Безопасность и предоставление доступа

Для всех R-команд справедливо следующее: при выполнении каждой из ни задействованы несколько вычислительных систем: во-первых, система, на ю дается команда (локальная система), и, во-вторых, одна или несколько удаленных систем, доступ к которым осуществляется по сети. Выше уже упоминалось, что при этом нарушается обычная процедура входа в систему, поэтому возникают проблемы с безопасностью. К локальной системе это не относится: если Вы вообще даете команды, значит уже вошли в систему. Локальная система знает, кто Вы такой и что Вам разрешено делать. Но удаленные системы не имеют привычки предоставлять доступ всем пользователям без разбора. Безопасность в удаленной системе контролируется с помощью двух файлов, /etc/hosts.equiv и .rhosts.

Файл /etc/hosts.equiv может быть на каждом компьютере. Его постоянное o6новление входит в обязанности администратора системы. Если имя Вашего локального компьютера указано в файле hosts.equiv на удаленном компьютере, то любой пользователь Вашей локальной системы может выполнять R-команды в удаленной системе без необходимости указывать пароль, при условии, что он имеет вход с согласованным именем пользователя в удаленной системе. Итак, если Вы окажетесь под соответствующим именем в удаленной системе, то в этом случае Вы получите возможность обращаться к любому файлу, к которому имели бы доступ при непосредственном входе в систему. Другими словами, такие компьютерные системы эквивалентны.

Чтобы проиллюстрировать вышесказанное, рассмотрим пример. Пусть systeml.usnd.edu — компьютер, на котором могут работать два пользователя — Рен (Ren) и Стимпи (Stimpy). На другом компьютере, system2.usnd.edu, могут работать дм пользователя с такими же именами. Файл /etc/hosts.equiv на втором компьютере содержит такую строку:

systeml.usnd.edu

В данном случае Рен в системе systeml.usnd.edu может использовать R-команды для выполнения команд от имени Ren системы system2.usnd.edu без указания пароля. Тоже самое справедливо для Стимпи: войдя в system1, он может пользоваться входом Stimpy в system2 без сообщения пароля.

Но обратная ситуация, тем не менее, невозможна. В systeml нет файла hosis.equiv, поэтому ни Рен, ни Стимпи не могут выполнять R-команды в system1 из system2. Упомянутые средства не обязательно должны быть симметричными, и на практике они редко бывают таковыми. Обратите также внимание: это не означает, что Рен и Стимпи вообще не могут использовать R-команды. У них просто не будет беспароль­ного доступа. Если Вы не имеете права на беспарольный доступ, то R-команда запросит пароль, когда он будет нужен.

Файл .rhosts предоставляет аналогичные функциональные возможности, но он создается и ведется пользователем для своего собственного входа в систему. Он позволяет предоставлять доступ другому пользователю без запрашивания пароля. Имена пользователей могут и не совпадать. Пусть, например, пользователь Ren создает файл с именем .rhosts в своем домашнем каталоге в системе systeml.usnd.edu. Этот файл содержит следующую строку:

system2.usnd.edu Stimpy

Теперь Стимпи на компьютере system2.usnd.edu может пользоваться входом Рена на компьютере systeml без пароля. Вы можете формировать в своем файле .rhosts столько элементов, сколько нужно, по одному на строку.

Как уже говорилось, такая возможность может послужить источником проблем, связанных с безопасностью. Получив доступ к одному компьютеру, нарушитель тем самым может обойти ограничения и получить доступ к другому компьютеру. По этой причине файл / 'etc/hosts.equiv используется редко, в основном проблема беспароль­ного доступа решается с помощью файлов .rhosts, но при этом следует соблюдать определенные правила предосторожности. Необходимо постоянно проверять свой файл .rhosts и решать, будете ли Вы продолжать предоставлять доступ перечисленным в нем пользователям. Кроме того, Ваш файл .rhosts может изменить и взломавший Ваш компьютер злоумышленник, чтобы гарантировать себе постоянный доступ к Вашему входу в систему, — это еще одна причина для проведения регулярных проверок вышеупомянутого файла.

Наконец, Вам не мешает знать, что некоторые системные администраторы запрещают пользователям создавать файлы .rhosts. Такие администраторы могут располагать "поисково-разрушаюшими" программами для удаления этих файлов. В наши задачи не входит обсуждение разумности подобной политики, замечу только, что в таком случае Вам остается лишь подчиняться правилам.

Дата добавления: 2014-01-07