Non sempre la gestione della sicurezza è all'altezza dell'importanza e della criticità di uno strumento. Questo è senz'altro il caso di Visual SOurce Safe...

La sicurezza di Microsoft Visual Source Safe 6.0
di Lorenzo Braidi

Probabilmente uno strumento dell’importanza di Microsoft Visual Source Safe meritava una gestione della sicurezza più efficace.
Come tutti sappiamo, lo strumento in questione prevede la creazione di un utente Admin che viene inserito all’atto dell’installazione con password vuota e che possiede tutti i diritti di amministrazione del sistema di controllo delle versioni di casa Microsoft. Con questo utente è possibile senza alcun problema resettare la password degli utenti distratti che la dimenticano o che la perdono, ma fin qui niente di strano…
Cosa succederebbe, però, se l’amministratore, dopo aver diligentemente assegnato una password all’utente Admin, la dimenticasse?
Verrebbe spontaneo dire “Affari suoi! Se un amministratore non è in grado di ricordare la propria password…”
Niente paura, se questo avvenisse, esiste un modo per riprendere il controllo della situazione!
Il database dell’istanza di Source Safe risiede in una directory che solitamente si chiama VSSDatabase in cui sono presenti numerosi file e directory. All’interno della subdirectory Data è presente un file chiamato “um.dat” in cui il nome è acronimo di User management. Se si prova ad aprire questo file con un editor qualsiasi si nota che esso contiene informazioni non leggibili, ma anche che sono elencati al suo interno tutti gli user abilitati all’istanza.
Se si procede, allora, a sostituire questo file con un suo omologo proveniente da un’altra istanza della quale si conosce la password dell’amministratore, si ottiene nuovamente l’accesso alla gestione degli utenti con lo user Admin.
Se non esistesse un’altra istanza, è sufficiente installare su un qualsiasi personal computer un’istanza anche locale di Source Safe e prelevare il file da quel computer in cui l’utente avrà password vuota.
Una volta effettuata la sostituzione si deve procedere reinserendo con la normale interfaccia di amministrazione tutti gli utenti aventi abilitazioni di accesso al sistema. L’unico inconveniente che si registra è che tutte le password vengono inizializzate e si perde nota di quelle passate. Allo stesso modo vengono perse anche tutte le impostazioni dei singoli utenti (Working folder, ecc.), ma – cosa ben più importante – tutti i sorgenti sono salvi!