パスワードを忘れた? アカウント作成
この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

Mac OS X Lionでは一般ユーザーでもshadow化されたパスワードにアクセスできる」記事へのコメント

  • by Anonymous Coward

    > パスワードが直接閲覧できるわけではないが、ハッシュを読まれてしまうと総当たり攻撃などによってパスワードを解読されてしまう可能性がある。

    可能性を言い出したらキリが無いわけですが。

    • by Anonymous Coward on 2011年09月20日 22時33分 (#2022337)

      もともと/etc/password ファイルには暗号化されたパスワードが格納されていて、そしてpasswdファイルは誰でも読めるようになっていました、というか今でもそうです。
      でもそれでは解析し放題だから、passwd ファイルにはダミーのパスワード'x'とでも入れておいて、一般ユーザには読めないshadowファイルに記録するようにしましょうというのが事の起こりだったと記憶しております。
      そもそもpasswdファイルを一般ユーザが読めないようにしなかったのは、そこからユーザ一覧を取得して処理するプログラムでもあったのでしょうか。
      なんか負の遺産ぽい気もしますが、次バージョンのMac OS Xではパスワードのハッシュを取得できる(rootにしか見えない)エントリが出来て今までのエントリにはダミーの値しか入らないようになったりして?

      親コメント
      • by espelette (42945) on 2011年09月20日 22時59分 (#2022355)

        /etc/passwd を読み込んで処理するプログラムはUNIXライクなシステムなら現役で
        多数存在しています。
        passwd という名前ながら、ユーザIDと
          * ユーザ名
          * プライマリグループ
          * ホームディレクトリ
          * ログインシェル
        といった情報とのマッピング情報を格納しているので、一般ユーザが /etc/passwd を
        読めなくなると、結構な数のプログラムがまともに動作しなくなります。

        ためしに chmod 600 /etc/passwd すると ls -l の出力のユーザ名や ps や top で
        表示されるはずのユーザ名が数字になってしまうのを確認できるはず。

        親コメント

あつくて寝られない時はhackしろ! 386BSD(98)はそうやってつくられましたよ? -- あるハッカー

処理中...