usr.sbin/rpc.yppasswdd/rpc.yppasswdd.8

   1 .\" Copyright (c) 1995, 1996
   2 .\"     Bill Paul <wpaul@ctr.columbia.edu>.  All rights reserved.
   3 .\"
   4 .\" Redistribution and use in source and binary forms, with or without
   5 .\" modification, are permitted provided that the following conditions
   6 .\" are met:
   7 .\" 1. Redistributions of source code must retain the above copyright
   8 .\"    notice, this list of conditions and the following disclaimer.
   9 .\" 2. Redistributions in binary form must reproduce the above copyright
  10 .\"    notice, this list of conditions and the following disclaimer in the
  11 .\"    documentation and/or other materials provided with the distribution.
  12 .\" 3. All advertising materials mentioning features or use of this software
  13 .\"    must display the following acknowledgement:
  14 .\"     This product includes software developed by Bill Paul.
  15 .\" 4. Neither the name of the author nor the names of contributors
  16 .\"    may be used to endorse or promote products derived from this software
  17 .\"    without specific prior written permission.
  18 .\"
  19 .\" THIS SOFTWARE IS PROVIDED BY Bill Paul AND CONTRIBUTORS ``AS IS'' AND
  20 .\" ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
  21 .\" IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
  22 .\" ARE DISCLAIMED.  IN NO EVENT SHALL Bill Paul OR CONTRIBUTORS BE LIABLE
  23 .\" FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
  24 .\" DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
  25 .\" OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
  26 .\" HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
  27 .\" LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
  28 .\" OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
  29 .\" SUCH DAMAGE.
  30 .\"
  31 .\" $FreeBSD: src/usr.sbin/rpc.yppasswdd/rpc.yppasswdd.8,v 1.25 2005/02/13 23:45:53 ru Exp $
  32 .\" $DragonFly: src/usr.sbin/rpc.yppasswdd/rpc.yppasswdd.8,v 1.4 2006/02/17 19:40:24 swildner Exp $
  33 .\"
  34 .Dd February 8, 1996
  35 .Dt RPC.YPPASSWDD 8
  36 .Os
  37 .Sh NAME
  38 .Nm rpc.yppasswdd
  39 .Nd "server for updating NIS passwords"
  40 .Sh SYNOPSIS
  41 .Nm
  42 .Op Fl t Ar master.passwd template file
  43 .Op Fl d Ar default domain
  44 .Op Fl p Ar path
  45 .Op Fl s
  46 .Op Fl f
  47 .Op Fl a
  48 .Op Fl m
  49 .Op Fl i
  50 .Op Fl v
  51 .Op Fl u
  52 .Op Fl h
  53 .Sh DESCRIPTION
  54 The
  55 .Nm
  56 utility allows users to change their NIS passwords and certain
  57 other information using the
  58 .Xr yppasswd 1
  59 and
  60 .Xr ypchpass 1
  61 commands.
  62 The
  63 .Nm
  64 utility
  65 is an RPC-based server that accepts incoming password change requests,
  66 authenticates them, places the updated information in the
  67 .Pa /var/yp/master.passwd
  68 template file and then updates the NIS
  69 .Pa master.passwd
  70 and
  71 .Pa passwd
  72 maps.
  73 .Pp
  74 The
  75 .Nm
  76 utility allows a normal NIS user to change
  77 his or her NIS password, full name (also
  78 known as 'GECOS' field) or shell.
  79 These updates are typically done using
  80 the
  81 .Xr yppasswd 1 ,
  82 .Xr ypchfn 1 ,
  83 .Xr ypchsh 1 ,
  84 or
  85 .Xr ypchpass 1
  86 commands.
  87 (Some administrators do not want users to be able to change their
  88 full name information or shells; the server can be invoked with option flags
  89 that disallow such changes.)
  90 When the server receives an update request,
  91 it compares the address of the client making the request against the
  92 .Pa securenets
  93 rules outlined in
  94 .Pa /var/yp/securenets .
  95 (See the
  96 .Xr ypserv 8
  97 manual page for more information on securenets; the
  98 .Nm
  99 utility uses the same access control mechanism as
 100 .Xr ypserv 8 . )
 101 .Pp
 102 The server then
 103 checks the 'old' password supplied by the user to make sure it is
 104 valid, then performs some sanity checks on the updated information (these
 105 include checking for embedded control characters, colons or invalid shells).
 106 Once it is satisfied that the update request is valid, the server modifies
 107 the template password file (the default is
 108 .Pa /var/yp/master.passwd )
 109 and then runs the
 110 .Pa /usr/libexec/yppwupdate
 111 script to rebuild the NIS maps.
 112 (This script has two arguments passed
 113 to it: the absolute pathname of the password template that was modified
 114 and the name of the domain that is to be updated.
 115 These in turn are
 116 passed to
 117 .Pa /var/yp/Makefile ) .
 118 .Pp
 119 The
 120 .Dx
 121 version of
 122 .Nm
 123 also allows the super-user on the NIS master server to perform more
 124 sophisticated updates on the NIS passwd maps.
 125 The super-user can modify
 126 any field in any user's master.passwd entry in any domain, and can
 127 do so without knowing the user's existing NIS password (when the server
 128 receives a request from the super-user, the password authentication
 129 check is bypassed).
 130 Furthermore, if the server is invoked with the
 131 .Fl a
 132 flag, the super-user can even add new entries to the maps using
 133 .Xr ypchpass 1 .
 134 Again, this only applies to the super-user on the NIS
 135 master server: none of these special functions can be performed over
 136 the network.
 137 .Pp
 138 The
 139 .Nm
 140 utility can only be run on a machine that is an NIS master server.
 141 .Sh OPTIONS
 142 The following options are available:
 143 .Bl -tag -width indent
 144 .It Fl t Ar master.passwd template file
 145 By default,
 146 .Nm
 147 assumes that the template file used to generates the
 148 .Pa master.passwd
 149 and
 150 .Pa passwd
 151 maps for the default domain is called
 152 .Pa /var/yp/master.passwd .
 153 This default can be overridden by specifying an alternate file name
 154 with the
 155 .Fl t
 156 flag.
 157 .Pp
 158 Note: if the template file specified with this flag is
 159 .Pa /etc/master.passwd ,
 160 .Nm
 161 will also automatically invoke
 162 .Xr pwd_mkdb 8
 163 to rebuild the local password databases in addition to the NIS
 164 maps.
 165 .It Fl d Ar domain
 166 The
 167 .Nm
 168 utility can support multiple domains, however it must
 169 choose one domain as a default.
 170 It will try to use the system default domain name as set by the
 171 .Xr domainname 1
 172 command for this default.
 173 However,
 174 if the system domain name is not
 175 set, a default domain must be specified on
 176 the command line.
 177 If the system default domain is set,
 178 then this option can be used to override it.
 179 .It Fl p Ar path
 180 This option can be used to override the default path to
 181 the location of the NIS
 182 map databases.
 183 The compiled-in default path is
 184 .Pa /var/yp .
 185 .It Fl s
 186 Disallow changing of shell information.
 187 .It Fl f
 188 Disallow changing of full name ('GECOS') information.
 189 .It Fl a
 190 Allow additions to be made to the NIS passwd databases.
 191 The super-user on the
 192 NIS master server is permitted to use the
 193 .Xr ypchpass 1
 194 command to perform unrestricted modifications to any field in a user's
 195 .Pa master.passwd
 196 map entry.
 197 When
 198 .Nm
 199 is started with this flag, it will also allow the super-user to add new
 200 records to the NIS passwd maps, just as is possible when using
 201 .Xr chpass 1
 202 to modify the local password database.
 203 .It Fl m
 204 Turn on multi-domain mode.
 205 Even though
 206 .Xr ypserv 8
 207 can handle several simultaneous domains, most implementations of
 208 .Nm
 209 can only operate on a single NIS domain, which is generally the same as
 210 the system default domain of the NIS master server.
 211 The
 212 .Dx
 213 .Nm
 214 attempts to overcome this problem in spite of the inherent limitations
 215 of the
 216 .Pa yppasswd
 217 protocol, which does not allow for a
 218 .Pa domain
 219 argument in client requests.
 220 In multi-domain mode,
 221 .Nm
 222 will search through all the passwd maps of all the domains it
 223 can find under
 224 .Pa /var/yp
 225 until it finds an entry that matches the user information specified in
 226 a given update request.
 227 (Matches are determined by checking the username,
 228 UID and GID fields.)
 229 The matched entry and corresponding domain are then
 230 used for the update.
 231 .Pp
 232 Note that in order for multi-domain mode to work, there have to be
 233 separate template files for each domain.
 234 For example, if a server
 235 supports three domains,
 236 .Pa foo ,
 237 .Pa bar ,
 238 and
 239 .Pa baz ,
 240 there should be three separate master.passwd template files called
 241 .Pa /var/yp/foo/master.passwd ,
 242 .Pa /var/yp/bar/master.passwd ,
 243 and
 244 .Pa /var/yp/baz/master.passwd .
 245 If
 246 .Pa foo
 247 happens to be the system default domain, then its template file can
 248 be either
 249 .Pa /var/yp/foo/master.passwd
 250 or
 251 .Pa /var/yp/master.passwd .
 252 The server will check for the latter file first and then use the former
 253 if it cannot find it.
 254 .Pp
 255 Multi-domain mode is off by default since it can fail if there are
 256 duplicate or near-duplicate user entries in different domains.
 257 The server
 258 will abort an update request if it finds more than one user entry that
 259 matches its search criteria.
 260 Even so, paranoid administrators
 261 may wish to leave multi-domain mode disabled.
 262 .It Fl i
 263 If
 264 .Nm
 265 is invoked with this flag, it will perform map updates in place.
 266 This
 267 means that instead of just modifying the password template file and
 268 starting a map update, the server will modify the map databases
 269 directly.
 270 This is useful when the password maps are large: if, for
 271 example, the password database has tens of thousands of entries, it
 272 can take several minutes for a map update to complete.
 273 Updating the
 274 maps in place reduces this time to a few seconds.
 275 .It Fl v
 276 Turn on verbose logging mode.
 277 The server normally only logs messages
 278 using the
 279 .Xr syslog 3
 280 facility when it encounters an error condition, or when processing
 281 updates for the super-user on the NIS master server.
 282 Running the server
 283 with the
 284 .Fl v
 285 flag will cause it to log informational messages for all updates.
 286 .It Fl u
 287 Many commercial
 288 .Xr yppasswd 1
 289 clients do not use a reserved port when sending requests to
 290 .Nm .
 291 This is either because the
 292 .Xr yppasswd 1
 293 program is not installed set-uid root, or because the RPC
 294 implementation does not place any emphasis on binding to reserved
 295 ports when establishing client connections for the super-user.
 296 By default,
 297 .Nm
 298 expects to receive requests from clients using reserved ports; requests
 299 received from non-privileged ports are rejected.
 300 Unfortunately, this
 301 behavior prevents any client systems that to not use privileged
 302 ports from successfully submitting password updates.
 303 Specifying
 304 the
 305 .Fl u
 306 flag to
 307 .Nm
 308 disables the privileged port check so that it will work with
 309 .Xr yppasswd 1
 310 clients that do not use privileged ports.
 311 This reduces security to
 312 a certain small degree, but it might be necessary in cases where it
 313 is not possible to change the client behavior.
 314 .It Fl h
 315 Display the list of flags and options understood by
 316 .Nm .
 317 .El
 318 .Sh FILES
 319 .Bl -tag -width Pa -compact
 320 .It Pa /usr/libexec/yppwupdate
 321 The script invoked by
 322 .Nm
 323 to update and push the NIS maps after
 324 an update.
 325 .It Pa /var/yp/master.passwd
 326 The template password file for the default domain.
 327 .It Pa /var/yp/[domainname]/[maps]
 328 The NIS maps for a particular NIS domain.
 329 .It Pa /var/yp/[domainname]/master.passwd
 330 The template password file(s) for non-default domains
 331 (used only in multi-domain mode).
 332 .El
 333 .Sh SEE ALSO
 334 .Xr yp 8 ,
 335 .Xr yppush 8 ,
 336 .Xr ypserv 8 ,
 337 .Xr ypxfr 8
 338 .Sh AUTHORS
 339 .An Bill Paul Aq wpaul@ctr.columbia.edu
 340 .Sh BUGS
 341 As listed in the yppasswd.x protocol definition, the YPPASSWDPROC_UPDATE
 342 procedure takes two arguments: a V7-style passwd structure containing
 343 updated user information and the user's existing unencrypted (cleartext)
 344 password.
 345 Since
 346 .Nm
 347 is supposed to handle update requests from remote NIS client machines,
 348 this means that
 349 .Xr yppasswd 1
 350 and similar client programs will in fact be transmitting users' cleartext
 351 passwords over the network.
 352 .Pp
 353 This is not a problem for password updates since the plaintext password
 354 sent with the update will no longer be valid once the new encrypted password
 355 is put into place, but if the user is only updating his or her 'GECOS'
 356 information or shell, then the cleartext password sent with the update
 357 will still be valid once the update is completed.
 358 If the network is
 359 insecure, this cleartext password could be intercepted and used to
 360 gain unauthorized access to the user's account.