Löysin vahingossa pienen turva-aukon tonkiessani tiedostoja tosin tämä on todella helppo korjata;
En muista toisista distroista mutta Ubuntu antaa lukuoikeudet useimpiin /home alla oleviin käyttäjäkansioihin. Jos käytössä on gdeskletin sähköposti-apletti Sidecandy Popmail niin käyttäjän sähköpostipalvelimen tunnukset ja salasanat ovat selväkielisinä luettavissa /home/'user'/.gdesklets/registry/configxxxxxxxx.db
eli heti tekemään omat tiedostot yksityisiksi ellei halua kaverin koplaavan sun sähköposteja.
Asiasta viidenteen, poistin gdesklets tray-ikonin enkä löydä asetusta millä sen saa takaisin. /usr/lin/gdesklets/config/settings.py Tray-icon = true mutta ilmeisesti oikea arvo on jossakin kotihakemistossa, tietäisikö joku nopeasti mistä se löytyy ettei tar kaikkea plärätä?
Gdesklets turvariski Ubuntussa!
10
707
Vastaukset
- huviksesi
lukea se tiedosto toisena käyttäjänä, jossa tunnukset on..
- Pärsereikä
No niin mä kokeilinkin, kirjauduin toisena käyttäjänä jolle olen antanut mahd. vähän oikeuksia (eräänlainen vieras-tili) ja lueskelin sieltä omat tunnukseni hemmetti vieköön. Onnistuu!
- korjataan?
Pärsereikä kirjoitti:
No niin mä kokeilinkin, kirjauduin toisena käyttäjänä jolle olen antanut mahd. vähän oikeuksia (eräänlainen vieras-tili) ja lueskelin sieltä omat tunnukseni hemmetti vieköön. Onnistuu!
ajattelin piilottaa kaikki omat tiedostot.
chmodin manista ajattelin, että se voisi mennä:
chmod -R 700 ~
toimiiko tuolla? korjataan? kirjoitti:
ajattelin piilottaa kaikki omat tiedostot.
chmodin manista ajattelin, että se voisi mennä:
chmod -R 700 ~
toimiiko tuolla?parempi tapa chmod 700 /home/HaluttuKansio -R
Edellyttäen ettei ole apassissa käyttäjien omia sivuja jaossa, koska silloin ne EI toimi!
- tuo asia
kai sen gdeskletsin developereille voi tosta mailia heittää?
- Pärsereikä
Joo, mä pistin Martin-nimiselle kaverille postia sinne kehitystiimiin, tällaisen (suokaa anteeksi kielioppivirheet, olen parempi ymmärtämään kuin kirjoittamaan mutta kai tosta tajuaa);
>>Hi! gDesklets is very nice on my gnome desktop! Anyway, I found some
kind of a security risk in an applet. I'm using Ubuntu Dapper 6.06 and
in that distro many files/directories in users homedirectories can be
read by everybody as default.
I was logged as "guest" in my computer and browsing my primary home
directory. I,m using gDesklets SideCandy Popmail 0.1.3 by Valkyr on my
desktop and suddenly I noticed that I can read my mailaccounts username
and password as different user (as "guest") in
directory /home/'myname'/.gdesklets/registry/config0xxxxxxxx.db
Maybe directory .gdesklets should be something like drw------- by
default?
- Pärsereikä
Eli jos et vielä ole ajanut komentoa "sudo chmod -R 700 ~" niin nyt olisi jo korkea aika tehdä se, löysin nimittäin toisen samanlaisen ohjelman ja varmaan niitä on lisääkin sellaisia jotka tallentavat tunnuksia/salasanoja kryptaamattomina.
GKrellM tekee myös vastaavan tiedoston jos käyttää sähköpostin laskijaa.- Frum frum
On käyttäjä itse nyt tässä tapauksessa.
Se on fakta, että ne passut tallennetaan useimmissa ohjelmissa plain textinä johonki filuun.
Se, että käyttäjä ei osaa modata omaa kotihakemistoansa siten, että sinne ei ole ulkopuolisilla asiaa onkin sitten jo oma moka!!
chmod 711 /home
chmod 711 /home/tunnus
chown -R tunnus:ryhma /home/tunnus
niin se tiedostojen vakiolu loppuu siihen paikkaan... ja toimii apassit ja muut.. - ihme juttu
onko tuo Gnome keyring liian keskeneräinen projekti vai käytetäänkö sitä missään? Toiminta on siis vastaava kuin OS X:n keychainissa.
http://en.wikipedia.org/wiki/GNOME_Keyring - Pärsereikä
Frum frum kirjoitti:
On käyttäjä itse nyt tässä tapauksessa.
Se on fakta, että ne passut tallennetaan useimmissa ohjelmissa plain textinä johonki filuun.
Se, että käyttäjä ei osaa modata omaa kotihakemistoansa siten, että sinne ei ole ulkopuolisilla asiaa onkin sitten jo oma moka!!
chmod 711 /home
chmod 711 /home/tunnus
chown -R tunnus:ryhma /home/tunnus
niin se tiedostojen vakiolu loppuu siihen paikkaan... ja toimii apassit ja muut..>>On käyttäjä itse nyt tässä tapauksessa.
Aivan, tosin entisissä distroissa oli muistaakseni aina niin että userit eivät päässeet toistensa tileille ja koska olen koneeni ainut käyttäjä ja hyvin suojattu niin en oikeastaan alkuun kiinnittänyt huomiota tuohon että defaultina OOB Ubuntussa userit pystyvät sorkkimaan toistensa tiedostoja.
>>Se on fakta, että ne passut tallennetaan useimmissa ohjelmissa plain textinä johonki filuun.
Juu, eikös se ole juuri suurin syy miksi käyttäjät pystyvät linuxia konffailemaan, plain textiin kun on helppo tehdä muutoksia.
Olenhan mä jo chmodannut ihan varmuuden vuoksi mutta ajattelin että muitakin on hyvä huomauttaa asiasta. Sitä mä en vain tajua että jos tuollaista tietoa tallennetaan plain textinä niin miksei sitä koodata valmiiksi siten että oikeudet ovat sopivat eli privaatit? En kyllä tunne linuxin ohjelmointia mutta eikös ne argumentit pistetä koodausvaiheessa siihen tiedostoon?
Ketjusta on poistettu 0 sääntöjenvastaista viestiä.
Luetuimmat keskustelut
Mikä se Mira Luodin ohjelma oli?
Ja onnistuiko hiljaiseksi maksaminen sittenkään, jos myöhemmin sanoo, että tuollaista tapahtunut? Ihmiset alkaa pohtiin33411185IL - Kansanedustaja tehnyt ITSEMURHAN eduskuntatalossa!!
"IL:n tiedot: Kansanedustaja tehnyt itsemurhan Eduskuntatalossa Iltalehden tietojen mukaan kansanedustaja on tehnyt its3507737Mira Luoti koki seksivvaltaa sarjan kuvauksissa. Otti hyssyttelyrahat mutta nyt julkistaa asian?
Kun hyvin tietää että helppo päätellä mikä ohjelma kyseessä. Ja jos koki oikein "väkivaltaa" eli raisk, niin edesvastuut842343Verinen koira
Mikä juttu on tämä Karhumäellä pyörinyt verinen koira? Oliko hyökännyt jonkun kimppuun?862107Eemeli Peltonen teki itsemurhan eduskuntatalossa
Kevyet mullat sitten vaan. Ei mulla muuta.1391954Mira Luoti, Vain Elämää
kausi 8. mukana aluksi mm. Terhi Kokkonen ja Mira Luoti. taustalla myös Danny ja Kashmir. paljonko 1+1 olikaan?61581- 1101241
Mopokeulija
Poliisit saisivat käydä noukkimassa sinipuseroisen keulijan tuota pikaa. Koulureppu selässä yhdellä pyörälla S-Marketin521044Sonnisen turha valitus selvästä asiasta !
Nyt tuli sellainen valitus jossa ei järjen häivää, Sonninen ja koko hallinto munaa itsensä. Hänestä on tulossa pilkunnus26878MUISTATTEKO SEN?
Karhean tummansövyisen raastavsn huudon : RYKIKÄÄ! NIITÄ RAATOJA@ RÄKIKÄÄ NIITÄ EAATOJA!btämän paeoni aina toivotti rakk312772