Verantwortlich für Initiierung: IT-Sicherheitsmanagement, Administrator
Verantwortlich für Umsetzung: Administrator
Mit dem Programm rlogin bzw. dem zugehörigen Daemon rlogind ist es möglich, sich über eine Netzverbindung auf einem anderen Rechner einzuloggen, wobei allerdings nur das Passwort abgefragt wird, da der Benutzername direkt übergeben wird. Mit den Kommandos rsh bzw. rcp und dem Daemon rshd ist es möglich, auf einem anderen Rechner ein Kommando ausführen zu lassen. Für beide Befehle gibt es die Möglichkeit, Trusted-Hosts zu definieren und zwar entweder benutzerspezifisch im Heimatverzeichnis in der Datei $HOME/.rhosts oder systemweit in der Datei /etc/hosts.equiv. Jeder Rechner, der in einer dieser Dateien eingetragen ist, wird als vertrauenswürdig angesehen, so dass ein Einloggen (mit rlogin) bzw. die Ausführung eines Befehles (mit rsh) von ihm aus ohne Angabe eines Passwortes möglich ist.
Da es, insbesondere von einem PC aus, sehr leicht ist, jeden beliebigen Rechnernamen vorzutäuschen, muss sichergestellt werden, dass die Dateien $HOME/.rhosts und /etc/hosts.equiv nicht vorhanden sind oder dass sie leer sind und der Benutzer keine Zugriffsrechte auf sie hat. Hierzu sollten regelmäßig die Heimatverzeichnisse der Benutzer untersucht werden, oder es sollte verhindert werden, dass die Daemons rlogind und rshd gestartet werden können (siehe hierzu die Datei /etc/inetd.conf und Maßnahme M 5.16 Übersicht über Netzdienste). Sollte die Benutzung der Datei /etc/hosts.equiv unumgänglich sein, muss sichergestellt sein, dass kein Eintrag '+' vorhanden ist, da hierdurch jeder Rechner vertrauenswürdig würde.
Als Ersatz für die r-Dienste kann Secure Shell (ssh) genutzt werden, wobei umfangreiche Funktionen zur sicheren Authentifizierung und zur Wahrung von Vertraulichkeit und Integrität zum Einsatz kommen (siehe auch M 5.64 Nutzung von Secure Shell). Wenn ssh zum Einsatz kommt, sollten nach Möglichkeit die r- Dienste abgeschaltet werden, damit die Sicherheitsmaßnahmen nicht umgangen werden können. Dies setzt allerdings voraus, dass alle Kommunikationspartner über geeignete Implementierungen von ssh verfügen.
© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000.