"Безопасность" проверки паользователся из /etc/password

[koskh]

Приветствую.

 

есть linux-box

на нем стоит proftp, и postfix+pop3

proftpd пользователей берет из /etc/password ( точнее /etc/shadow используя PAM), но обязательно с несуществующими home (настраивается в proftpd.conf)

 

постфикс и поп-3 (например cyrus-imap) можно настроить проверять пользователей через sasl2, либо например ldap, не в этом дело.

а дело в том, что если проверять cyrus_ом не виртуальных, а реальных пользователей из password файла ( ессно с несуществующими home), сильно ли уменьшится, так называемая, безопасность?

Стоит ли овчинка выделки в данном случае и вообще?

Дело не в "сложности настройки" cyrus_a ( в этом то проблем нет), а дело в "упрощении системы"+на будущее знать, если вдруг придется выбирать между програамой для какого либо сервиса, проводящей auth по password либо sasldb_etc.

 

Спасибо

Edited October 6, 2006 by koskh

[ram_scan]

А какая разница если все равно вся авторизация/аутенификация идет через PAM ? Ему-то поровну, что pam_unix что pam_ldap...

[zyxman]

а дело в том, что если проверять cyrus_ом не виртуальных, а реальных пользователей из password файла ( ессно с несуществующими home), сильно ли уменьшится, так называемая, безопасность?

Стоит ли овчинка выделки в данном случае и вообще?

Дело не в "сложности настройки" cyrus_a ( в этом то проблем нет), а дело в "упрощении системы"+на будущее знать, если вдруг придется выбирать между програамой для какого либо сервиса, проводящей auth по password либо sasldb_etc.

 

Спасибо

в автомобиле есть безопасность пассивная (ремни безопасности, ребра жесткости кузова) и активная - мощный двигатель, полный привод, хорошая резина, хорошая коробка-автомат, большой клиренс, система навигации (сирена, мигалки - шутка :).

 

так вот средства пассивной безопасности уменьшают ущерб когда ДТП уже случилось, а средства активной безопасности позволяют избежать ДТП вообще - вам не нужно подстраиваться под машину и дорогу а можно ехать так как удобно, самому выбирать наиболее удобный и безопасный маршрут, скорость и траекторию.

 

вот и с безопасностью тоже - выведение паролей из /etc/passwd удорожает систему на мелких уровнях, зато на приличном количестве пользователей (и/или сервисов) вам не нужно будет обновлять пароли на всех серверах при изменении одного пользователя (сервиса) и вы сможете использовать полученный ресурс на что-то полезное, вроде повышения квалификации, настройки новых сервисов, отдыха в конце концов!

[zcat]

Что мешает хранить пароли, как кстати и сами аккаунты, в БД или LDAP ?

За одно и безопасность повысится и масштабируемость.