Re: Una o due domande su Samba di Debian...
On Fri, Jan 05, 2001 at 12:00:02PM +0100, Marco Gaiarin wrote:
>
>
> Con la non vana speranza di fare le scarpe alla macchina NT qui
> accanto, mi sto divertendo a provare Samba, che finora avevo
> tranquillamente glissato visto che non mi era mai servito.
>
> A parte che non riesco a trovare una fonte di informazione unica su
> Samba (ci sono una marea di documenti, tutti parziali, o forse non ho
> cercato abbastanza?) mi sono da subito scontrato con il problema
> dell'autenticazione.
>
> O meglio, visto che e` riportato da piu` parti che Samba di debian
> (ovviamente potato, 2.2r2) e` compilato con PAM, suppongo che sappia in
> qualche maniera autenticare gli utenti SMB usando un unico file.
>
> Invece mi tocca usare smbpasswd per aggiungere manualmente le password
> agli utenti in /etc/samba/smbpasswd.
>
>
> Cosa sbaglio? Mi secceherebbe alquanto dover gestire *due* password per
> ogni utenza, senza contare che da quello che mi par di capire PAM e`
> bello perche` e` vario, ovvero ci puoi fare tutto.
>
>
Ho la fondata impressione che in merito a PAM ci sia molta confusione
(compreso nella documentazione). PAM e' SOLO una libreria di interfaccia
che consente di aggiungere le proprie routine acct/auth.
Qualche anima di buon cuore si e' impegnata ad aggingere dei moduli
per determinati scopi, chesso' autenticazione a partire da mysql per
login, ma nella maggior parte dei casi i moduli devono essere scritti
ad hoc.
Non credo che qualcuno abbia creato dei moduli
in proposito per Samba che loggino a partire dal file passwd: c'e'
il problema che il formato delle password crittate e' diverso.
In realta' e' DES per entrambi ma il formato LANMAN (furbo!)
non usa il salt, bensi il nome dell'utente come chiave, col risultato
di rendere la password criptata (in formato esadecimale a 32 caratteri)
suscettibile di attacco brute-force. Se aggiungi il fatto che ormai
lo standard di fatto almeno in Linux e' MD5 hai la incompatibilita'
e necessita' di mantenere due file separati.
Fra l'altro l'uno NON e' ricavabile
dall'altro in modo automatico (se no DES o MD5 a che servirebbe?)
L'unica possibilita' e' quindi quella di usare un modulo che si
appoggia a LDAP o altri database per tutte le autenticazioni della
macchina - consentendo quindi la centralizzazione delle informazioni
che ti serve. Con i problemi che questa cosa comporta:
tutti i servizi devono essere PAM compatibili, POP,IMAP,SHELL,APACHE
etc. se no sei punto e d'accapo...
Mi sa che e' piu' semplice tenersi smbpasswd :-)
--
Francesco P. Lovergine
Reply to: