[harden-mac:0554] Re: Jaguarからの引き継ぎユーザが脆弱性の

[taiyo@xxxxxxxxxxx]

On 2003年 11月 21日 , at 01:10 AM, SHIROYAMA Takayuki wrote:

>
> しろやまです。
>
> On 2003年 11月 21日 , at 0:27, taiyo@xxxxxxxxxxx wrote:
>>
>> Pantherで作成したアカウントのパスワードはnidumpで********とマスクされた文字列しか取得できませんが、
>> Jaguarで作成したアカウントは、Panterのnidumpでもパスワードのハッシュ値がそのまま見えてしまいます。
>
> このとき、
>
> niutil -read / /users/<username>
>
> を実行したら、

このCommand、初めて動かしました。Jaguarからの移行ユーザでパスワードを再設定していない場合は、こんな感じです。

name: username
_writers_passwd: username
_writers_tim_password: username
home: /Users/username
_writers_hint: username
hint: 平文
_shadow_passwd:
_writers_picture: username
gid: 20
shell: /bin/tcsh
uid: 50X
realname: username
passwd: ハッシュ値（でいいのかしら？）
sharedDir: Public
picture: /Library/User Pictures/image.tiff
authentication_authority: ;basic; ;LocalWindowsHash;
generateduid: XXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX

パスワードを再設定するとこのようになりました。

generateduid: XXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX
_writers_picture: username
uid: 50X
_writers_tim_password: username
_writers_hint: username
home: /Users/username
shell: /bin/tcsh
hint:
gid: 20
sharedDir: Public
_shadow_passwd:
name: taiyo
picture: /Library/User Pictures/image.tiff
realname: username
_writers_passwd: username
authentication_authority: ;ShadowHash;
passwd: ********

> ...うちには、もはや jaguarから残っているアカウントが存在しないので、
> 試せないのです。

ウチも最後の一人でした。もう、試せません（笑）

> ( ;LocalWindowsHash; を使うため。ただ、ひょっと
> したら ;LocalWindowsHash;と;basic;は併用されていたかも知れません。
> その場合はcrypt なパスワードもあるので見えちゃいます。)

上記の結果からもわかるように、併用しているようです。


>> これを、Pantherで作成したアカウントのパスワードと同じようにマスク
>> するには、システム環境設定＞ログインでパスワードを作り直せばいいようです。
>
> おそらく、この作業で authentication_authority: が ;basic;から;ShadowHash;
> に変わるのでしょう。;ShadowHash; は /var/db/shadow 以下にパスワード
> を保管します。ファイル名は generateduid に示された uid 文字列に対応する
> 模様です。
>
> なお、これは Pantherでは ローカルアカウントの場合だけでして、Jaguar  の
> ネットワークアカウントや Panther のネットワークアカウントは ;ApplePasswordServer;
> になっているので、そもそも Crypt なパスワードは付きません。
> (これも Puma(10.1)のサーバから引き続いているユーザだとひょっとしたら;basic;
>  がはいっちゃうのかも知れず)
>
>
> どうして;basic;から自動的に変えてくれないのか、といいますと、そもそも ;basic;
> で記録される crypt されたパスワードは不可逆で、辞書使ったり総当たりしないと
> 元の文字列を推測できないからです。
>
> なお、他のパスワード保存方式は可逆ですので、パスワードを引っ張り出すことが
> できます。(だから ;LocalWindowsHash;は勝手に ;ShadowHash;に直してくれる
> はず)
>
> できないと、WindowsのLM認証やらNT認証やらAPOPや HTTPのDigest認証と
> いったチャレンジ&レスポンスな認証方式に対応しきれなくなるからです。(これら
> はいずれも Mac OS X Server の OpenDirectory がサポートしております。だか
> ら Mac OS X Server の apache は「ログインアカウントで Digest認証」ができ
> ちゃったり。)
> ---
> SHIROYAMA Takayuki

なるほど、とても勉強になりました。
ありがとうございます。

-- 
name:太洋
E-Mail:taiyo@xxxxxxxxxxx
GPGKey:http://www.u-struct.com/taiyoFUJII.gpgkey
Fingerprint:7706 0496 952C 1734 E584  FF4A AEC3 7AC9 8647 B761
AIM ID:taytrace2002, MSN Messenger Sign-IN:taiyo@xxxxxxxxxxx


--[PR]------------------------------------------------------------------
□■デスクトップに占い・天気予報・ニュース・映画情報が無料で届く！■□
　
 今 な ら ！【現 金 ７ ７ ７ ７ ７ ７  円】 が 誰 か に 当 た る ☆彡
　
mypop登録はコチラ⇒ http://ad.freeml.com/cgi-bin/ad.cgi?id=crCYF
------------------------------------------------------------------[PR]--
<GMO GROUP> Global Media Online  www.gmo.jp