[-rw-r--r-- /etc/passwd] чем чревато?

первое - так и должно быть
второе - чревато проблемами, тем что не будут определяться соотношение имен и uid пользователей, домашний каталог

первое это в смысле в как в заголовке темы 644
640 - будет также как и в случае 600, за исключением пользователей входящих в группу владельца

ставьте 644 rw-r-r

или что вы хотите сделать вообще?

но не опасно ли то, что пользователи могут видеть содержимое этого файла?
я ничего не хочу сделать, я интересуюсь насчет безопасности. теоретически какой-нибудь нехороший пользователь может посмотреть этот файл, узнать логины других пользователей, и подобрать пароли к ним.

>не опасно

нет, более того, так нужно

теоретически какой-нибудь нехороший пользователь

у вас много нехороших пользователей имеют доступ к системе?

>я ничего не хочу сделать, я интересуюсь насчет безопасности. теоретически какой-нибудь нехороший пользователь может посмотреть этот файл, узнать логины других пользователей, и подобрать пароли к ним.

не давайте пользователю выйти за пределы своего хомяка

>узнать логины других пользователей, и подобрать пароли к ним

если он так мастерски подбирает пароли, то почему не может подобрать и логины?

каким образом? запретить chmod`ами доступ на директории выше хомяка или chroot`нуть его хомяк? или есть еще способы?

к моей системе имею доступ только я :)
интересуюсь ради знаний.

хотите еще?

SELinux например

Пока никто кроме рута не может читать /etc/shadow — ничем.

спасибо, покурю.

/etc/shadow можно и sgid делать на группу shadow (проверялки пароля скринсейвера и прочие штуки), но это там где нет PAM.... вообщем слака

>каким образом? запретить chmod`ами доступ на директории выше хомяка или chroot`нуть его хомяк? или есть еще способы?

чрутом хомяка, других способов не знаю.

> /etc/shadow можно и sgid делать на группу shadow (проверялки пароля скринсейвера и прочие штуки), но это там где нет PAM
поподробнее, пожалуйста

(чмодить) закрывать доступ туда, где секретная инфа. Например, соседние хомяки . А то ты хочешь от него скрыть то, что есть в каждом линуксе - всякие /usr/share/{man,doc} пусть хоть обчитается.

Вообще было бы интересно посмотреть на костыль, который скроет из /etc/passwd и /etc/group инфу, не относящуюся к пользователю, их смотрящему :)

Модуль ядра, перехватывающий все запросы к этим файлам? :D

Не обязательно, может через fuse можно, ну или да, используя модуль dazukofs для перехвата.

/etc/passwd(5)

Данный файл нужен, главным образом, для совместимости. Он присутствует во всех UNIX'ах и везде имеет одинаковую структуру. В BSD он не первичен, т.е. генерируется из файла /etc/master.passwd при помощи команды pwd_mkdb(8). В файле присутствует информация о логине пользователя, его оболочке и др.

http://house.hcn-strela.ru/BSDCert/BSDA-course/ch02s12.html#3.2.12-master.passwd

http://www.opennet.ru/man.shtml?topic=tcb&category=5&russian=0

Вроде в альте так было реализовано.

спасибо, интересно

Жуткий изврат.

И не совсем в тему. Он изолирует shadow, а не passwd.

Вообще было бы интересно посмотреть на костыль, который скроет из /etc/passwd и /etc/group инфу, не относящуюся к пользователю, их смотрящему :)

LDAP-сервер, который отдаёт пользователю только те записи, которые имеют к нему непосредственное отношение. Х.з. есть ли на такое, но по идее возможно.

В LDAP можно очень гибко настроить доступ к атрибутам, так что вполне возможно.

паролей там нет => ничем. у вас же не древний unix/linux, где закриптовыные пароли лежали в /etc/passwd

каким образом? запретить chmod`ами доступ на директории выше хомяка или chroot`нуть его хомяк? или есть еще способы?

чрутом хомяка, других способов не знаю.

Ему в хомяк ещё и бинарники с либами надо что ли? Или я не понимаю?

зачем подробности? сейчас есть PAM и suid root хелпер PAMа,
раньше когда PAM не было, но уже был shadow, было много программ проверялок пароля, например для скринсейвера, xlock вместо suid root
ставился sgid shadow, файл shadow имел доступ 640 rw-r--- (root.shadow)
таким образом xlock мог читать файл с паролями для проверки , в KDE был kcheckpass для этой цели, в принципе и сейчас остались рудименты этого,
но в основном используется PAM