Salut à tous,

J'ai remarqué un truc assez marrant sur Ubuntu (je ne sais pas si c'est comme ça sur toutes les Debian) :

Il y a un fichier qui log tout ce qui s'est passé pendant l'installation :
/var/log/installer/cdebconf/questions.dat
Dans ce fichier, il y a loggué toutes les questions de l'install ainsi que les réponses de l'utilisateur.

Ce qui fait que sur la fin, on y trouve le nom de l'utilisateur qui est créé ainsi que son mot de passe en clair.

Alors si je ne me trompe pas :
_ L'installation en mode normal de Ubuntu crée un utilisateur qui a les droits du root via sudo
_ L'installation en expert de Ubuntu crée un compte root.

Dans les deux cas, on peut récupérer par ce biais un compte administrateur de la machine.

Ce qui est encore plus marrant, c'est que ce fichier est accessible en lecture par tous les utilisateurs (contrairement au syslog par exemple).

Personnelement, l'utilisateur que je crée à l'installation c'est l'admin et je n'ai pas le réflexe de changer son mot de passe dès la fin de l'install. Juste après l'install je me suis juste créé un utilisateur non-admin.
J'ai quand même googlelisé sur ce nom de fichier et il n'y a pas des caisses de résultats, mais quand mêne une page sur le Wiki Ubuntu (pour l'install d'un cluster) et ils disent de supprimer ce fichier.

Perso, je pense que c'est un chouia risqué de stocker par défaut le mot de passe un clair dans un fichier accessible par tout le monde. Maintenant, c'est peut être moi qui ne suis pas super au courant des trucs à faire systématiquement.
Je ne sais pas ce que vous en pensez...

___Teotihuacan____________________________________
John Lennon se prennait pour Dieu... Moi je me prends pour John Lennon

Poste le Sunday 12 March 2006 14:45:39