(sun) RPC auth_unix

Question

J'implémente mon propre cadre RPC et la plupart des choses sont terminées, mais j'ai besoin d'aide. Comment puis-je vérifier un auth_unix? la structure des données est définie dans http://www.faqs.org/rfcs/rfc1050. html 9.2 Authentification UNIX mais comment vérifier l’utilisateur?

Answer 1

Les UID et GID sont comparés à ceux des serveurs pour valider leur authenticité. Ces identifiants peuvent être partagés entre des systèmes Unix utilisant NIS ou un autre utilitaire. Tout ce qui est exécuté par la suite sur le système distant est exécuté sous ces UID et GID effectifs.

L’application située derrière le serveur peut implémenter une authentification supplémentaire, mais notez que AUTH_UNIX n’authentifie pas l’utilisateur lui-même; il fait confiance aux identifiants UID et GID fournis.

De la section 9.3:

9.3 DES Authentication

   UNIX authentication suffers from two major problems:

         (1) The naming is too UNIX oriented.
         (2) There is no verifier, so credentials can easily be faked.

   DES authentication attempts to fix these two problems.

Si vous utilisez l'authentification Unix, vous ne pouvez que supposer que le message provient d'un hôte de confiance et qu'un mécanisme était en place pour authentifier l'utilisateur avant qu'il ne puisse exécuter l'action qui a déclenché l'appel.

Dans ce cas, il appartiendrait à l'application de vérifier les informations d'identification de l'utilisateur. Le nom de l'ordinateur d'origine est également fourni. Vous pouvez ainsi vous assurer que l'adresse IP d'origine y correspond et que vous ne répondez qu'à cette adresse. Cela présente des vulnérabilités évidentes aux attaques d'empoisonnement du cache DNS. En outre, pour que cela fonctionne correctement avec DHCP ou NAT, le lecteur le laissera comme exercice; -}

Ce qui signifie que vous n'avez guère d'autre choix que de faire confiance aux UID et GID ou d'effectuer une vérification supplémentaire au sein de l'application située au-dessus de votre bibliothèque RPC. La RFC traite de mécanismes d'authentification plus sécurisés. Cependant, Sun RPC n’est pas le protocole le plus sûr et n’est généralement pas recommandé pour les services fournis à des clients non approuvés.