<HTML>
<HEAD>
<TITLE>Ajouter le support shadow à un programme en C. </TITLE>
</HEAD>
<BODY>
<A NAME="sec-prog"></A> <H1>8. <A NAME="s8"></A>Ajouter le support shadow à un programme en C. </H1>
<P>
<A HREF="Shadow-Password-HOWTO.html#toc8">Contenu de cette section</A></P>
<P>Ajouter le support shadow à un programme C est assez facile. Le
seul problème est que le programme doit être lancé par root (ou SUID root)
pour qu'il puisse accéder au fichier <CODE>/etc/shadow</CODE>.</P>
<P>Ceci présente un réel problème, il faut faire très attention lors de la
création de programmes SUID. Par exemple, il ne faut pas qu'un programme
SUID root puisse permettre un accès au shell.</P>
<P>La meilleure solution pour qu'un programme puisse accéder aux mots de passe
encodés sans être SUID root, est de lancer
ce programme SUID shadow à la place. C'est le cas par exemple du programme
<CODE>xlock</CODE>.</P>
<P>Dans l'exemple donné précédemment, <CODE>pppd-1.2.1d</CODE> fonctionne déjà
SUID root, donc ajouter le support shadow ne le rendra pas plus vulnérable.</P>
<P></P>
<H2>8.1 <A NAME="ss8.1"></A> Les fichiers d'en-tête</H2>
<P>Les fichiers d'en-tête doivent être stockés dans le répertoire
<CODE>/usr/include/shadow</CODE>. Le fichier <CODE>/usr/include/shadow.h</CODE>,
doit être un lien symbolique vers <CODE>/usr/include/shadow/shadow.h</CODE>.</P>
<P>Pour ajouter le support shadow à un programme, vous devez inclure les
fichiers de header:
<PRE>
#include <shadow/shadow.h>
#include <shadow/pwauth.h>
</PRE>
</P>
<P>La meilleure solution est d'utiliser des directives de compilation pour
compiler conditionnellement le code shadow (Il y aura un exemple par la
suite).</P>
<P></P>
<H2>8.2 <A NAME="ss8.2"></A> La bibliothèque libshadow.a</H2>
<P>Quand vous avez installé <EM>l'ensemble shadow</EM>, le fichier
<CODE>libshadow.a</CODE> a été créé et installé dans le répertoire <CODE>/usr/lib</CODE>.</P>
<P>Lorsque vous compilez un programme avec le support shadow, vous devez
préciser à l'éditeur de liens d'inclure la bibliothèque <CODE>libshadow.a</CODE>
dans le lien:</P>
<P>
<BLOCKQUOTE><CODE>
<PRE>
gcc programe.c -o program -lshadow
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P>Ceci dit, et vous le verrez par la suite dans notre exemple, la plupart des
programmes plus ou moins gros utilisent un fichier <CODE>Makefile</CODE>, qui en général,
utilise une variable appelée LIBS=... que vous pourrez modifier.</P>
<P></P>
<H2>8.3 <A NAME="ss8.3"></A> La structure shadow</H2>
<P>La bibliothèque <CODE>libshadow.a</CODE> utilise une structure appelée
<CODE>spwd</CODE> pour récupérer les informations contenues dans le fichier
<CODE>/etc/shadow</CODE>. Voici la définition de la structure <CODE>spwd</CODE>
provenant de <CODE>/usr/include/shadow/shadow.h</CODE>:
<HR>
<PRE>
struct spwd
{
char *sp_namp; /* nom de login */
char *sp_pwdp; /* mot de passe encode */
sptime sp_lstchg; /* date de la derniere modification */
sptime sp_min; /* nombre de jours minimum entre les modifs */
sptime spmax; /* nombre de jours maximum entre les modifs*/
sptime sp_warn; /* nombre de jours de warning avant l'expiration
du mot de passe */
sptime sp_inact; /* nombre de jours d'utilisation du compte
apres l'expiration. */
sptime sp_expire; /* nombre de jours a partir du 01/01/70 jusqu'a
l'expiration du compte */
unsigned long sp_flag; /* reserve pour une utilisation future */
};
</PRE>
<HR>
</P>
<P>L'<EM>ensemble shadow</EM> peut placer des données dans le champ <CODE>sp_pwdp</CODE>
juste après le mot de passe encodé, le champ password pourrait contenir:
<BLOCKQUOTE><CODE>
<PRE>
username:Npge08pfz4wuk;@/sbin/extra:9479:0:10000::::
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P>Cela signifie qu'en plus du mot de passe, le programme <CODE>/sbin/extra</CODE> sera
appelé pour procéder à une authentification supplémentaire. Le programme appelé
recevra comme argument, le nom d'utilisateur et un <EM>switch</EM> qui indiquera pourquoi il
est appelé. Regardez le fichier <CODE>/usr/include/shadow/pwauth.h</CODE> et le
code source de <CODE>pwauth.c</CODE> pour plus d'informations.</P>
<P>La fonction d'authentification <CODE>pwauth</CODE> est toujours utilisée
avant la deuxième authentification..</P>
<P></P>
<H2>8.4 <A NAME="ss8.4"></A> Les fonctions Shadow.</H2>
<P>Le fichier <CODE>shadow.h</CODE> contient aussi la déclaration des
fonctions contenues dans la bibliothèque <CODE>libshadow.a</CODE>:
<HR>
<PRE>
extern void setspent __P ((void));
extern void endspent __P ((void));
extern struct spwd *sgetspent __P ((__const char *__string));
extern struct spwd *fgetspent __P ((FILE *__fp));
extern struct spwd *getspent __P ((void));
extern struct spwd *getspnam __P ((__const char *__name));
extern int putspent __P ((__const struct spwd *__sp, FILE *__fp));
</PRE>
<HR>
</P>
<P>La fonction que nous allons étudier est <CODE>getspnam</CODE>, elle récupère une
structure <CODE>spwd</CODE> à partir d'un nom donné.</P>
<P></P>
<H2>8.5 <A NAME="ss8.5"></A> Exemple</H2>
<P>Voici un exemple d'ajout du support shadow à un programme qui en nécessite
mais pour qui ce support n'existe pas par défaut.</P>
<P>Nous allons nous baser sur l'exemple du serveur <CODE>pppd-1.2.1d</CODE> (
<EM>Serveur Point-to-Point protocol</EM>) configuré avec l'option
<EM>login</EM>:
il va chercher les mots de passe pour son authentification PAP dans le fichier
<CODE>/etc/passwd</CODE> au lieu des fichiers PAP ou CHAP. Vous n'avez pas besoin
d'ajouter ce code à <CODE>pppd-2.2.0</CODE>, c'est déjà fait.</P>
<P>Bien que cette possibilité de pppd ne soit pas très utilisée,
elle ne fonctionnera plus dès lors que vous aurez installé l'ensemble
shadow: les mots de passe ne sont plus stockés dans <CODE>/etc/passwd</CODE>.</P>
<P>La partie du code source d'authentification des utilisateurs avec
<CODE>pppd-1.2.1d </CODE> se trouve dans le fichier
<CODE>/usr/src/pppd-1.2.1d/pppd/auth.c</CODE>.</P>
<P>Le code qui suit doit être ajouté au début du fichier, là où sont toutes les
autres directives <CODE>#include</CODE>.
<HR>
<PRE>
#ifdef HAS_SHADOW
#include <shadow.h>
#include <shadow/pwauth.h>
#endif
</PRE>
<HR>
</P>
<P>Maintenant, il faut modifier le code actuel. Nous sommes toujours avec le
fichier <CODE>auth.c</CODE>.</P>
<P>La fonction <CODE>auth.c</CODE> avant les modifications:
<HR>
<PRE>
/*
* login - Controle le nom d'utilisateur et le mot de passe par rapport
* a ceux stockes sur le systeme.
* Accepte la connection si l'utilisateur est OK.
*
* retourne:
* UPAP_AUTHNAK: Connection refusee.
* UPAP_AUTHACK: Connection Acceptee.
* Dans un cas comme dans l'autre, msg pointe sur le message approprie.
*/
static int
login(user, passwd, msg, msglen)
char *user;
char *passwd;
char **msg;
int *msglen;
{
struct passwd *pw;
char *epasswd;
char *tty;
if ((pw = getpwnam(user)) == NULL) {
return (UPAP_AUTHNAK);
}
/*
* XXX Si il n'y a pas de mots de passe, accepte la connection.
*/
if (pw->pw_passwd == '\0') {
return (UPAP_AUTHACK);
}
epasswd = crypt(passwd, pw->pw_passwd);
if (strcmp(epasswd, pw->pw_passwd)) {
return (UPAP_AUTHNAK);
}
syslog(LOG_INFO, "user %s logged in", user);
/*
* Ecris une entree wtmp pour cet utilisateur.
*/
tty = strrchr(devname, '/');
if (tty == NULL)
tty = devname;
else
tty++;
logwtmp(tty, user, ""); /* Ajoute une entree wtmp de connection */
logged_in = TRUE;
return (UPAP_AUTHACK);
}
</PRE>
<HR>
</P>
<P></P>
<P>Le mot de passe de l'utilisateur est placé dans <CODE>pw->pw_passwd</CODE>,
donc, nous devons ajouter la fonction <CODE>getspnam</CODE> qui placera le mot
de passe dans <CODE>spwd->sp_pwdp</CODE>.</P>
<P>Nous rajouterons la fonction <CODE>pwauth</CODE> pour l'authentification
actuelle. Une seconde authentification sera effectuée si le fichier
shadow est configuré pour.</P>
<P>Voici la fonction auth.c apres les modifications pour le support de shadow:
<HR>
<PRE>
/*
* login - Controle le nom d'utilisateur et le mot de passe par rapport
* a ceux stockes sur le systeme.
* Accepte la connection si l'utilisateur est OK.
*
* Cette fonction a ete modifiee pour etre compatible avec les mots de
* passe Shadow Linux si USE_SHADOW a ete defini
*
* retourne:
* UPAP_AUTHNAK: Connection refusee.
* UPAP_AUTHACK: Connection Acceptee.
* Dans un cas comme dans l'autre, msg pointe sur le message approprie.
*/
static int
login(user, passwd, msg, msglen)
char *user;
char *passwd;
char **msg;
int *msglen;
{
struct passwd *pw;
char *epasswd;
char *tty;
#ifdef USE_SHADOW
struct spwd *spwd;
struct spwd *getspnam();
#endif
if ((pw = getpwnam(user)) == NULL) {
return (UPAP_AUTHNAK);
}
#ifdef USE_SHADOW
if ((spwd = getspnam(user)) == NULL) {
pw->pw_passwd = "";
} else {
pw->pw_passwd = spwd->sp_pwdp;
}
#endif
/*
* XXX Si il n'y a pas de mots de passe, accepte la connection.
*/
if (pw->pw_passwd == '\0') {
return (UPAP_AUTHNAK);
}
#ifdef HAS_SHADOW
if ((pw->pw_passwd && pw->pw_passwd[0] == '@'
&& pw_auth (pw->pw_passwd+1, pw->pw_name, PW_LOGIN, NULL))
|| !valid (passwd, pw)) {
return (UPAP_AUTHNAK);
}
#else
epasswd = crypt(passwd, pw->pw_passwd);
if (strcmp(epasswd, pw->pw_passwd)) {
return (UPAP_AUTHNAK);
}
#endif
syslog(LOG_INFO, "user %s logged in", user);
/*
* Ecris une entree wtmp pour cet utilisateur.
*/
tty = strrchr(devname, '/');
if (tty == NULL)
tty = devname;
else
tty++;
logwtmp(tty, user, ""); /* Ajoute une entree wtmp de connection */
logged_in = TRUE;
return (UPAP_AUTHACK);
}
</PRE>
<HR>
</P>
<P>En examinant précisément le code, vous verrez que d'autres modifications ont
été effectuées. La version originale autorisait l'accès (en retournant
<CODE>UPAP_AUTHACK</CODE>) quand il n'y avait
pas de mots de passe dans le fichier <CODE>passwd</CODE>. Il ne fallait
<EM>pas</EM> laisser ceci car utilisé avec l'option <CODE>login</CODE>, pppd
utilise le nom d'utilisateur dans <CODE>/etc/passwd</CODE> et le mot de passe dans
<CODE>/etc/shadow</CODE> pour son authentification PAP.</P>
<P>Donc si nous avions gardé la version originale, n'importe qui aurait pu
établir une connexion ppp avec un mot de passe vide.</P>
<P>Nous avons arrangé ça en retournant <CODE>UPAP_AUTHNAK</CODE> à la place de
<CODE>UPAP_AUTHACK</CODE> dans le cap ou le champ mot de passe est vide.</P>
<P>A savoir que pppd-2.2.0 possède le même problème.</P>
<P>Nous devons modifier le Makefile pour que deux choses soient
prises en compte:
<CODE>USE_SHADOW</CODE> doit être défini, et <CODE>libshadow.a</CODE> doit être ajouté
au processus d'édition de liens.</P>
<P>Editez le Makefile, et ajoutez:
<BLOCKQUOTE><CODE>
<PRE>
LIBS = -shadow
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P>Alors, trouvez la ligne:
<BLOCKQUOTE><CODE>
<PRE>
COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P>et replacez-la par:
<BLOCKQUOTE><CODE>
<PRE>
COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t -DUSE_SHADOW
</PRE>
</CODE></BLOCKQUOTE>
</P>
<P>Maintenant, lancez make et installez.</P>
<P></P>
<HR>
<P>
Chapitre <A HREF="Shadow-Password-HOWTO-9.html">suivant</A>,
Chapitre <A HREF="Shadow-Password-HOWTO-7.html">Précédent</A>
<P>
Table des matières de <A HREF="Shadow-Password-HOWTO.html#toc8">ce chapitre</A>,
<A HREF="Shadow-Password-HOWTO.html#toc">Table des matières</A> générale</P>
<P>
<A HREF="Shadow-Password-HOWTO.html">Début</A> du document,
<A HREF="#0"> Début de ce chapitre</A></P>
</BODY>
</HTML>
