Download Guida alla Sicurezza - Fedora Documentation

Proteggere NIS
2.2.3.2. Usare una Password come Nome Dominio e Hostname
Se l'utente conosce il nome di dominio e il nome di DNS del server NIS, ogni macchina del dominio
NIS può ottenere, con opportuni comandi, informazioni dal server senza bisogno di autenticazione.
Per esempio, se un utente connette un portatile alla rete o riesce ad accedere alla rete dall'esterno (ed
a manomettere (spoof) un indirizzo IP interno), con il seguente comando potrebbe rivelare il contenuto
del file /etc/passwd:
ypcat -d <NIS_domain> -h <DNS_hostname> passwd
Se l'attaccante è in grado di accedere come root, potrebbe ottenere il file /etc/shadow con il
comando:
ypcat -d <NIS_domain> -h <DNS_hostname> shadow
Nota
Se si usa Kerberos, il file /etc/shadow non è salvato in un NIS.
Per rendere più arduo ad un attaccante, l'accesso alle informazioni NIS, creare una stringa random
per l'hostnome del DNS, come o7hfawtgmhwg.domain.com ed analogamente per il nome di
dominio NIS, usando una stringa differente.
2.2.3.3. Modificare il file /var/yp/securenets
Se il file /var/yp/securenets è vuoto o non esiste (come capita dopo una installazione
predefinita), NIS è in ascolto su tutte le reti. Quindi, una delle prime operazioni da fare è di inserire nel
file, coppie di netmask/network, in modo che ypserv risponda solo alle richieste provenienti dalle reti
specificate.
Di seguito si riporta un esempio da un file /var/yp/securenets:
255.255.255.0
192.168.0.0
Attenzione
Non avviare mai un server NIS senza prima aver creato un file /var/yp/securenets
adeguato.
Questa tecnica, tuttavia, non offre protezione da un attacco di tipo IP spoofing, ma serve a limitare le
reti servite da NIS.
2.2.3.4. Assegnare porte statiche ed usare regole iptables
A tutti i servizi NIS si possono assegnare porte specifiche, ad eccezione di rpc.yppasswdd —
il demone che permette agli utenti di modificare le password di accesso. Assegnando porte ai
45