Utilisez toujours l'option –VALIDATE en association avec l'option –COMMANDS quand vous spécifiez des commandes potentiellement dangereuses pour la sécurité de votre ordinateur. L'option –VALIDATE est simplement un niveau de sécurité supplémentaire ajouté à l'option –COMMANDS, bien qu'elle représente un moyen plus sécurisé d'ouvrir l'accès aux commandes que l'option ALL.
L'option –VALIDATE fournit un certain degré de vérification de l'identité de l'appelant en effectuant un contrôle croisé du nom d'hôte d'un ordinateur appelant par rapport au nom de connexion qu'il utilise. La chaîne suivante garantit que si un ordinateur autre que widget ou gadget tente de se connecter en tant que Uwidget, la connexion sera refusée.
LOGNAME=Uwidget VALIDATE=widget:gadget
L'option –VALIDATE requiert que les ordinateurs disposant de privilèges aient un identifiant de connexion unique et un mot de passe pour les transactions UUCP. L'un des aspects importants de cette validation est que l'identifiant de connexion et le mot de passe associés à cette entrée soient protégés. Si un intrus obtient ces informations, cette option –VALIDATE particulière ne peut plus être considérée comme sécurisée.
Réfléchissez bien aux ordinateurs distants auxquels vous accordez des identifiants et des mots de passe disposant de privilèges pour les transactions UUCP. L'attribution d'un identifiant de connexion et d'un mot de passe spéciaux à un ordinateur distant avec la possibilité d'accéder aux fichiers et d'exécuter des commandes à distance revient à donner à une personne sur cet ordinateur un identifiant de connexion et un mot de passe normaux sur votre ordinateur. Par conséquent, si vous ne pouvez pas faire confiance à quelqu'un sur l'ordinateur distant, vous ne devez pas fournir d'identifiant de connexion disposant de privilèges et de mot de passe à cet ordinateur.
L'entrée LOGNAME suivante spécifie que si l'un des ordinateurs distants qui prétend être eagle, owl ou hawk se connecte sur votre ordinateur, il doit avoir utilisé l'identifiant de connexion uucpfriend :
LOGNAME=uucpfriend VALIDATE=eagle:owl:hawk
Si un intrus obtient l'identifiant et le mot de passe uucpfriend, l'usurpation d'identité est facile.
Quel est le rapport de cette entrée avec l'option –COMMANDS, qui apparaît uniquement dans les entrées MACHINE ? Cette entrée lie l'entrée MACHINE (et l'option –COMMANDS) à une entrée LOGNAME associée à un identifiant de connexion disposant de privilèges. Ce lien est nécessaire car le démon d'exécution n'est pas exécuté pendant que l'ordinateur distant est connecté. En fait, le lien est un processus asynchrone qui ne sait pas quel ordinateur a envoyé la demande d'exécution. Par conséquent, la vraie question est celle-ci : comment votre ordinateur connaît-il la provenance des fichiers d'exécution ?
Chaque ordinateur distant dispose de son propre répertoire spool sur votre machine locale. Ces répertoires spool disposent d'une autorisation d'écriture qui est uniquement accordée aux programmes UUCP. Les fichiers d'exécution issus de l'ordinateur distant sont placés dans son répertoire spool après avoir été transférés sur votre ordinateur. Lorsque le démon uuxqt s'exécute, il peut utiliser le nom du répertoire spool pour rechercher l'entrée MACHINE dans le Permissions et obtenir la liste COMMANDS. Ou, si le nom de l'ordinateur n'apparaît pas dans le fichier Permissions, la liste par défaut est utilisée.
Cet exemple montre la relation entre les entrées MACHINE et LOGNAME :
MACHINE=eagle:owl:hawk REQUEST=yes \ COMMANDS=rmail:/usr/local/rnews \ READ=/ WRITE=/ LOGNAME=uucpz VALIDATE=eagle:owl:hawk \ REQUEST=yes SENDFILES=yes \ READ=/ WRITE=/
La valeur dans l'option –COMMANDS signifie que les utilisateurs distants peuvent exécuter les commandes rmail et /usr/local/rnews .
Dans la première entrée, vous devez vous baser sur l'hypothèse que si vous souhaitez appeler un des ordinateurs listés, vous appelez en réalité eagle, owl ou hawk. Par conséquent, tous les fichiers placés dans l'un des répertoires spool eagle, owl ou hawk l'est par l'un de ces ordinateurs. Si un ordinateur distant se connecte et dit qu'il s'agit de l'un de ces trois ordinateurs, ses fichiers d'exécution sont également placés dans le répertoire spool disposant de privilèges. Par conséquent, vous devez confirmer que l'ordinateur possède l'identifiant de connexion disposant de privilège uucpz.