crypto/kerberosIV/lib/auth/sia/README

   1
   2 Digital SIA
   3 -----------
   4
   5 To install the SIA module you will have to do the following:
   6
   7    * Make sure `libsia_krb4.so' is available in `/usr/athena/lib'. If
   8      `/usr/athena' is not on local disk, you might want to put it in
   9      `/usr/shlib' or someplace else. If you do, you'll have to edit
  10      `krb4_matrix.conf' to reflect the new location (you will also have
  11      to do this if you installed in some other directory than
  12      `/usr/athena'). If you built with shared libraries, you will have
  13      to copy the shared `libkrb.so', `libdes.so', `libkadm.so', and
  14      `libkafs.so' to a place where the loader can find them (such as
  15      `/usr/shlib').
  16
  17    * Copy (your possibly edited) `krb4_matrix.conf' to `/etc/sia'.
  18
  19    * Apply `security.patch' to `/sbin/init.d/security'.
  20
  21    * Turn on KRB4 security by issuing `rcmgr set SECURITY KRB4' and
  22      `rcmgr set KRB4_MATRIX_CONF krb4_matrix.conf'.
  23
  24    * Digital thinks you should reboot your machine, but that really
  25      shouldn't be necessary.  It's usually sufficient just to run
  26      `/sbin/init.d/security start' (and restart any applications that
  27      use SIA, like `xdm'.)
  28
  29 Users with local passwords (like `root') should be able to login safely.
  30
  31 When using Digital's xdm the `KRBTKFILE' environment variable isn't
  32 passed along as it should (since xdm zaps the environment). Instead you
  33 have to set `KRBTKFILE' to the correct value in
  34 `/usr/lib/X11/xdm/Xsession'. Add a line similar to
  35      KRBTKFILE=/tmp/tkt`id -u`_`ps -o ppid= -p $$`; export KRBTKFILE
  36 If you use CDE, `dtlogin' allows you to specify which additional
  37 environment variables it should export. To add `KRBTKFILE' to this
  38 list, edit `/usr/dt/config/Xconfig', and look for the definition of
  39 `exportList'. You want to add something like:
  40      Dtlogin.exportList:     KRBTKFILE
  41
  42 Notes to users with Enhanced security
  43 .....................................
  44
  45 Digital's `ENHANCED' (C2) security, and Kerberos solves two different
  46 problems. C2 deals with local security, adds better control of who can
  47 do what, auditing, and similar things. Kerberos deals with network
  48 security.
  49
  50 To make C2 security work with Kerberos you will have to do the
  51 following.
  52
  53    * Replace all occurencies of `krb4_matrix.conf' with
  54      `krb4+c2_matrix.conf' in the directions above.
  55
  56    * You must enable "vouching" in the `default' database.  This will
  57      make the OSFC2 module trust other SIA modules, so you can login
  58      without giving your C2 password. To do this use `edauth' to edit
  59      the default entry `/usr/tcb/bin/edauth -dd default', and add a
  60      `d_accept_alternate_vouching' capability, if not already present.
  61
  62    * For each user that does _not_ have a local C2 password, you should
  63      set the password expiration field to zero. You can do this for each
  64      user, or in the `default' table. To do this use `edauth' to set
  65      (or change) the `u_exp' capability to `u_exp#0'.
  66
  67    * You also need to be aware that the shipped `login', `rcp', and
  68      `rshd', doesn't do any particular C2 magic (such as checking to
  69      various forms of disabled accounts), so if you rely on those
  70      features, you shouldn't use those programs. If you configure with
  71      `--enable-osfc2', these programs will, however, set the login UID.
  72      Still: use at your own risk.
  73
  74 At present `su' does not accept the vouching flag, so it will not work
  75 as expected.
  76
  77 Also, kerberised ftp will not work with C2 passwords. You can solve this
  78 by using both Digital's ftpd and our on different ports.
  79
  80 *Remember*, if you do these changes you will get a system that most
  81 certainly does _not_ fulfill the requirements of a C2 system. If C2 is
  82 what you want, for instance if someone else is forcing you to use it,
  83 you're out of luck.  If you use enhanced security because you want a
  84 system that is more secure than it would otherwise be, you probably got
  85 an even more secure system. Passwords will not be sent in the clear,
  86 for instance.
  87