|
Die "r"-Befehle verlassen sich auf die Betriebssystem-Authentifikation. Man kann einen rlogin auf eine fremde Maschine ohne Paßwortabfrage durchführen, wenn folgende Authentifikationskritäreien erfüllt sind:
. Die Anfrage muß von einem privilegierten TCP-Port ausgehen. Auf manchen Systemen (wie PCs) gibt es solche Beschränkungen nicht, und sie wären auch sinnlos. Daraus folgt, daß Anfragen per rlogin und rsh nur Maschinen gestattet werden sollten, die die Vergabe privilegierter Ports wirksam kontrollieren.
. Die Kombination von Benutzer und System, von der die Anfrage ausgeht, muß dem Zielsystem als vertrauenswürdig erklärt worden sein, entweder Systemweit (/etc/hosts.equiv, oder auf Benutzerebene $HOME/.rhosts.
. Name und IP-Adresse des Quellsystems müssen übereinstimmen
Aus Benutzersicht funktioniert dieses Verfahren prächtig. Ein Benutzer kann die Maschinen, die er benutzen will, absegnen und wird nicht mehr mit Paßwortabfragen belästigt, wenn er andere Computer erreichen will. Auch aus Hackersicht funktioniert es prächtig: Es bietet ein Einfallstor in ein System und von dort Zugang zu weiteren Hosts, die dem ersten vertrauen. Ein Hauptziel von Hackern ist, geeignete Einträge in /etc/hosts.equiv oder .rhosts eines Benutzers zu deponieren.
Wenn Hacker Zugang zu einem System erlangt haben, streben sie zuerst danach, ihre Spuren zu verwischen, indem sie Protkolldaten löschen. Dann versuchen sie, root-Zugang zu bekommen und sich Hintertürchen anzulegen, falls der Weg durch den Vordereingang blockiert werden sollte.
Ein Gutteil der Sicherheit eines Systems liegt also in der Hand der Benutzer, die fremden Maschinen mit ihren .rhosts Dateien das Vertrauen aussprechen können. Solche Entscheidungen sollten der Systemadministration vorbehalten sein. Einige Versionen der rlogin und rsh-Dämonen können entsprechend konfiguriert werden. Ansonsten ist wohl ein Batchjob, der das System regelmäßig von .rhosts-Dateien säubert, angebracht.
Angesichts der vielen Schwächen dieses Authentifiaktionsverfahrens ist es ratsam, diese Dienste nicht auf Systemen anzubieten, die direkt vom Internet aus zugänglich sind.
|
