MCBC 3.0+ (Небольшие вопросы, связанные с МСВС)

[drBatty]

Пришлось вручную переписывать в текстовый файл, который и прилагаю. Кстати владельцем скрипта является рут, а права у него rwx --x --x. Т. е. вроде исполнять всем можно, а не получается.

для исполнения скрипта необходимо право чтения. Право использование как раз НЕ нужно. Дело в том, что при исполнении скрипта исполняется /bin/sh (или иной интерпретатор), а НЕ скрипт.

Т.е. вам следует сменить права этого скрипта на 0755 если вы хотите, что-бы все его могли запускать.

Ну а тип файла можно узнать командой file

[filatovka]

Вопрос на засыпку! Есть такое творение ВНИИС, называется комплекс средств защиты информации КП-БЛОК-М. Во время установки оного изделия автоматически устанавливается пароль для admsec. Данный пароль вшит в один из установочных скриптов. Причём вшит он в том виде, в котором он присутствует в файле /etc/shadow, т.е. в зашифрованном. В процессе эксплуатации в КП-БЛОК заводской пароль естественно меняется на некий свой. И вот наступает момент истины, вернувшуюся из ремонта машину нужно вернуть в сеть, сеть защищена КП-БЛОКом, пароль admsec там новый, а в дистрибутиве КП-БЛОК он естественно заводской и работающий комплекс его не примет. Как ввести в строй новую машину? А именно, как изменить тот самый вшитый пароль в скрипте на свой? Учитывая, что один и тот же пароль в зашифрованном виде каждый раз разный?

[drBatty]

Учитывая, что один и тот же пароль в зашифрованном виде каждый раз разный?

"один и тот же пароль" всегда разный потому, что на самом деле он не зашифрован. Он состоит из двух частей:
1. соль. Случайное число, по дефолту 0..4095
2. односторонняя хеш-функция, взятая от соли и пароля.
Подробности ищите в вашем man 5 passwd и man 3 crypt
Вам надо взять старую соль, и сделать новый хеш нового пароля, я так понимаю...

[filatovka]

Учитывая, что один и тот же пароль в зашифрованном виде каждый раз разный?

"один и тот же пароль" всегда разный потому, что на самом деле он не зашифрован. Он состоит из двух частей:
1. соль. Случайное число, по дефолту 0..4095
2. односторонняя хеш-функция, взятая от соли и пароля.
Подробности ищите в вашем man 5 passwd и man 3 crypt
Вам надо взять старую соль, и сделать новый хеш нового пароля, я так понимаю...

Мда... Что-то напоминает Вашу аватурку Я постараюсь выложить здесь этот скрипт, но это будет не раньше понедельника. Ну и маны конечно почитаю, не факт, что это поможет! Особенно понравилось, что зашифрованные пароли на самом деле не зашифрованы....

[drBatty]

Ну и маны конечно почитаю, не факт, что это поможет!

ну спрашивайте, что непонятно. Проблема в том, что документация и само ПО у вас отличается, именно потому я и говорю только общие вещи. Конкретика в ваших манах. Инструкции из гугла или от меня вам не помогут.

Особенно понравилось, что зашифрованные пароли на самом деле не зашифрованы....

это скорее всего проблемы неграмотных переводчиков. Криптография вовсе не ограничивается одним шифрованием.

Подумайте сами, как вообще можно зашифровать пароль? И что с ним потом делать?

Всё проще -- пароль из одного представления переводится в другое необратимой функцией.
Когда его кто-то вводит, то ввод тоже переводится той же функцией. Если получилось одно и то же, значит всё правильно.

Иначе, любой бы мог посмотреть на диске пароль, и войти в систему...

Что-то напоминает Вашу аватурку

она не просто так подобрана. На самом деле, я не люблю мультики. Тем более такие.

[filatovka]

В теории-то всё вроде правильно и как бы понятно. Но что делать в данном конкретном случае. Ниже приведён кусок скрипта, которым устанавливается пароль admsec на той машине, на которой происходит установка дистрибутива КП-БЛОК:

title "Установка для пользователя admsec пароля 'crjhjcnm' .."
grep '^admsec:' /etc/passwd > /dev/null && userdel -r admsec
grep '^admsec:' /etc/group > /dev/null && groupmod -g 302 admsec || groupadd -g 302 admsec
useradd admsec -u 302 -G users -g 302 -c 'Администратор безопасности' -p '$1$RxcK4ANN$iIdAYheN6QZgtETgEJhcL1' -m -k

В конце последней строки мы видим тот самый пароль в преобразованном виде. А вот выдержка из файла /etc/shadow с паролем admsec, который ныне действует на комплексе, защищенном КП-БЛОКом:

xfs:!!:15764::::::
drweb:!!:15769::::::
admsec:$1$Bka18cTi$F9MI5prFnu4I1jChT9R3K1:15869:0:99999:7::99999:

Естественно пароли даже не рядом. Можно как-то заменить пароль в скрипте, чтобы КП-БЛОК принял новые машины?

[Bizdelnick]

Можно как-то заменить пароль в скрипте, чтобы КП-БЛОК принял новые машины?

Вы разрешения спрашиваете? Это к командованию, а не сюда.

[filatovka]

Можно как-то заменить пароль в скрипте, чтобы КП-БЛОК принял новые машины?

Вы разрешения спрашиваете? Это к командованию, а не сюда.

Не-е, тут я сам себе командование. Я спрашиваю, если его просто скопировать из файла в скрипт, будет ли этого достаточно. Дело в том, что я ради эксперимента пробовал создавать в действующей сети пользователя и давать ему пароль crjhjcnm, как в скрипте. Так вот, в файле /etc/shadow его интерпретированный пароль естественно совсем не похож на тот, что в скрипте, вот и терзают смутные сомнения. На боевой сетке как-то стрёмно заниматься экспериментами...

[Bizdelnick]

Я спрашиваю, если его просто скопировать из файла в скрипт, будет ли этого достаточно.

Конечно.

[filatovka]

Я спрашиваю, если его просто скопировать из файла в скрипт, будет ли этого достаточно.

Конечно.

Вот спасибо тебе, добрый человек! А то support поставщика молчат как партизаны...

[drBatty]

Так вот, в файле /etc/shadow его интерпретированный пароль естественно совсем не похож на тот

ну в man crypt ведь написано жеж, что пароль может быть преобразован разными алгоритмами, и с разной солью. Некоторые алгоритмы очень стойкие, некоторые имеют сертификацию этого вашего института, который МСВС делает, некоторые не поддерживаются какими-то системами.

Получается ессно разный. И никто вам не гарантирует, что он поддерживается и подходит, и сертифицирован у ВАС.

Можете попробовать, вы же ничего не теряете...

[Bizdelnick]

пароль может быть преобразован разными алгоритмами

Ну в данном-то случае алгоритм оба раза MD5. Только соль разная.

[filatovka]

Вот такая закавыка вышла. Я всё время считал, что если МСВС, КП-ОФИС, КП Система печати являются продукцией ВНИИНС, то и КП-БЛОК тоже их продукция. Однако во ВНИИНС утверждают, что это детище некоего ВНИИС. Кто-нибудь знает что это за контора? Интернет сообщает о московском НИИ сертификации и воронежском НИИ связи, но что-то не похоже что они могли этим заниматься.

[ArkanJR]

Вот такая закавыка вышла. Я всё время считал, что если МСВС, КП-ОФИС, КП Система печати являются продукцией ВНИИНС, то и КП-БЛОК тоже их продукция. Однако во ВНИИНС утверждают, что это детище некоего ВНИИС. Кто-нибудь знает что это за контора? Интернет сообщает о московском НИИ сертификации и воронежском НИИ связи, но что-то не похоже что они могли этим заниматься.

Скорей всего воронежская контора, в настоящее время именуемое ОАО Концерн "Созвездие".

[admsec]

Вопрос на засыпку! Есть такое творение ВНИИС, называется комплекс средств защиты информации КП-БЛОК-М. Во время установки оного изделия автоматически устанавливается пароль для admsec. Данный пароль вшит в один из установочных скриптов. Причём вшит он в том виде, в котором он присутствует в файле /etc/shadow, т.е. в зашифрованном. В процессе эксплуатации в КП-БЛОК заводской пароль естественно меняется на некий свой. И вот наступает момент истины, вернувшуюся из ремонта машину нужно вернуть в сеть, сеть защищена КП-БЛОКом, пароль admsec там новый, а в дистрибутиве КП-БЛОК он естественно заводской и работающий комплекс его не примет. Как ввести в строй новую машину? А именно, как изменить тот самый вшитый пароль в скрипте на свой? Учитывая, что один и тот же пароль в зашифрованном виде каждый раз разный?

Без разницы какой вшит пароль, вы же авторизовываетесь через сервер "безопасности" тоесть какой пароль там забит с тем и входите "в сеть", локальный пароль в данном случае не используется имхо.


От себя вопрос: как настроить связку win7 и мсвс на одном диске?
1. вариант загрузки через лило - win 7 вешается где то в середине загрузке, мсвс грузится без проблем.
2. вариант через загрузчик винды работает, но через какое то количество загрузок с радномным выбором ОС загрузка мсвс слетает, вместо меню загрузки лило на экран вылазит мусор.
возможно винда как то правит на свой лад разделы, пока не понятно.


п.с. по работе есть мсвс, кп-блок присоединяюсь к обсуждению.

[drBatty]

От себя вопрос: как настроить связку win7 и мсвс на одном диске?

ИМХО есть смысл ставить венду в начало диска, ПОТОМ ставить линукс в свободное место В КОНЦЕ диска, и загрузчик ставить в MBR.

Да, некоторые делают по другому, но мой способ ИМХО самый безглючный и надёжный.

[admsec]

От себя вопрос: как настроить связку win7 и мсвс на одном диске?

ИМХО есть смысл ставить венду в начало диска, ПОТОМ ставить линукс в свободное место В КОНЦЕ диска, и загрузчик ставить в MBR.

Да, некоторые делают по другому, но мой способ ИМХО самый безглючный и надёжный.

Именно так и сделано. Сначала винда, потом мсвс. в /boot/ делается копия 512 байт MBR, автоматом при установке мсвс.
Затем накатывается обратно в MBR а дальше через bcdedit добавляется пункт загрузки мсвс в виндовое меню.

[drBatty]

Именно так и сделано.

дальше через bcdedit добавляется пункт загрузки мсвс в виндовое меню.

это НЕ так.

Почему вы не можете просто прописать Windows в /etc/lilo.conf ?

[admsec]

Именно так и сделано.

дальше через bcdedit добавляется пункт загрузки мсвс в виндовое меню.

это НЕ так.
Почему вы не можете просто прописать Windows в /etc/lilo.conf ?

Да мне и надо через лило, но говорю ж, так не работает. Винда вешается при загрузке. В безопасном режиме тоже, не помню после загрузки какого файла.

[drBatty]

Да мне и надо через лило, но говорю ж, так не работает. Винда вешается при загрузке.

это что-то с вендой. Я тут не компетентен. УМВР. Может scandisk поможет?

[Bizdelnick]

admsec
Вы бы хоть конфиг lilo показали.

[admsec]

Вопрос на засыпку! Есть такое творение ВНИИС, называется комплекс средств защиты информации КП-БЛОК-М. Во время установки оного изделия автоматически устанавливается пароль для admsec. Данный пароль вшит в один из установочных скриптов. Причём вшит он в том виде, в котором он присутствует в файле /etc/shadow, т.е. в зашифрованном. В процессе эксплуатации в КП-БЛОК заводской пароль естественно меняется на некий свой. И вот наступает момент истины, вернувшуюся из ремонта машину нужно вернуть в сеть, сеть защищена КП-БЛОКом, пароль admsec там новый, а в дистрибутиве КП-БЛОК он естественно заводской и работающий комплекс его не примет. Как ввести в строй новую машину? А именно, как изменить тот самый вшитый пароль в скрипте на свой? Учитывая, что один и тот же пароль в зашифрованном виде каждый раз разный?

Вам нужно с сервера КП-блок запустить команду ageconfig /all (могу ошибаться в синтаксисе), и пароль для адмсек вводите тот который был забит на сервере кпблок, это вообще к локальным паролям в отремонтированной машины не имеет отношения, при логировании запрос идет в базу на сервере кпблок. Как то так.

admsec
Вы бы хоть конфиг lilo показали.

конфиг стандартный после установки мсвс, тоесть в конце файла есть нечто вроде:

Код: Выделить всё

other=/dev/sda1
    label=Windows

мне кажется это именно с виндой 7, в гугле на англ. языке такая проблема имеется и не решена
Если бы был grub... но в мсвс с ведром 2.4 только лило, видел на мсвс с ведром 2.6 уже граб.

[filatovka]

От себя вопрос: как настроить связку win7 и мсвс на одном диске?

А от win7 отказаться никак нельзя? WinXP и Win2k3Server уживаются с МСВС просто замечательно. А win7 живёт какой-то своей жизнью Я вот пробовал ставить на семёрку программы Secret Net и Zlock, так эта дрянь после перезагрузки заявляла, что нашла у себя нечто непотребное и самостоятельно удалила. В итоге ни той ни другой программы нет. Это конечно решаемо, но сама тенденция настораживает

[filatovka]

Насчёт КП-БЛОК, я тоже думал примерно в этом направлении и считаю, что машины пользователей под него загнать получится. Жаль сейчас нет времени на эксперименты, на следующей неделе аттестация объектов, а потом можно и заняться. Главный вопрос, что делать если АРМ ОБИ загнётся, как его потом вводить?

[filatovka]

Загрузчик grub используется в МСВС 5.0, а в МСВС 3.0 r.16 с ядром 2.6 используется таки lilo!

[admsec]

От себя вопрос: как настроить связку win7 и мсвс на одном диске?

А от win7 отказаться никак нельзя? WinXP и Win2k3Server уживаются с МСВС просто замечательно. А win7 живёт какой-то своей жизнью Я вот пробовал ставить на семёрку программы Secret Net и Zlock, так эта дрянь после перезагрузки заявляла, что нашла у себя нечто непотребное и самостоятельно удалила. В итоге ни той ни другой программы нет. Это конечно решаемо, но сама тенденция настораживает

Ну так АНБ постаралось наверно, эдик снежок же рассказывал

следующей неделе аттестация объектов, а потом можно и заняться.

Да да, сходите проверьте заземление

Главный вопрос, что делать если АРМ ОБИ загнётся, как его потом вводить?

Сделайте образ акронисом например.

Загрузчик grub используется в МСВС 5.0, а в МСВС 3.0 r.16 с ядром 2.6 используется таки lilo!

Ну если мне показалось то креститьcя буду.

[filatovka]

С образом-то проблем нет и за себя я не волнуюсь, правда мне больше paragon нравится, но это частности. Проблема в том, что существуют ещё два десятка объектов, за которые я несу по крайней мере моральную ответственность. Правда далеко не везде на сегодняшний момент удалось внедрить этот, не к ночи будь помянутым, КП-БЛОК. И это в какой-то мере даже радует. Да и образ к сожалению не панацея. Если в ходе ремонта произведена замена материнки, то образ скорее всего не поможет. МСВС очень капризна в этом отношении.
Ай-яй, наврал, тысяча извинений, в МСВС 3.0 r.16 действительно загрузчик grub, версия 0.95. К сожалению мы её не имеем права использовать, неизвестно как она поведёт себя со специальным софтом, хотя КП-ОФИС я на неё водрузил, работает.

[admsec]

Офисный пакет там крайне уныл. Стесняюсь спросить, под какие задачи у вас мсвс в таких количествах. Потому что госконтракт и откаты, или реальная необходимость?

[filatovka]

Офисный пакет там крайне уныл. Стесняюсь спросить, под какие задачи у вас мсвс в таких количествах. Потому что госконтракт и откаты, или реальная необходимость?

Простые документы на нём готовить вполне можно, особенно, если добавить в систему виндовые шрифты. А на МСВС у нас функционируют комплексы, которые решают некие специфические военкоматные задачи.

[ArkanJR]

При чтении справки по КП Офис обнаружил интересное обстоятельство: в разделе "источники данных в КП Офис" приведены СУБД (настройка подключения) MySQL, MS Acces, Oracle и т.д., но при этом напрочь отсутствует PostgreSQL, она же Линтер-ВС (см. скриншот). Учитывая, что пакет КП Офис устанавливается на ПК под управлением МСВС, данное обстоятельство выглядит довольно странным, к тому же, в отличие от Линтер-ВС (PostgreSQL) приведённые в справке СУБД не проходили соответствующей сертификации, а следовательно, их применение нежелательно в военных (применительно к ВС РФ) ЛВС.