User-Passwort-Abgleich

[undefined]

Also über solche aussagen kann ich wieder nur fassungslos den Kopf schütteln.
Etwas irgendwie hinbiegen was gegen jede Logik wiederspricht - Hauptsache es läuft. So etwas nennt man in unserer Firma Russisch reparieren. (abgleitet von unseren Auslands einsätzen zu Kommunismus Zeiten wo man froh sein konnte wenn ein Netzteil etc. vorhanden war). Das ist mit einer der Gründe warum in den letzten Jahren viel Software mal so richtig sche.... geworden ist.

[gorgophol]

Zu dem Thema "Grundsatzdiskussion" - das wirst Du nicht wegkriegen und ich finde das auch gar nicht schlimm. Notfalls muss man eben seinen Standpunkt nochmal klar darlegen, aber der berühmte "Blick über den Tellerrand" hilft oft, prinzipielle Fehler zu vermeiden - andere Leute haben eben einen anderen Blick auf Dein Problem als Du und sind vielleicht deshalb manchmal auch gute Ideengeber, wie man an seine Probleme anders rangehen kann.
Jan

Ich finde es nicht schlimm, wenn man mich darauf aufmerksam macht, dass man ein Problem im Grundsatz anders lösen könnte / müsste. (Das Versuch ich in meinem Job auch, anderen zu erklären.) Ich bin ja gern bereit immer dazuzulernen :-) Nur es hilft halt irgendwann nicht mehr weiter ...

Das Script kann ich posten, sobald ich weiß, dass das funktioniert und wie.

@undefined
Nochmal: Es geht nicht darum etwas hinzubiegen, sondern mit dem auszukommen was man hat. Es ist super, wenn du in deiner Firma das Problem nicht hast und Probleme vom Grundsatz her angehen kannst. Ja das ist besser, aber diese paradiesischen Zustände hat leider nicht jeder!
Und noch eines: Ich kann nicht nachvollziehen, dass das jeder Logik widerspricht. Wie gesagt, ich erstelle Plugins für Eclipse, und habe dort gesehen, dass sämtliche Authentifizierung über User/Passwort auf dem Server läuft (die Beispiele hab ich genannt). Logischerweise würde ich das für mein eigenes Plugin gerne genauso haben. Ich finde das nur konsequent. Ich verstehe nicht, wieso es verkehrt sein soll, ein vorhandenes Authentifizierungsverfahren weiter zu benutzen ...

[gorgophol]

Für alle Interessierten:
So kann man das in Perl realisieren

#!/usr/bin/perl -w

use Shell;

if (!defined($ARGV[0]) || !defined($ARGV[1]))
{
    print("command usage:\n");
    print("auth.pl USER, PATH, PORT, TIMEOUT, TICKET\n");
    0;
}
else
{
  $userIN    = $ARGV[0];
  $pwdIN     = $ARGV[1];
  chomp($pwdIN);

  @passwdStruct = getpwnam($userIN);

  if (@passwdStruct == 0)
  {
     print("invalid user name\n");
     0;
  }
  else
  {
    $passwd=$passwdStruct[1];
    $encryptedPWD = crypt($pwdIN, $passwd);

    if ($passwd eq $encryptedPWD)
    {
		print("success\n");
		1;
    }
    else
    {
		print("incorrect password\n");
		0;
    }
  }
}

Gruß,
gorgophol

[RHBaum]

Mal ne frage, auf welchen systemen hasst das script getestet ???

"normal" sollten die gecrypteten passwoerter doch in der shadow datei liegen, auf die kann nur der root drauf ....

das heisst, dein prog muesste unter root rechten, oder mit SUID und root eigentuemer laufen.
oder du muesstest die shadow datei allen zugaenlich machen....

Jedem linux System Administrator muessten natuerlich hier jetzt die Haare vom kopf abstehen, wie nach ner direkten Beruehrung mit nem Blitz ^^

und es bleibt die Frage, was ist mit systemen die sich gegen einen NIS oder Cerberos dienst autentifizieren, also ein linux client der selber gar keine user (ausser root) kennt ???

Um User gegen das betriebssystem zu authentifizieren,(und ja das ist eine öfters genutzte und gefragte funktion) gibts halt PAM ... damit es ned jeder selber machen muss. Die PAM Schnittstelle ist aber gar ned so kompliziert. Meist ist die schneller implementiert, als wie man sich mit anderen ueber Grundsaetze streitet ^^

Klar kann man immer Kompromisse machen. Aber kompromisse sollten ned lange leben ....
Mach deine authentifizierung modular ... nutze von mir aus erst mal die "dirty" variante ... aber tausch die so schnell es geht gegen eine "sicherere" aus.

Btw, was fuer Administratoren habt ihr, die sowas zulassen wuerden ???

Ciao ...

[jan61]

Moin,

im Prinzip hast Du recht - aber es ging hier nur um ein konkretes System. Dass man diese Lösung nicht verallgemeinern kann, ist natürlich klar.

Jan