opsi Version 3.3 - opsi Download - uib

9. Datenhaltung von opsi (Backends)
9.6. Absicherung der Shares über verschlüsselte Passwörter
Die Installationssoftware opsi-PreLoginLoader greift auf die vom opsi-server zur
Verfügung gestellten Shares zu um Software zu installieren sowie um Konfigurationsinformationen
und Logdateien schreiben zu können. Hierzu wird der System-User
pcpatch verwendet. Die Absicherung dieser Shares und damit der Authentifizierungsdaten
des Users pcpatch sind wichtig für die:
• allgemeine Systemsicherheit und Datenintegrität
• Absicherung der potenziell lizenzpflichtigen Softwarepakete gegen
missbräuchliche Nutzung
Um dem opsi-PreLoginLoader ein Zugriff auf die Authentifizierungsdaten zu
ermöglichen, wird für jeden Client bei der Reinstallation durch den opsipxeconfd ein
spezifischer Schlüssel erzeugt. Dieser Schlüssel wird zum einen in der Datei
/etc/opsi/pckeys abgelegt und zum anderen dem PC bei der Reinstallation übergeben.
Der übergebene Schlüssel wird im Rahmen der Betriebsysteminstallation in der Datei
c:\opsi\cfg\locked.cfg so abgelegt, dass nur Administratoren Zugriff darauf haben.
Ebenso hat auf dem opsi-server nur root, pcpatch und Mitglieder der Gruppe pcpatch
Zugriff auf die Datei /etc/opsi/pckeys. Auf diese Weise verfügt jeder PC über einen
Schlüssel, der nur dem PC und dem opsi-server bekannt ist und der gegenüber dem
Zugriff durch normale Anwender geschützt ist. Mit diesem Schlüssel wird das aktuelle
Passwort des system users pcpatch auf dem opsi-server verschlüsselt und im Backend
abgelegt. Dieses verschlüsselte Passwort wird vom Client bei jedem Boot neu gelesen,
so dass eine Änderung des pcpatch Passwortes jederzeit möglich ist und der Client auf
verschlüsseltem Wege das veränderte Passwort erfährt.
119