Процедуры контроля регистрационных имен
Нужно соблюдать осторожность при добавлении регистрационных имен в АС для того, чтобы защитить их. При установке АС с дистрибутива файл паролей должен просматриваться на предмет обнаружения "стандартных" регистрационных имен, созданных производителем. Многие производители создают регистрационные имена, которые обычно используются обслуживающим персоналом. Эти регистрационные имена обычно либо не имеют пароля, либо имеют пароль, известный всем. Этим регистрационным именам следует назначать новые пароли, если имена нужны, или удалять их из списка имен, если они не нужны.
Регистрационные имена без паролей являются очень опасными, так как они позволяют получить доступ к АС любому человеку. Даже регистрационные имена, для которых не задан запуск командного интерпретатора (например, регистрационные имена, созданные только для того, чтобы посмотреть, кто работает в АС) могут быть скомпрометированы при их некорректной установке. Понятие "анонимной" передачи файлов в FTP[20] позволяет всем пользователям сети получать доступ к вашей АС для чтения файлов с диска. Вам следует тщательно сопоставить удобство, которое дает регистрационное имя без пароля, с опасностью для защиты, которую создает такой доступ к вашей АС.
Если операционная система поддерживает средство "теневых" паролей, которое сохраняет пароли в отдельном файле, доступном только привилегированным пользователям, это средство следует использовать. UNIX System V, SunOS 4.0 и выше, и версии Berkeley UNIX после 4.3BSD, а также другие системы поддерживают это средство. Оно защищает пароли с помощью скрытия их зашифрованных значений от непривилегированных пользователей. Это не позволяет атакующему скопировать ваш файл паролей на его или ее СВТ, а затем попытаться расшифровать его содержимое.
Контролируйте за тем, кто имеет доступ к привилегированным регистрационным именам( например, "root" в UNIX или "MAINT" в VMS). Всякий раз, когда привилегированный пользователь покидает организацию или перестает нуждаться в привилегированном регистрационном имени, пароли всех привилегированных регистрационных имен следует изменить.
