<div dir="ltr"><div class="gmail_quote"><div dir="ltr">On Tue, Nov 6, 2018 at 1:42 AM Grant Taylor via TUHS <<a href="mailto:tuhs@minnie.tuhs.org">tuhs@minnie.tuhs.org</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">On 11/05/2018 06:46 PM, Dan Cross wrote:<br>
> NIS would be the only other realistic option and it's just not secure <br>
> enough in this day and age.<br>
<br>
What do you think about NIS (sans shadow) for directory and Kerberos for <br>
authentication?<br></blockquote><div><br></div><div>It wouldn't do it, but I guess it depends on how much you trust your environment and your users etc. If you're intent on using a network directory service, I'd bite the bullet and invest in setting up Kerberos and LDAP. The thing with pairing Kerberos (for authentication) with NIS is that while you'll have decent authentication security, nothing prevents a malicious third party from modifying the answer from `ypserv` for some user to set the UID to 0, thus making that user root. If authentication is happening by users typing passwords into SSH clients, which then get sent to SSH servers to be validated against the KDC on machines that have been so cracked, an attacker can steal passwords by subverting the SSH server processes.</div><div><br></div><div>However, if you trust your users not to do that and you're on a relatively small, self-contained and decently secured network, then it may be fine. From what you described earlier I think generating text files and distributing them around (possibly with rdist or rsync) and pairing that with kerberos would be less work and more robust.</div><div><br></div><div>        - Dan C.</div><div><br></div></div></div>