Users and groups slide notes translated.

Author: janpgit

user-access.tex

@@ -33,93 +33,24 @@
 \end{slide}
 
 \begin{itemize}
-\item informace o uživatelích v souborech \texttt{/etc/passwd}, a
-\texttt{/etc/group} jsou zpracovávány různými systémovými programy, např.
-\texttt{login} (přihlášení do sys\-té\-mu na základě uživatelského jména a
-hesla) nebo \texttt{su} (změna identity). \emsl{Jádro o těchto souborech nic
-neví, používá pouze numerickou identifikaci uživatele a skupiny.}
-\item dnes již hesla nejsou z bezpečnostních důvodů přímo v
-\texttt{/etc/passwd}, ale například v \texttt{/etc/shadow}, který běžnému
-uživateli přístupný není, pouze uživatel \texttt{root} má právo pro čtení
-a zápis. Tedy pouze privilegované programy jako \texttt{login} nebo
-\texttt{sshd} mohou z tohoto souboru číst nebo zapisovat (program
-\texttt{passwd} běží pod uživatelem \texttt{root} díky \emph{setuid} bitu
-nastaveném na souboru programu, viz poznámky na straně \pageref{SUID_BIT}).
-Takto jsou hesla separovaná od veřejně přístupných informací, navíc
-soubor který hesla obsahuje, je ukládá v zahašované/zašifrované formě,
-takže nejsou přímo čitelná.
-Na BSD systémech (např. FreeBSD, Mac OS X) se místo \texttt{/etc/shadow}
-používá soubor \texttt{/etc/master.passwd}.
-\item Soubor \texttt{/etc/shadow} je podobně strukturovaný jako
-\texttt{/etc/passwd}. Jeden záznam obsahuje většinou následující položky
-(Solaris): uživatelské jméno, zahašované heslo (spolu s indikátorem že 
-daný účet je zablokovaný), poslední modifikace hesla,
-minimum dní požadovaných mezi změnou hesla, maximum dní po které je heslo
-platné, počet dní po kterých je uživatel varován o expiraci hesla, počet
-povolených dní neaktivity uživatele, absolutní čas expirace uživatele,
-počet neúspěšých pokusů o nalogování tohoto uživatele.
-\item Hesla v \texttt{/etc/shadow} jsou uložena takovým způsobem, aby
-pokud se povede někomu soubor získat, měl ztíženou práci při odhadování
-hesel. Původní (cleartext) heslo se prožene jednosměrnou kryptografickou
-funkcí (která je navíc parametrizovatelná, čímž se výpočetní a prostorová
-složitost pro útok hrubou silou ještě zvýší)
-a uloží se do \texttt{/etc/shadow} v této formě. Ověřování hesla pak
-funguje tak že, se na cleartext heslo aplikuje daná funkce s danými
-parametry a výsledek se porovná s polem hesla v \texttt{/etc/shadow}.
-Pokud jsou stejné, proběhla autentizace úspěšně. Původně navržená funkce
-přestala s rozvojem procesorů stačit, takže se dnes používají funkce MD5,
-SHA1, Blowfish a další. Položka hesla v \texttt{/etc/shadow} je pak vnitřně
-strukturovaná pomocí speciálních znaků, takže programy ověřující heslo ví,
-jakou funkci a s jakými parametry použít.
-Většina systémů umožňuje globální konfiguraci použitých funkcí a jejich
-parametrů.
-\item existují i jiné systémy, které (nejen) pro autentizaci
-\texttt{/etc/passwd} nemusí vůbec používat, například NIS (Network Information
-Service) nebo LDAP (Lightweight Directory Access Protocol).
-\item skupina uživatele uvedená v \texttt{/etc/passwd} se nazývá
-\emsl{primární}. Tuto skupinovou identifikaci dostanou např. soubory vytvořené
-procesy uživatele. Další skupiny, ve kterých je uživatel uveden v souboru
-\texttt{/etc/group}, jsou doplňkové (\emph{supplementary}) a rozšiřují
-přístupová práva uživatele: skupinový přístup je povolen ke všem objektům,
-jejichž skupinový vlastník je roven buď primární, nebo jedné z doplňkových
-skupin.
-\item původně měl v UNIXu každý uživatel vždy aktivní pouze jednu skupinovou
-identitu. Po nalogování byl ve své primární skupině, pro získání práv jiné
-skupiny bylo třeba se do ní přepnout příkazem \texttt{newgrp} (skupinová
-obdoba \texttt{su}, řídí se obsahem souboru \texttt{/etc/group}), který
-spustil nový shell.
-\item v novějších UNIXech není třeba pro přístup k souborům měnit primární
-skupinovou identitu procesu, pokud uživatel patří do potřebné skupiny. Změna
-identity je nutná, pouze když chceme vytvářet soubory s jinou skupinovou
-identitou, než je primární skupina uživatele. Lokálně pro určitý adresář toho
-lze dosáhnout nastavením skupinového vlastníka adresáře na požadovanou skupinu
-a nastavením bitu SGID v přístupových právech adresáře -- to platí pro systémy
-založené na System~V. U BSD stačí změnit požadovanou skupinu u adresáře.
-Příklad vytvoření takového adresáře na Solarisu (příkaz \texttt{chown}
-musí být proveden pod uživatelem \texttt{root}):
-
-\begin{verbatim}
-# mkdir mydir
-# chown :lidi mydir
-# ls -ald mydir
-drwxr-xr-x   2 root     lidi           4 Nov  2 20:01 mydir
-# cd mydir/
-mydir # touch foo
-mydir # ls -ald foo
--rw-r--r--   1 root     root           0 Nov  2 20:01 foo
-mydir # chmod g+s .
-mydir # ls -ald .
-drwxr-sr-x   2 root     lidi           4 Nov  2 20:01 .
-mydir # touch bar
-mydir # ls -ald bar
--rw-r--r--   1 root     lidi           0 Nov  2 20:01 bar
-mydir # 
-\end{verbatim}
-
-\item druhá položka v řádcích \texttt{/etc/group} obsahuje zakódované
-skupinové heslo používané příkazem \texttt{newgrp}, to se již dnes nepoužívá.
-Například na FreeBSD je příkaz \texttt{newgrp} přístupný už jen superuživateli
-(kvůli volání \texttt{setgroups}).
+\item User information in files \texttt{/etc/passwd} and \texttt{/etc/group} are
+processed by various system programs, like \texttt{login} or \texttt{su}.
+The kernel knows nothing about these files as it only uses numeric
+representation of users and groups.
+\item Passwords are long gone from \texttt{/etc/passwd}, they are stored some
+place else, for example in \texttt{/etc/shadow}, which is not readable to an
+uprivileged user.  The passwords are also salted and then hashed.  On BSD based
+systems, eg. FreeBSD or macOS, instead of \texttt{/etc/shadow},
+\texttt{/etc/master.passwd} database is used.
+\item If \texttt{/etc/shadow} does exist, it is structured in a similar way as
+\texttt{/etc/passwd}.
+\item There are also protocols used for autentization that do not use
+\texttt{/etc/passwd} at all, for example NIS (Network Information Service) or
+LDAP (Lightweight Directory Access Protocol).
+\item The user group in \texttt{/etc/passwd} is called \emph{primary} for the
+user.  Such a group is used when files are created.  Other groups a user belongs
+to, those in the user's entry in \texttt{/etc/group}, are called
+\emph{supplementary} and provide additional group privileges to access files.
 \end{itemize}
 
 %%%%%