El Fri, 18 Nov 2011 13:12:19 +0100, José Ramón Rubio escribió: > He observado un comportamiento que a mi juicio sería un fallo de > seguridad, pero nose que os parece.. > > Lo he probado en Debian Lenny y Squeeze con Gnome, la secuencia sería: > - Acceder a una aplicación gŕafica que solicite contraseña de > administrador, ejemplo Terminal de <<Root>> > - Introducir contraseña, y dejar la opción por defecto, de recordar la > contraseña durante la sesión. > - Desde este momento y hasta que se cierre sesión, cualquier usuario sin > privilegios de administrador, puede abrir un terminal y con el comando > siguiente: strace -o fich gksu ls, en el fichero "fich" va a poder > localizar la contraseña de administrador pero almacenada en texto plano.
Normal, es lo que le has dicho haga... > ¿Veis normal poder acceder a la contraseña de administrador en texto > plano sólo porque se haya elegido recordar la clave para una sesión? Totalmente. Pero en todo caso el error sería presentar la clave sin cifrar en el strace, que sea la de root es irrelevante porque el usuario ya la sabe (la ha proporcionado él). > Bien es cierto que si se deja la sesión en este estado, cualquier > usuario puede realizar operaciones con privilegios de administrador, > pero de ahí a poder sacar la contraseña en texto claro creo que hay un > trecho. Bueno, no exactamente. Lo que se puede hacer es ejecutar "gksu" sin que te pida de nuevo la contraseña pero es que además, te avisa: *** Se han concedido permisos sin pedir una contraseña El programa «epiphany» se ha iniciado con los privilegios del usuario root sin necesidad de pedir una contraseña, debido a la configuración del mecanismo de autenticación de su sistema. Es posible que se le permita ejecutar programas específicos como el usuario root sin necesidad de una contraseña, o que la contraseña está cacheada. Esto no es un informe de un problema, sino una notificación para asegurarse de que es consciente de esto. *** > Considero que es un fallo de seguridad, pero nose que os parece y que > paquete sería el culpable, no he encontrado ningún bug abierto que > describa este hecho. No lo creo, es una funcionalidad documentada que puedes activar o no (personalmente nunca activo esa opción). Saludos, -- Camaleón -- To UNSUBSCRIBE, email to debian-user-spanish-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/pan.2011.11.18.13.07...@gmail.com
