समूह पासवर्ड के लिए विशिष्ट उपयोग मामला


35

मैंने यूनिक्स के अनुभव के आधे से अधिक सदी की जाँच की और न ही मेरे सहयोगियों, और न ही कभी किसी समूह ( sgऔर gpasswd) पर पासवर्ड सेट किया है । एक समूह पासवर्ड के लिए एक विशिष्ट उपयोग का मामला क्या होगा या क्या यह केवल ऐतिहासिक कारणों से बहुत अधिक है?


4
शायद मुझे केन को एक ईमेल भेजना चाहिए , डिजाइन चरण के दौरान उसका विचार पूछने के लिए; ओ)
जिप्पी

जवाबों:


26

मैंने भी कभी इस सुविधा का उपयोग नहीं देखा, एक बार भी नहीं। अधिकांश SA को इस बात की भी जानकारी नहीं है कि यह सुविधा मौजूद है। gpasswdइस नोट के लिए मैन पेज देखने में था:

समूह पासवर्ड के बारे में नोट्स

  Group passwords are an inherent security problem since more than one 
  person is permitted to know the password. However, groups are a useful 
  tool for permitting co-operation between different users.

उनका अस्तित्व क्यों है?

मुझे लगता है कि वे उपयोगकर्ता के पासवर्डों के मॉडल की नकल करने में एक स्वाभाविक विचार थे, जिससे यह समझ में आया कि केस मॉडल का उपयोग समूहों में भी नकल करना है। लेकिन व्यवहार में वे वास्तव में किसी भी चीज के लिए उपयोगी नहीं हैं।

एक समूह पासवर्ड के साथ विचार यह है कि यदि आपको किसी विशेष समूह (जिसे आप सदस्य के रूप में सूचीबद्ध नहीं किया गया है) तक पहुंच प्राप्त करने की आवश्यकता है, तो आप newgrpकमांड का उपयोग कर ऐसा कर सकते हैं , और पहुंच प्राप्त करने के लिए पासवर्ड के साथ चुनौती दी जा सकती है। इन वैकल्पिक समूहों के लिए।

उनके साथ बड़ी समस्या यह है कि प्रत्येक समूह के लिए केवल एक ही पासवर्ड है, इस प्रकार लोगों को इस एकल पासवर्ड को साझा करने के लिए मजबूर किया जाता है, जब कई लोगों को इस एक विशेष समूह तक पहुंच की आवश्यकता होती है।

समूह

मेरे द्वारा आए अधिकांश परिवेशों ने आम तौर पर लोगों को माध्यमिक समूहों में रखा है, और फिर इन समूहों को फाइल सिस्टम पर फ़ाइलों तक पहुंच प्रदान की है, और इसने उन सभी उपयोगों को पूरा किया है जो होने की आवश्यकता है।

sudo

sudoअतिरिक्त अनुमतियों के आगमन के रूप में समूहों के लिए एक आवश्यक आधार पर बाहर सौंप दिया जा सकता है, आगे किसी भी उपयोग के मामलों को कम करके जो समूह पासवर्ड प्रदान कर सकते हैं। यदि आपको उपयोगकर्ताओं को अधिक अनुमति देने की आवश्यकता है, तो इसमें भूमिकाएँ बनाना बहुत आसान था sudoऔर फिर वहाँ उपयोगकर्ता नाम या समूह को अनुमति दें जो कि वे अनुमतियाँ हैं, वहाँ अनुमतियाँ ऊपर उठाने की अनुमति दें ताकि वे एक विशेष कार्य कर सकें।

एसीएल

अंत में एक्सेस कंट्रोल लिस्ट (ACL) बनाने की क्षमता ने वास्तव में लचीलापन प्रदान किया कि उपयोगकर्ता / समूह / अन्य अनुमतियाँ मॉडल अकेले प्रदान नहीं कर सके, जो कि समूह पासवर्ड के लिए किसी भी संभावित आवश्यकता को अश्लीलता का आरोप लगाते हुए।


आप पहले से ही उल्लेख करते हैं sudoऔर ए.सी.एल. मुझे लगता udevहै कि एक समान कहानी के साथ आता है, निश्चित रूप से उपकरणों पर ध्यान देने के साथ। दिलचस्प पढ़ा।
जिप्पी

11

यहां समूह पासवर्ड के लिए एक व्यावहारिक उपयोग है, जो मैंने अपने काम के सर्वर पर खुद के लिए लागू किया, क्योंकि लॉग से संकेत मिलता है कि मेरा खाता जानवर-मजबूर हो रहा था (या एक शब्दकोश हमला हो सकता था)।
मैं प्रयोग किया जाता है ssh-keygenऔर puttygenसम्मान से मेरा कार्य केंद्र और घर के कंप्यूटर से उपयोग के लिए कुंजी युग्म उत्पन्न करने के लिए। मुझे घर से उपयोग की जाने वाली कुंजी के लिए पासवर्ड की आवश्यकता होती है। मैंने दोनों सार्वजनिक कुंजियों को जोड़ा .ssh/authorized_keys, marionetteएक पासवर्ड और कोई सदस्य नहीं के साथ एक समूह बनाया । जड़ के रूप में मैं visudoनिम्नलिखित पंक्तियों को जोड़ता था।

Cmnd_Alias      SUDOING = /bin/bash, /usr/bin/sudo -i
%marionette     ALL=NOPASSWD:SUDOING

मैंने अपने खाते का पासवर्ड अक्षम कर दिया है, आप कोई भी इस तरह से लॉग इन नहीं कर सकता है। अब मैं केवल अपनी कुंजियों के साथ लॉगिन करता हूं और पासवर्ड-रक्षित समूह में प्रवेश करता newgrp marionetteहूं जिससे मुझे रूट उपयोग करने की अनुमति मिलती है sudo -i। विकल्प के
बिना NOPASSWD:इसे आपके उपयोगकर्ता खाते के पासवर्ड की आवश्यकता होगी । यदि यह अक्षम है और इस समूह के पास नहीं है NOPASSWD, तो आप नहीं कर पाएंगे sudo -i। यदि आपका कमांड लिस्ट नहीं है या डिफ़ॉल्ट रूप से आपके रूट का उपयोग कर रहा है, तो इसे आपके उपयोगकर्ता खाते के पासवर्ड की भी आवश्यकता होगी /bin/bash

हालांकि यह कुछ कदम लंबे समय तक सूडो करने के लिए रास्ता बनाता है, यह सुरक्षा की एक अच्छी परत जोड़ता है। यदि आप अपने सभी खातों को इस तरह बनाना चाहते हैं, तो पासवर्ड और sudo विशेषाधिकारों के साथ एक स्थानीय खाता बनाएं, लेकिन /etc/ssh/sshd_configकुछ ऐसा जोड़कर ssh प्रविष्टि से इनकार करें :

DenyUsers root caan
DenyGroups root daleks

यदि आप पुनर्स्थापित करते हैं और अपनी पहुंच कुंजियों का बैकअप लेना भूल जाते हैं, तो स्थानीय पहुँच के लिए यह आवश्यक है।


sudoयदि आप इसके बजाय POSIX newgrpकमांड का उपयोग करते हैं तो आप इसे बहुत बेहतर कर सकते हैं । अभी भी, उत्कृष्ट जवाब।
मोकेसर

प्रश्न का उत्तर बिल्कुल नहीं, लेकिन एक स्पष्ट अतिरिक्त मूल्य के साथ "पुराने" ( newgrp) और "नया" ( sudo) के उपयोग और संयोजन के लिए एक उत्कृष्ट प्रस्ताव । यह कुछ कुडो के योग्य है।
डिर्क

1

मैंने उस पासवर्ड के लिए कभी भी उपयोग-मामला नहीं देखा है। और यह लगभग 20 साल का * निक्स अनुभव है।

केवल उपयोग-मामला जो मेरे दिमाग में आता है, उसे "" सेट करना है! - लॉक किया गया है, इसलिए कोई भी, उस समूह का सदस्य नहीं होने के कारण इसे newgrpकमांड के साथ बदल सकता है ।

अगर मैं RedHat- आधारित सिस्टम पर SLES या / etc / gshadow पर / etc / group / में देखता हूं तो यह "विशिष्ट" उपयोग-मामला प्रतीत होता है। SLES ने उस पासवर्ड के लिए छाया-तंत्र बनाने की भी जहमत नहीं उठाई।


पक्का नहीं आपका क्या मतलब है। उदाहरण के लिए। मैं newgrp ntpपहले से ही नहीं कर सकता , कैसे-करता !है कि परिवर्तन?
jippie

@jippie - तो आपके सिस्टम पर ntp के लिए पासवर्ड-फ़ील्ड क्या है? यदि पासवर्ड का अनुमान लगाना कुछ आसान था, तो आप newgrp ntp कर पाएंगे। साथ में ! आप नहीं कर पा रहे हैं।
निल्स

यह केवल एक उदाहरण है, इसमें 'x' है और स्वयं ntp उपयोगकर्ता के अलावा कोई भी समूह सदस्य नहीं हैं। मुझे अभी यह नहीं पता है कि आप पासवर्ड फ़ील्ड को किस समस्या को हल कर रहे हैं!
jippie

2
से man newgrp: यदि समूह पासवर्ड खाली है और उपयोगकर्ता को सदस्य के रूप में सूचीबद्ध नहीं किया गया है, तो उपयोगकर्ता को पहुँच से वंचित कर दिया जाएगा।
user2387

0

मुझे एक उपयोग के मामले का सुझाव दें।

पहले मुझे यह कहना चाहिए कि हम "उपयोगकर्ता" शब्द के लिए इतने अभ्यस्त हैं कि हम इसके बारे में सोचते भी नहीं हैं। लेकिन "उपयोगकर्ता" वास्तव में एक उपयोगकर्ता नहीं है । उदाहरण के लिए, घर पर हमारे पास तीन कंप्यूटर हैं - मेरी पत्नी का लैपटॉप, मेरा लैपटॉप और सामान्य डेस्कटॉप कंप्यूटर। जब मैं अपनी पत्नी के लैपटॉप का उपयोग करता हूं तो मैं उसके उपयोगकर्ता खाते के साथ लॉगिन करता हूं। जब वह मेरे लैपटॉप का उपयोग करती है तो वह मेरे उपयोगकर्ता खाते के साथ लॉग इन करती है। यदि किसी को डेस्कटॉप की आवश्यकता है तो वह एक सामान्य खाते का उपयोग करता है। हम यहां देखते हैं कि कंप्यूटर सिस्टम जिस चीज को "उपयोगकर्ता" कहता है वह वास्तव में उपयोगकर्ता नहीं है, लेकिन वर्कफ़्लो - गतिविधियों का एक समूह है।

यहाँ सवाल है: मेरे पास एक से अधिक गतिविधि क्यों नहीं हो सकती हैं - मेरे पास हर अलग काम के लिए एक? हाँ मैं। अपने काम के कंप्यूटर पर मैंने कई अलग-अलग उपयोगकर्ताओं को बनाया है (प्रयोगात्मक रूप से) ताकि मैं वर्तमान कार्य पर ध्यान केंद्रित कर सकूं। मैंने इन सभी उपयोगकर्ताओं को एक ही समूह में रखा है, इसलिए मैं अपनी फ़ाइलों को किसी भी मैटर तक नहीं पहुंचा सकता हूं जिसका उपयोग मैं वर्तमान में कर रहा हूं।

तो इस में गजट कहाँ फिट बैठता है?

उबंटू का डिफ़ॉल्ट व्यवहार प्रत्येक उपयोगकर्ता के लिए एक विशेष समूह बनाना है।

के रूप में इन प्राथमिक समूहों के बारे में क्या होगा अगर हम तय सोचने के लिए उपयोगकर्ताओं को और के रूप में प्रणाली उपयोगकर्ताओं के बारे में सोचना workflows ?

इन नए उपयोगकर्ताओं की तुलना में लॉगिन करने के लिए पासवर्ड की आवश्यकता होगी, है ना? यहाँ गज़वड का स्थान है। मुझे अभी भी यह पता लगाने की आवश्यकता है कि समूह के साथ कैसे लॉगिन करें (इस बिंदु तक जो मुझे पता है कि आप पहले से ही लॉग इन हैं तो आप समूहों को gpasswd के साथ बदल सकते हैं)।


समूह पासवर्ड इस सवाल का पूरा बिंदु है, हालांकि, जिसे आपने संबोधित नहीं किया है।
जेफ स्कालर

सुरक्षा और जवाबदेही के दृष्टिकोण से, जो आईटी में बहुत आम है, किसी और के उपयोगकर्ता खाते का उपयोग करना अस्वीकार्य है। यद्यपि यह आपके घर की स्थिति के लिए काम कर सकता है, यह कॉर्पोरेट वातावरण के लिए बुरा व्यवहार है।
जिप्पी
हमारी साइट का प्रयोग करके, आप स्वीकार करते हैं कि आपने हमारी Cookie Policy और निजता नीति को पढ़ और समझा लिया है।
Licensed under cc by-sa 3.0 with attribution required.