Skype Linux Reads Password and Firefox Profile

nainaide

Skype Linux Reads Password and Firefox Profile
Posted by samzenpus on Sunday August 26, @11:40AM
from the to-send-better-ads dept.
Privacy Linux
mrcgran writes "Users of Skype for Linux have just found out that it reads the files /etc/passwd, firefox profile, plugins, addons, etc, and many other unnecessary files in /etc. This fact was originally discovered by using AppArmor, but others have confirmed this fact using strace on versions 1.4.0.94 and 1.4.0.99. What is going on? This probably shows how important it is to use AppArmor in any closed-source application in Linux to restrict any undue access to your files."

http://forum.skype.com/index.php?showtopic=95261

zhllg

虽然很有提示意义
不过很怀疑作者是否是Novell的枪手

nainaide

有人用strace发现了这个

strace -v -i -s 9999 /usr/local/bin/skype 2> skype.log
...
[0053e7a2] open("/etc/ passwd", O_RDONLY) = 12
[0053e7a2] fcntl64(12, F_GETFD) = 0
[0053e7a2] fcntl64(12, F_SETFD, FD_CLOEXEC) = 0
[0053e7a2] fstat64(12, {st_dev=makedev(3, 2), st_ino=132772, st_mode=S_IFREG|0644, st_nlink=1, st_uid=0, st_gid=0, st_blksize=4096, st_blocks=8, st_size=1403, st_atime=2007/08/09-23:01:33, st_mtime=2007/07/17-13:17:21, st_ctime=2007/07/17-13:17:21}) = 0
[0053e7a2] mmap2(NULL, 4096, PROT_READ|PROT_WRITE, MAP_PRIVATE|MAP_ANONYMOUS, -1, 0) = 0xb7341000
[0053e7a2] read(12, "root:x:0:0:root:/root:/bin/bash\nbin:x:1:1: ..... all your content of passwd

看来，黑客产业真是太可怕了，搞电脑专业的是人并不多，大多数用电脑的人只是用而已，甚至从来都不防范，太可怕了。

zhou3345

如有外患，必有内贼。
天知道微软在windows里留了多少后门。

Post by nainaide
看来，黑客产业真是太可怕了，搞电脑专业的是人并不多，大多数用电脑的人只是用而已，甚至从来都不防范，太可怕了。

其实不仅仅是程序，现代人把太多的自身安全交在了所谓的“专业”人员手里。
我们把钱存入银行，每天上下班挤地铁公车，去集市买粮食蔬菜。
大多数人不自己投资，不自己开车，不自己种粮食。根本不知道有多少恶霸黑社会参与在了其中。

三翻领

社会化大生产本来就是如此，要么拒绝社会进步，要么回到男耕女织。
关键还是立法

biinn

请大家多到网上查查，在skype正是回应之前（我没找skype是不是已经回应了）网上绝大多数人认为读取 /etc/passwd 是正常的。
----------
btw，我用的是 google strace skype passwd

xlwcat

在gentoo系统里，/etc/passwd里面没有password的相关信息，密码信息都在/etc/shadow中，并且都是加密过的，得到密文也很难解到明文。

netjedi

好象kernel 2.6还是2.4以后密码都不在/etc/passwd 里面的吧。

keelort

Post by netjedi
好象kernel 2.6还是2.4以后密码都不在/etc/passwd 里面的吧。

一般发行版默认都是shadow的，但是可以转换成不shadow的

mathfeel

Post by biinn
请大家多到网上查查，在skype正是回应之前（我没找skype是不是已经回应了）网上绝大多数人认为读取 /etc/passwd 是正常的。
----------
btw，我用的是 google strace skype passwd

那firefox profile里的password呢？那包括有些人重要网站的密码：如银行、信用卡。

我很久以前就不再考軟体记密码了。尽管firefox和shadow等等会加密密码，但skype需要澄清它是否有必要看那些档案。我可以相信它有很好的理由。

这不正是闭源码軟体的问题吗？