<html><head></head><body style="word-wrap: break-word; -webkit-nbsp-mode: space; -webkit-line-break: after-white-space; color: rgb(0, 0, 0); font-size: 14px; font-family: Calibri, sans-serif; "><div><div><div>For whatever it is worth (not much). I have been using zenity to do my login banner&nbsp;for GDM on my RHEL6 build.. For example; &nbsp;<a href="http://slashsarc.com/2011/07/rhel-6-login-banners">http://slashsarc.com/2011/07/rhel-6-login-banners</a>/ &nbsp;</div><div><br></div><div>I have also the short DoD notice (I have read &amp; consent&#8230;) in the GDM login window as the full banner is cramped and does not fit in certain resolutions.</div><div><div><div><span class="Apple-style-span" style="font-size: 12px; font-family: Helvetica, Verdana, Arial; "><br></span></div><div><span class="Apple-style-span" style="font-size: 12px; font-family: Helvetica, Verdana, Arial; ">Very Respectfully,</span></div><font size="1"><font face="Helvetica,Verdana,Arial"><span style="font-size: 9pt; "><font color="#0A12FF"><i>Brian Peake<br></i></font></span></font></font></div></div></div></div><span id="OLK_SRC_BODY_SECTION"><div style="font-family:Calibri; font-size:11pt; text-align:left; color:black; BORDER-BOTTOM: medium none; BORDER-LEFT: medium none; PADDING-BOTTOM: 0in; PADDING-LEFT: 0in; PADDING-RIGHT: 0in; BORDER-TOP: #b5c4df 1pt solid; BORDER-RIGHT: medium none; PADDING-TOP: 3pt"><span style="font-weight:bold">From: </span> Jeffrey Blank &lt;<a href="mailto:scapafterhours@gmail.com">scapafterhours@gmail.com</a>&gt;<br><span style="font-weight:bold">Reply-To: </span> &lt;<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a>&gt;<br><span style="font-weight:bold">Date: </span> Sun, 25 Nov 2012 19:19:02 -0500<br><span style="font-weight:bold">To: </span> &lt;<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a>&gt;<br><span style="font-weight:bold">Subject: </span> Re: Alternate way to to graphical login banner, with logging of acceptence<br></div><div><br></div>All this trouble to achieve a separate click for banner consent is such an absurd misprioritization of security resources, and it's painful to watch.&nbsp; Always remember that this sort of security/policy theatre competes with patching systems and reviewing logs.<br><br>Two points:<br>1)<br>I continue to await any evidence that login banners have ever been a decisive factor in any sort of legal proceeding.<br><br>2)<br>If a vendor's product cannot be trivially configured to ask for a separate click for banner acceptance out-of-the-box, then this should simply be documented and we should all move on.&nbsp; It can become an accepted "risk" (ha, ha) for use of the product.&nbsp; <br><br>This is a far smarter move than trying to add or maintain even more software. But this has been an excellent discussion, and highly illustrative with regard to how well-intended policies result in devotion of resources.<br><br><br><br><br><br><div class="gmail_quote">On Fri, Oct 26, 2012 at 6:50 AM, Robert Sanders <span dir="ltr">&lt;<a href="mailto:rsanders@trustedcs.com" target="_blank">rsanders@trustedcs.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
Pretty close. &nbsp;User sits down at console, sees authentication screen with short blat about needing to agree to the 'consent to monitor'. &nbsp;User authenticates, X starts up and the first thing they see *after* that is the full login banner (with either an acknowledgement button or a accept/deny - depending on guideline). &nbsp;User's selection is logged, and either proceeds with the remainder of the login or returns to the authentication screen depending on their choice.<br>

There is some changes at the front end on *how* the first message is displayed (what we call the pre-login banner), but the user is presented the 'official' login banner (IE - the DoD Banner) pretty early in the Session setup. &nbsp;Doing it this way they know they'll have to see the banner, they login, are presented with the banner, and have to agree to it before the login continues.<br><br>
-Rob<br><br>
________________________________________<br>
From: <a href="mailto:scap-security-guide-bounces@lists.fedorahosted.org">scap-security-guide-bounces@lists.fedorahosted.org</a> [<a href="mailto:scap-security-guide-bounces@lists.fedorahosted.org">scap-security-guide-bounces@lists.fedorahosted.org</a>] on behalf of Shawn Wells [<a href="mailto:shawn@redhat.com">shawn@redhat.com</a>]<br>

Sent: Thursday, October 25, 2012 9:33 PM<br>
To: <a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
Subject: Re: Alternate way to to graphical login banner, &nbsp; &nbsp; &nbsp; &nbsp;with logging of acceptence<br><div class="HOEnZb"><div class="h5"><br>
On 10/25/12 3:29 PM, Robert Sanders wrote:<br><br>
Greetings all,<br>
&nbsp; As I mentioned in the conference call, we have a slightly different way of doing the login banner that also gets the user's acknowledgement &nbsp;sent to /var/log/secure (or the equivalent). &nbsp;I should note that our tool helps with remediating a box against several different guidelines. &nbsp;Hence we tried to find as 'simple' a way to do this as possible, without large banners looking seriously cramped (IE - cram the full DoD login banner into the default authentication dialog on a small screen). &nbsp;We also tried to support both pure Gnome (GDM) and KDE (kdm). &nbsp;I'll handwave through the details (ping me if you'd like more info).<br><br>
&nbsp; Basically we add wording to the main login with text along the lines of:<br>
&nbsp; &nbsp; &nbsp; &nbsp; All users will be required to read and accept a 'Consent to Monitor' statement before being allowed to login.<br>
&nbsp; &nbsp; &nbsp; The response will be logged.<br><br>
&nbsp; This text fits nicely on most of the OS's we support, and is shown on every graphical login attempt on the main authentication display. &nbsp;Currently for GDM on Fedora/RHEL6 we make these changes to /apps/gdm/simple-greeter/*, most of the other Linux boxes we'll change the /etc/X11/gdm/gdm.conf or /etc/gdm/custom.conf file instead. &nbsp;For KDM it all goes to /usr/share/config/kdm/kdmrc.<br><br>
&nbsp; To display the actual required login banner we tweak the /etc/X11/gdm/PreSession/Default (Solaris), /etc/X11/xdm/Xsession (RH4), or /etc/X11/xinit/Xsession (everyone else) file to call a script that uses zenity or kdialog (use first one found) to display the text of the banner. &nbsp;Since we do support other guidelines that may just require notification, we have our dialog may just have an acknowledgement button or an explicit accept/deny button. &nbsp;The user's response is logged using the first of /usr/sbin/logger, /sbin/logger, /usr/bin/logger, or /bin/logger with authpriv.notice. &nbsp;Obviously if the user hits deny we fail out back to the authentication screen.<br><br>
&nbsp; Disadvantages : change to expected login procedure/alternate login mananger, extra script on login<br>
&nbsp; Advantages &nbsp; &nbsp;: acknowledgement tied that the login banner was accepted/read to a particular user, better framing of potentially large banner text<br><br><br>
I'm interested in the concept of logging the user acceptance, but I'm not sure I understand the process your users follow. &nbsp;From what I gather a user attempts to login via GUI, is presented with the standard DoD banner, then is presented with your custom prompt of which logs their response?<br><br><br></div></div><div class="HOEnZb"><div class="h5">_______________________________________________<br>
scap-security-guide mailing list<br><a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br><a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br></div></div></blockquote></div><br>
_______________________________________________
scap-security-guide mailing list
<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a>
</span></body></html>