MS zal Unix-services in Windows Server 2003 R2 bespreken

Tijdens de LinuxWorld Conference die deze week in San Francisco plaatsvindt, zullen Microsoft-medewerkers een presentatie houden over Windows-Unix-interoperabiliteit en cross-platformfunctionaliteit die beschikbaar zal komen in Windows Server 2003 R2. In een interview met Slashdot, waarover wij eerder deze dag al schreven, heeft Microsofts Linux Lab Manager Bill Hilf namelijk laten weten dat een aantal onderdelen van Services for Unix 3.5 standaard zullen worden opgenomen in Windows Server 2003 R2. Dit zullen de volgende onderdelen zijn: een NFS-client, een NFS-server, User/Name-mapping om Windows-accounts naar Unix-accounts te mappen, een Telnet-server en -client, passwordsynchronisatie tussen Windows- en Unix-servers, en NIS Server-componenten. Daarnaast zal R2 optioneel beschikken over een aangepast POSIX-subsysteem en het 'Subsystem for Unix-based Applications' (SUA). Windows Server 2003 R2, dat gebaseerd is op SP1 voor Server 2003, zal tegen het einde van dit jaar gelanceerd worden.

Reacties (51)

[Bananenplant]

Ik ben eigenlijk vooral benieuwd naar de beweegreden hiervoor. Ik ken windows vooral als een systeem wat vooral niet interoperabel is met niet-windows-systemen terwijl in oss unices er op los gereverseengineerd wordt om de boel juist wel interoperabel te krijgen. Zouden de marktaandelen dusdanig veranderd zijn dat het ineens aantrekkelijk is voor windows om met unix te kunnen praten...?

Ow, en als er ssh in zou komen mag een X11-implementatie ook wel . (voor het remote-werk dus)

[VisionMaster]

lol, we vormen Windows gewoon effe om in een Linux box en dat zal zowel de echte mensen blij maken, als de systeembeheerders en andere "know-it-all's".

In denk dat de bewegingsreden gister op slashdot was te lezen. Veel OEMs en grote bedrijven maken de shift naar Linux systemen als standaard operating system bij levering van hun systemen.
De redenen zijn vooral te vinden in hoe Unix systemen werken. Bij IBM is het zelfs zo dat ze klanten aanmoedigen om hun blade-servers met linux uit te rusten, want dan kunnen ze het grid-computing pakket van IBM er gratis bij krijgen. Zodat klanten in staan kunen worden gesteld om meer capaciteit 'on-demand' (IBM TM) aan te vullen.
Hetzelfde soort dingen gebeuren ook in de HP-superdome wereld en bij andere grote machine makers.

Ergo. ik zie gewoon dat MS zich zelf uitgeroeleerdvoelt in een bepaalde markt die voor hun lastig is in te slaan.
Ook voor HPC (High Performance Computing) is er na de WinNT3.51 en WinNT4 clusters niet veel meer van geworden. Toen kwam linux om de hoek om op eenvoudige hardware nu ook in eens Unix te kunnen draaien (thanks Linus and friends).

[dietmertan.com]

If you don't understand UNIX, you are doomed to reinvent it

[VisionMaster]

..., poorly

[alt-92]

Ik denk dat dat voor een aantal klanten best wel een bijkomstigheid is die goed aanslaat hoor...

Ik ken zo al 3, 4 klanten bij ons waar in een stoffig hoekje al jaren een *nix doos staat te draaien waar nooit wat aan gedaan is, maar waar wel een boel historische data op staat die nu opeens veel makkelijker te benaderen (en te migreren/backuppen bijvoorbeeld) valt als je op je Windows-based netwerk SFU kan gebruiken.

Dat zijn vaak ook klanten die in 2000/2001 voor het laatst een investering hebben gedaan (2000 Server, AD) en nu met de volgende vernieuwingsronde zitten.
Alles is meegenomen tegenwoordig

[VisionMaster]

dat is nog geen reden om dit systeem te willen lijkt mij. Je kan prima naar een nieuwere machine migreren of dit nu met deze nieuwe Windows+Unix-features is of dat dit nu naar een nieuwe linux box doet... het is maar net welke features jij wilt gebruiken.

[Verwijderd]

Ow, en als er ssh in zou komen mag een X11-implementatie ook wel

Al 's naar Cygwin gekeken?
Vreselijk uitgebreide library van tools, utils, etc. geport van *nix naar Windows, waaronder X11. Werkt fantastisch, en ik zou 't niet meer kunnen missen.

Ik heb de bin-directory van Cygwin zelfs in m'n Windows path staan, zodat ik altijd commando's als df, ls, awk, sed, grep, etc. bij de hand heb. cmd.exe zou zich bijna bash gaan voelen! (bijna...)

[franssie]

bijna maar wel lekker makkelijk
altijd vervelend als je een rare response op ls krijgt in een NT omgeving

[blorf]

Daar hoef je niet het hele cygwin voor de downen:

cd \windows
copy con ls.bat
@dir %1 %2
^Z

[Verwijderd]

Services for Unix is al betrekkelijk oud dus hier is niet echt veel nieuws onder de zon. Misschien werkt het nu "beter" maar nieuw is het niet. Ook bestaan er al jarenlang X11 implementaties voor Windows. Niet van Microsoft maar er zijn zat goede (en minder goede implementaties)

[Terracotta]

mmm, raar, 't is precies altijd unix die windows maar moet kunnen begrijpen , wanneer gaat windows unix begrijpen? Nu ja :-), schone geste dat ze erbij willen helpen.

[Anton]

Ja, laat ze het dan wel gelijk goed doen. De NFS client van SFU 3.5 heb ik nog nooit goed aan de praat gekregen: als je zegt om met een bepaald account in de loggen op de unix server, doet ie het stiekum toch als anonymous

SFU 3.5 is trouwens al behoorlijk oud en nooit echt goed geintegreerd in Windows, het is ook weer een product wat ze opgekocht hebben... tijd voor een update met (hopelijk) een betere nfs client zou ik zeggen.

[Verwijderd]

Die NFS client doet het hier thuis prima, naar een SuSE database en file server, en naar een Mandriva web- en knutsel server. En zelfs naar NFS server op m'n andere XP-machine!

[alt-92]

Oh?

Bij mij niet, dan heb je denk ik toch je usermapping niet helemaal fris lopen.

[Tha_Butcha]

mm, moet je hier nou extra voor dokken of niet (omdat dezelfde licentie geldig is)

verder, hulde natuurlijk. heb ik sowieso altijd al van gebaald, voor gegevens overdracht tussen *nix en win* was je altijd aangewezen op SMB/CIFS of WebDAV (FTP is geen optie voor grote bestanden), dus (native) NFS is een welkome aanvulling.

En uiteraard ook NIS servercomponenten, zouden deze dan moeten synchronizen met AD? En what about security, AFAIK is NIS niet encrypted, NIS+ daarentegen wel.

toevoeging:

Op zich zou een mooie standaard meegeleverde SSH-server MS niet misstaan (compatible met de standaard natuurlijk)

Telnet gebruik je sowieso niet, ook niet in een trusted netwerk, ik iig niet. En een SSH-server zou natuurlijk helemaal super zijn, alhoewel de commandline in win2k3 lang niet zo krachtig is als die van *nix; en compatible met standaaden, dat weet ik zo net nog niet... (NOFI, just expericience)

[VisionMaster]

De implementatie van een MS-SSH-server zou toch minstens mijn oude versie van Putty instaat moeten stellen om te kunnen connecten.
Beetje basic... ik ben het met je commandline kracht eens, maar ja... misschien kan je straks in Windows ook je shell veranderen naar bash

[im_ik]

Dat kan al jaren zie bv een van de 1st hits in google:
http://home.wanadoo.nl/fvu/Projects/Bash/Web/bash.htm

Daarnaast heb ik ooit ook gewoon met ssh naar een bak
kunnen ssh'en via http://www.cygwin.com/
Waarbij je ook X11 support krijgt en bijna alle andere OSS programmas kan draaien.

[VisionMaster]

Ik gebruik ook cygwin (al werkt het niet voor mij handig...). Maar het zou handig zijn als je de functionaliteit out-of-the-box met MS support zou kunnen krijgen.

In een productie omgeving wil ik niet alles bij elkaar hacken en zeggen dat het nu werkt

[Olaf van der Spek]

een Telnet-server en -client

Geeft dat de huidige stand van beveiliging voor MS aan?

[Erkens]

Op een trusted netwerk is telnet prima veilig te gebruiken hoor, daarnaast gaat het hier om standaard services waar telnet gewoon deel van moet maken, desgewenst kan je zelf een SSH server naar keuze installeren, net zoals je dat ook kan met UNIX en Linux.

[VisionMaster]

*kuch* trusted network ... dat is zo misleidend.
Als security nerd zie ik ieder netwerk dat aangeraakt wordt door computers met meer connectiviteit dan dat trusted netwerk segement, als onbetrouwbaar.

Gebruik SSH en je ben een heel stuk safer en zonder gedoe met de keys heb je dezelfde eenvoudige functionaliteit als telnet over een versleutelde lijn.

Check this: http://www.huitema.net/talks/ietf63-security.ppt

[VisionMaster]

@franssie:
op mijn werk is sinds een tijd:
-pop service opgeheven
-imap service vervangen door imaps
-smtp service alleen bereikbaar van binnen het instituut (ssh tunnel naar de smtp server om je mail te versturen).
-1 machine waar naar je nog maar ssh kan inloggen, in plaats van dat iedere pc met linux direct connectable was (verleden tijd dus - al hoewel je nog wel mijn workstation kan pingen: aurora.nikhef.nl - probeer maar ... bandbreedte in overvloed (no, really ... overvloed...)).

En nog een hoop andere dingen... waardoor alle interessante traffic wordt tegengehouden en onderzocht.

Want SSH is nog wel gevoelig voor dictionary attacks als je er verder niets aan doet voor je publieke connecties. Een belangrijke server voor Grid computing die ik beheer is dus van 3 ip-adressen en 4 subnets te bereiken (iptables) om de 'wilde' SSH attacks tegen te houden.

[BoekaBart]

@franssie en algemeen
Kan iemand dit ontkrachten indien niet waar:
Ik dacht dat op een LAN met een goede switch, dat de packets die van mij naar m'n server gaan (tijdens de telnet sessie in dit geval) helemaal niet via een andere utp inpluglocatie te besnuffelen zijn? Dus, zolang niemand tussen die kabel kan gaan hangen (en daar mag je binnen je gebouw toch wel vanuit gaan, dat er niemand in je switch/serverhok komt die daar niks te zoeken heeft) is toch een unencrypted iets ook veilig?
Ik heb eens geprobeerd hier op het LAN andermans POP te besnuffelen om mijn admin te laten zien dat unencrypted pop geen goed idee was, maar ik vond niks.

[franssie]

exact! trusted ... wat is trusted? alsof er niemand even een utp kabeltje kan inpluggen ergens
de overhead van ssh is dermate laag dat je je moet afvragen waarom je nog telnet en ftp moet toestaan (NT5 en OSX netwerk hier werken er goed mee alleen de films gaan wat trager haha)

[daft_dutch]

daarbij zit gz compressie standaard bij ssh
dus overhead is ook maar een optie

[ejay79]

Ja ja. Bij elke SSH upgrade heb je weer last van keys en automatische scripts die niet op 'yes' kunnen klikken of anticiperen. Telnet i.c.m. tacacs+ of radius is ook veilig, daarnaast controle op het source-adres, wat wil je nog meer?

[Treenaks]

Last van keys?

Ik zou al sinds Debian Potato dezelfde ssh keys kunnen hebben (als ik ze niet 1x per jaar zou verwisselen).

En dan nog, je hebt alleen een server key nodig (een key voor authenticatie is optioneel, een password werkt ook gewoon). Servers houd je graag zo veilig mogelijk, toch?

[Hodgesaargh]

@BoekaBart
Ga je als kraker vanaf een netwerk poortje een stukje verderop op het netwerk zitten prutsen. Een gateway of een router ofzo. Dan zien je alsnog alles langs komen.

Je verhaal klopt wel, je denkt alleen niet ver genoeg

[Olaf van der Spek]

en daar mag je binnen je gebouw toch wel vanuit gaan

Nee. Het is niet nodig daar van uit te gaan, dus mag je het (eigenlijk) ook niet doen.
Verder zijn er aanvallen mogelijk op de switch en het netwerk (ARP en DNS spoofing geloof ik) waardoor je ook niet meer op switching kunt vertrouwen.

[Verwijderd]

@Ejay79

echt waar? Da's raar, dat heb ik met mijn slackware bakkie nu nooit. En dat ding wordt toch van tijd tot tijd geupgrade. installeer nieuwe service, stop-start, klaar.

-R-

[CAPSLOCK2000]

Kan iemand dit ontkrachten indien niet waar:
Ik dacht dat op een LAN met een goede switch, dat de packets die van mij naar m'n server gaan (tijdens de telnet sessie in dit geval) helemaal niet via een andere utp inpluglocatie te besnuffelen zijn?

Het kan in veel gevallen wel degelijk. Het is wat ingewikkelder, maar met wat goede wil lukt het vaak toch wel. Hier is een eenvoudig voorbeeld:
http://www.infosecwriters.com/text_resources/pdf/arp_spoofing.pdf

Verder zou ik er niet te zeker van zijn dat niemand bij je kabels kan komen. Met een beetje bluf kom je in veel bedrijven toch wel bij de apparatuur.

Goede beveiliging doe je in lagen. De foute manier is denken dat je buitenkant zo hard is dat je de binnenkant niet hoeft te beveiligingen. Als iemand dan een gat in je buitenkant kan vinden, ligt binnen alles bloot.
SSH is dan toch weer een extra laag. SSH alleen is ook niet genoeg, maar alle beetjes helpen.

[JannoS]

Er zijn inderdaad redelijk wat mogelijkheden om op laag 2 verkeer naar je toe te halen als hacker. Maar de moderne switches beginnen zich ook steeds meer te wapenen hiertegen, alleen niet alle switchbeheerders hebben de benodigde kennis om deze features te activeren. In mijn werk zie ik veel dacom omgevingen van verschillende klanten en ik schat in dat je in 8 van de 10 lans op dit moment zonder moeite man in the middle kan spelen en alle clear-text wachtwoorden kan afvangen. Er zijn al aardig wat tools die je hier bij helpen.

[Olaf van der Spek]

Op een trusted netwerk is telnet prima veilig te gebruiken hoor

localhost bedoel je? Ja, maar dat is niet zo interessant.
Wireless networks zijn nauwelijks te vertrouwen en wired networks zou ik ook niet (onnodig) vertrouwen.

daarnaast gaat het hier om standaard services waar telnet gewoon deel van moet maken

Waarom? Telnet gebruik ik eigenlijk alleen nog maar om dingen als HTTP te debuggen, verder moet je gewoon SSH gebruiken.

[Verwijderd]

wireless is natuurlijk prima te gebruiken mits je WPA gebruikt Dat is ook nog niet gekraakt Een andere optie, die wij hier gebruiken is wireless clients enkel via een VPN op het netwerk te laten inloggen. In beide gevallen is telnet natuurlijk prima te gebruiken. Wired netwerken zijn natuurlijk ook niet echt onveilig. Allereerst moet iemand eventjes een kabel kunnen insteken, ten tweede moeten je firewall en IDS de client en het verkeer ook maar even goedkeuren.

In ons bedrijf mag (en kan) een onbekende client helemaal niets. Probleem is wel dat de herkenning op basis van het mac adres gaat wat te spoofen valt, dus 100% waterdicht is het niet. Je moet echter wel redelijk wat kennis van het netwerk hebben om hier een computer op het fysieke netwerk te krijgen.
Als mensen je WPA key of de toegestane MAC adressen weten zit je al met een ander beveiligingsprobleem. Die mensen kunnen dan vast ook wel aan je SSH keys komen......

De enige manier om een netwerk volledig te beveiligen is het doorknippen van de netwerkkabels. In elk ander geval loop je een risico. De vraag is hoe ernstig het risico is. Telnet naar een onbekende remote server is not done (net zoals FTPen en wie upload hier geen websites via FTP? ). Telnet naar een bekende server binnen het eigen netwerk hoeft geen enkel probleem te zijn.

Alles is zo onveilig als je het zelf maakt. Ook SSH. De stelling: Ik gebruik SSH dus ik ben goed bezig gaat in heel veel gevallen absoluut niet op.

[Verwijderd]

Sorry maar een trusted netwerk kan toch heel erg safe zijn. Met tussen ieder vlan goede ACL / Firewalls. Internet alleen via proxy servers. Port security op de switches. WLAN verkeer helemaal niet toelaten alleen via een VPN server.

Daarbij is SSH natuurlijk wel een extra beveiliging en kan geen kwaad.

[VisionMaster]

Den Spijker Op Den Kopf!

Op zich zou een mooie standaard meegeleverde SSH-server MS niet misstaan (compatible met de standaard natuurlijk)

[Verwijderd]

(Microsoft != Beveliging) == True

[raptorix]

Beveiliging = Limitiatie = Minder Consumentvriendelijk

[Olaf van der Spek]

Nee, al die trojans op Windows XP systemen, dat is pas klantvriendelijkheid.

[Verwijderd]

(ook als reactie op hierboven)

Zou er ook SSH support inkomen??

[Verwijderd]

Ik heb 'm nu even niet bij de hand (oftewel, ik ben te lui om te zoeken), maar volgens mij zit in MS Services for Unix op z'n minst een SSH client, en ik dacht ook een SSH server. Ik weet 't echter niet zeker meer, want de laatste keer dat ik die CD heb gebruikt, is ruim een jaar geleden...

En toen heb ik er eigenlijk ook alleen maar de NFS client en server afgeplukt, omdat die m.i. beter werken dan de combinatie van XP's SMB en Linux' Samba. In ruwe doorvoer is 't misschien wat trager, maar 'babbelt' een stuk sneller.

Overigens is Services for Unix gewoon vrij te downloaden via de link in de nieuwspost, dus ga 's kijken!

[alt-92]

Geen SSH.

[siepeltjuh]

SSH mogen ze toch niet gebruiken omdat die een te sterk encryptie ding gebruikt.
In de US mag het encrypted zijn, maar dan wel zo dat het slap genoeg is om door het pentagon gedecrypt te worden.

[Verwijderd]

Ach ja, telnet. Het zal wel weer nostagie zijn ofzo...

[dB90]

Volgens mij wordt dit vooral gezegd om vertrouwen te winnen bij (grote) klanten...maar of die "cross-platformfunctionaliteit" ook ECHT beschikbaar zal komen...? Ik weet het niet..

Edit: typo's

[VisionMaster]

Een drive kunnen mounten (netwerkverbinding maken...) dat een NFS mount dus moet zijn, lijkt me niet TE moeilijk, maar ja, wie ben ik ...

[alt-92]

Dat kan dus ook gewoon

* 786562 BackSlash32Op m'n XP workstation werkt de NFS client prima, inclusief usermapping (even /etc/groups enzo lokaal mirroren als je alleen workgroups gebruikt, anders kan je SFU ook op je Windows DC zetten.).
Drivemapping wordt ook ondersteund.

En telnet, tja.. uh.
Het is Services For Unix.
En de Unix dozen die nu nog gebruikt worden bij sommige bedrijven doen niet eens aan SSH.
(SCO-Unix server bij klant bijvoorbeeld).

[VisionMaster]

Dan heb je een vrij oude unix doos, sinds red hat 6.2 is ssh standaard geinstalleerd en de daemon simpeltjes aan te rammen. (en rode hoed 6 en een beetje is erg oud!).

afaik is vanaf RH9 telnet niet eens meer via een vinkje in de installatie procedure zomaar te openen in de firewall, maar is dat ssh...

* 786562 VisionMaster

[alt-92]

Klopt, het is ouwe shit
Digital Unix doos ook nog ergens, uit 1997
Maar wel ouwe shit waar de hele administratie vanaf 1997 op staat en niemand die dat ding nog wil supporten. (officieel dan).

[VisionMaster]

omg ... "these are the facts on avarage day life..."

Tja ... ik zeg disk-crash? Staan je haren nu al overeind met kippevel?

[Guru Evi]

SUA, is dat dan een soort van ingebouwde Linux/Unix emulator/vm onder Windows (zoiets als Cygwin)