CTparental GUI modif mot de passe Admin

[cyrille]

Proposition d'un GUI pour la modification du mot de passe et login

https://github.com/CyrilleBiot/primtux-p...ctparental



Tout est dans le git...

[Steph]

Faut pas taper les anciens?

[cyrille]

bah non c'est pour réinitialiser en cas d'oubli

[cyrille]

Comme il s'appuie sur la version shell de CTparental, les certif de sécurité sont de plus régénérés correctement pour l'ensemble des comptes
Un fichier dans /etc/sudoers.d permet un lancement sudo sans mot de passe (seulement pour administrateur) afin de l'interfacer dans l'outil administration des environnement.
Ce lancement sans mot de passe n'engage que ce programme

Par contre, je pense que ce serai bien de l'appliquer à l'administrateur (cf autre thread : https://forum.primtux.fr/viewtopic.php?id=2341 )

[Philippe Dpt35]

C'est pas un peu dangereux d'avoir un outil de réinitialisation du mot de passe CTparental, et sans avoir à saisir l'ancien mot de passe, facilement accessible ?

[mothsart]

Les caractères spéciaux, c'est obligatoire ? (Je suis pas sur que ça soit du gout de tous)
Peut-être envisager un bouton de génération de mdp ?

Ca pourrait également s'interfacer avec un keepassx (pour éviter de régénérer tout le temps).

[cyrille]

Les caractères spéciaux je les ai mis car la version "shell" actuelle en demande. Donc je me suis dit que si j''en mettais pas , on va me demander d'en mettre.
Ensuite, on peut aussi faire hyper simple, coller en login "administrateur" et en mot de passe "tuxprof" ... mais bon c'est limte... surtout si administrateur change de password...
L'ennui c'est que si on force les mots de passe (pas dur de les encoder à la mnière), on ne fait que la moitié du taf car il y a aussi tout la gestion des certificats à prendre en compte.
Là aussi bien c'est à la première connexion de créer son couple.

[cyrille]

C'est pas un peu dangereux d'avoir un outil de réinitialisation du mot de passe CTparental, et sans avoir à saisir l'ancien mot de passe, facilement accessible ?

C'est déjà ce qui se passe dans la version actuelle



Je n'ai fait qu'un interface gui en python rien de plus que l'outil en shell actuel

Et aussi bien cette application n'est accessible qu'au compte administateur

[Steph]

Ben ça peut servir.

[cyrille]

SI c'est le cas, faudrait que mothsart le recolle à son appli existante car je n'ai pas fait d'entrée .desktop

[Steph]

quelle appli, si c'est le panneau d'administration c'est moi qui l'ai fait en gtk-dialog.

[cyrille]

l'appli en #8

[Philippe Dpt35]

C'est pas un peu dangereux d'avoir un outil de réinitialisation du mot de passe CTparental, et sans avoir à saisir l'ancien mot de passe, facilement accessible ?

C'est déjà ce qui se passe dans la version actuelle

Et dans la version actuelle, il n'est pas nécessaire de saisir l'ancien mot de passe ?

[cyrille]

Et dans la version actuelle, il n'est pas nécessaire de saisir l'ancien mot de passe ?

non

[Steph]

Ben c'est la panneau d"administration c'est de moi ça.

[mothsart]

Je confirme : c'est Steph ça :lol: :lol:

Avant de se lancer dans des devs, au final c'est quoi le vrai soucis ?
C'est d'avoir un mdp CTparental différent de celui de l'admin, non ? (ou si on va encore plus loin c'est de devoir resaisir un mdp alors qu'on est déjà dans une session admin)
Du coup, ne vaudrait-il pas plutôt avoir un outil qui synchronise les mdp ?
Dans mon monde (pro), la tendance est d'avoir du SSO partout : on utilise un mdp (que l'on choisi dur et qu'on change régulièrement mais ça c'est un autre débat) pour se connecter à toutes les applis.

[Philippe Dpt35]

Je vois quand même un gros problème de sécurité de pouvoir réinitialiser le mot de passe sans avoir à saisir l'ancien, car cela revient à ne pas avoir de mot de passe. Cela m'avait échappé que cela se passe ainsi. Ne faudrait-il pas profiter de ce développement pour régler ce problème de sécurité ?

[Steph]

En même temps si tu n'as pas le mot de passe admin tu ne peux pas y accéder non plus, c'est pas comme si les élèves y avaient accès.

[cyrille]

Perso je n'ai rien changé à ce qui existait, juste collé une interface graphique...
ça va dans des écoles. C'est accessible que sur la session admin...
Faut peut être pas être parano
Aussi bien les postes étant présents physiquement, c'est un jeu d'enfant pour faire sauter le mot de passe root au boot et ensuite faire ce que l'on veut.
J'ai juste répondu à une demande d'un CTICE ayant perdu son mot de passe CTparental et me suis dit pas top le truc en bash vu que le reste est en GUI, j'en propose une.

Code :

sudo CTparental -setadmin NouvelAdmin NouveauMotDePasse

et il ne demande rien non plus
(mis à part le pass sudo mais comme c'est l'admin qui le passe il le connait)

[Philippe Dpt35]

ça va dans les écoles, mais en milieu familial c'est plus problématique.
Quant à faire sauter le mot de passe root, il faut quand même un minimum de connaissances techniques qui ne sont pas à la portée du premier venu. C'est en tout cas beaucoup plus compliqué que de le faire avec une interface graphique qui ne demande aucun mot de passe.

Vous avez une vision très centrée sur l'utilisation à l'école, ce qui est normal puisque c'est dans ce cadre que vous l'utilisez.
En ce qui me concerne, j'installe principalement PrimTux en milieu familial où les besoins diffèrent.

Je précise que je n'installe PrimTux en milieu familial que lorsqu'il y a des enfants jusqu'à l'âge de 12 ans environ. Au-delà j'installe une distribution plus généraliste. Dès lors la bidouille de faire sauter le mot de passe root au boot de PrimTux ne se pose pas compte-tenu de l'âge.

PrimTux n'est pas destiné qu'aux écoles, ne l'oubliez pas !

[Steph]

On ne peut pas tout verrouiller à fond non plus, les parents sont aussi en responsabilité et rien ne les empêche de changer le mot de passe admin et root à l'installation par exemple.

[cyrille]

Cette action existe déjà et n'est accessible que via la session administrateur

Après si on file les codes de l'administrateur aux enfants, que ce soit dans une école ou à la maison , le soucis est alors de type PEBCAK

Si dans une session administrateur, faut taper à chaque fois tous les mots de passe, à quoi sert la session admin ?

[mothsart]

Si dans une session administrateur, faut taper à chaque fois tous les mots de passe, à quoi sert la session admin ?

Je ne peux qu'être en accord avec ça : dans l'idéal on se connecte en administrateur et tout devrait se lancer sans re-saisie de mot de passe.

[cyrille]

@mothsart :
+1 d'où ce patch https://github.com/CyrilleBiot/primtux-no-sudo-password
qui vire l'identification sudo sur la session admin

[Philippe Dpt35]

le soucis est alors de type PEBCAK

Késako ?

Si dans une session administrateur, faut taper à chaque fois tous les mots de passe, à quoi sert la session admin ?

Ben pourquoi dans toutes les distributions Linux (ou pratiquement toutes) faut-il ressaisir le mot de passe à chaque fois ?

Je vous donne un exemple très concret.
J'ai de nombreuses familles issues de l'immigration pour lesquelles j'installe PrimTux. Les parents parlent parfois à peine le français, et ne maîtrisent pas l'informatique. Ce sont souvent les enfants les plus âgés (niveau CM) qui servent de traducteur pour les explications.
Je ne donne les mots de passe admin et CTparental qu'aux parents, mais dans ces contextes les enfant peuvent avoir accès au mot de passe admin parce qu'ils ont besoin d'aider les parents.
Dès lors ne pas avoir à ressaisir de mot de passe lorsqu'il y a des opérations sensibles représente un danger. Pouvoir changer le mot de passe de CTparental trop facilement un autre grand danger.