Realisierung der Internetnutzung und Entwicklung eines Filetransfer

Eigentlich sollten sich daraufhin alle Rechner melden, auf denen ein ypserv- Prozess läuft. Da ypbind aber eine andere RPC-Funktion benutzt, die einen Domainnamen mitliefert und nur eine Antwort bekommt, wenn der Server die Domain unterstützt, ist diese Eigenschaft nicht notwendig. Damit bekommen Unbefugte nur heraus, an welchen Stellen ein NIS- Server läuft. Ypserv selber besitzt auch eine Methode, um Hackern das Leben schwerer zu machen. Alle ypserv-Implementierungen unterstützen das securenets-Feature . In dieser Datei steht, welche Subnetze und Rechner als sicher gelten und Anfragen stellen dürfen. Dabei darf nie vergessen werden, das NIS die über das Netz verschickten Daten nicht verschlüsselt und auch keine Form der User- [...]

Sicherheit vom NIS- System Ein oft vernachlässigtes Problem mit NIS ist dessen Unsicherheit. Jeder User kann sich mit ypcat passwd.byname die User-Daten und verschlüsselten Passwörter ansehen. Dies hat den gleichen Effekt, wie ein cat /etc/passwd auf Systemen ohne NIS. Auf diesen Rechnern wurde das Problem mit der Einführung von ShadowPasswörtern behoben. Mit NIS ist dies nicht ganz so einfach. Jeder der den Domainnamen errät und weiß, auf welchem Rechner ypserv läuft, kann sich die Map anzeigen lassen. Dieses Problem existiert nicht, wenn die passwd-Datei nur auf jedem Rechner lokal vorliegt. Dafür gibt es eine zweigleisige Lösung. Zum einen wird ein spezieller Portmapper installiert, der nur Daten an freigegebene Rechner schickt. Außerdem verhindert er, das spezielle Anfragen an den ypserv-Prozeß weitergereicht werden. Diese Anfragen kommen im normalen Betrieb nicht vor und werden gerne von Hackern benutzt. Dazu gehört zum Beispiel die Broadcast-Suche in einem lokalen Netzwerk durch rpcinfo -b 100004 2 . [...]

Ist ein Passwort in der NIS passwd- Datenbank eingetragen, so ist der Inhaber in der Lage, sich auf jedem Rechner einzuloggen, der zur gleichen Domain gehört und auf dem die NIS Client-Programme laufen. Das Passwort braucht nur einmal von einem beliebigen Client aus geändert zu werden und nicht auf jedem Client extra. Der technischen Ansatz ist folgender: ein normales Anwendungsprogramm bekommt davon nichts mit, dass die libc- Funktionen NIS benutzen. Es ruft ganz normal die Funktionen der C-Library auf. Diese stellt fest, dass NIS benutzt werden soll, was vom Interface her ähnlich aufgebaut ist wie ein gdbm, ndbm oder db-Library Interface. Der Domainname (wird mit /bin/domainname gesetzt und angezeigt) gibt an, in welcher Domain/Gruppe gesucht werden soll. Dann wird der Name der Datenbank, auch Map genannt, angegeben und was daraus gesucht werden soll. Über den Dämon ypbind, der auf jedem Client laufen muss, wird schließlich der Name des Servers erfahren. Mit ypwhich kann sich jeder User den benutzten Server anzeigen lassen. Die C-Library sendet jetzt eine entsprechende Anfrage an den Server und bekommt eine Antwort, die in das vom aufrufenden Programm erwartete Format umgewandelt wird. Auf dem Server läuft der ypserv- Prozess, der die Anfragen annimmt und bearbeitet. Die Kommunikation läuft dabei über RPC ab. Ypserv hat vom Aufbau der Maps und deren Bedeutung keine Ahnung. Es öffnet im Verzeichnis [...]