

Toutes les autres options disponibles pour l'entrée MACHINE peuvent également être définies pour les ordinateurs qui ne sont pas mentionnées dans d'autres entrées MACHINE.

Combinaison des entrées MACHINE et LOGNAME pour UUCP

Vous pouvez combiner les entrées MACHINE et LOGNAME en une seule entrée lorsque les options communes sont identiques. Par exemple, les deux ensembles d'entrées qui suivent partagent les mêmes options REQUEST, READ et WRITE :

MACHINE=eagle:owl:hawk REQUEST=yes \ 
READ=/ WRITE=/

et

LOGNAME=uupz REQUEST=yes SENDFILES=yes \ 
READ=/ WRITE=/

Vous pouvez fusionner ces entrées, comme indiqué ci-dessous :

MACHINE=eagle:owl:hawk REQUEST=yes \ 
logname=uucpz SENDFILES-yes \ 
READ=/ WRITE=/

La combinaison des entrées MACHINE et LOGNAME facilite la gestion et améliore l'efficacité du fichier Permissions.

Transfert UUCP

Lors de l'envoi de fichiers via plusieurs ordinateurs, les ordinateurs intermédiaires doivent posséder la commande uucp parmi leurs options COMMANDS. Si vous saisissez la commande suivante, l'opération de transfert ne fonctionnera que si l'ordinateur willow autorise l'ordinateur oak à exécuter le programme uucp.

% uucp sample.txt oak\!willow\!pine\!/usr/spool/uucppublic

L'ordinateur oak doit également autoriser votre ordinateur à exécuter le programme uucp. L'ordinateur pine, en tant que dernier ordinateur désigné, n'a pas à autoriser la commande uucp car l'ordinateur n'effectue aucune opération de transfert. Les ordinateurs ne sont généralement pas configurés de cette manière.