|
|
楼主 |
发表于 2004-10-27 15:35:26
|
显示全部楼层
Linux-PAM系统管理指南(2)
摘要
在以下的内容中我们将讨论如何安全使用Linux-PAM并介绍Linux-PAM模块的用法。(2002-07-09 13:08:15)
By 书生, 出处：Morgan, Andrew G.
5.Linux-PAM的安全问题
这一章我们将讨论如何安全使用Linux-PAM。
5.1 如果出现错误
如果发生错误，Linux-PAM可能会改变系统的安全性。这取决于你自己的选择，你可以选择不安全(开放系统)和绝对安全(拒绝任何访问)。通常，Linux-PAM在发生错误时，倾向于后者。任何的配置错误都可能导致系统整个或者部分无法访问。
能够遇到最大的问题可能就是Linux-PAM的配置文件(/etc/pam.d/*或者/etc/pam.conf)被删除了。如果发生这种事情，你的系统就会被锁住。
不过，还是有办法进行恢复的。最好的方法就是重新启动系统进入单用户模式，然后进行正确地设置。下面是David Wood在邮件中提出的解决步骤：
1. 首先，以单用户模式启动系统，出现LILO boot:时输入：
LILO boot:linux single >——此处假设使用的内核标签是linux，可以按TAB键列出可用的内核
这样你不用登录就可以进入系统了。
如果这个办法不行，你还可以使用急救盘启动系统。
2. 假设你的PAM系统只是配置文件被破坏，先按照如下步骤进行处理：
cd /etc
mv pam.conf pam.conf.orig
mv pam.d pam.d.orig
mkdir pam.d
cd pam.d
接着，使用编辑程序编辑/etc/pam.d/other文件，它应该包括以下四行：
auth required pam_unix_auth.so
account required pam_unix_acct.so
password required pam_unix_passwd.so
session required pam_unix_session.so
然后，你就可以登录了。如果还是不行，那有可能是因为输入错误或者更严重的问题。如果是输入错误，会在日志文件中留下记录，可以使用tail /var/log/messages查看。
3. 现在，你已经重新登录到系统了。下面的工作就是重新安装Linux-PAM和其它软件(假设是RedHat系统),使用如下命令重新安装PAM软件包：
rpm -Uvh --force pam-*
然后，需要安装(重新安装)libc库、util-linux、wuftp、NetKit等受影响的软件包。如果使用X系统，也需要重新安装。
5.2 不要使用脆弱的other文件
如果系统默认配置文件other的配置比较脆弱，系统很可能受到攻击的威胁。
这是一个示例配置，pam_deny模块将拒绝所有的访问，而pam_warn模块将向auth.notice日志设备发送一条警告信息：
# The PAM configuration file for the `other' service
#
auth required pam_deny.so
auth required pam_warn.so
account required pam_deny.so
account required pam_warn.so
password required pam_deny.so
password required pam_warn.so
session required pam_deny.so
session required pam_warn.so
6.模块使用参考
这一章我们将一块介绍Linux-PAM模块的用法
6.1 access模块
6.1.1 概要
* 模块名
pam_access
* 作者
Alexei Nogin
* 维护者
作者
* 提供的管理组功能
account
* 系统依赖性
需要一个配置文件。默认情况下，使用/etc/security/access.conf作为配置文件，也可以指定别的文件。
* 网络支持
通过PAM_TTY变量获得终端名，如果这个变量没有设置，就通过ttyname()函数获得标准输入文件描述符的终端名。还可以使用 gethostname(),yp_get_default_domain(), gethostbyname()函数获得主机名、域名等信息，作为每个配置行的第三项。
6.1.2 综述
提供一种日志监控风格的登录访问控制机制
6.1.3 account组件
* 能够识别的参数
accessfile=/path/to/file.conf
* 描述
这个模块提供一种日志监控风格的登录访问控制机制，这种机制是基于登录名、主机名、域名、internet地址、网络地址或者终端名的。A. Nogin把logdaemon-5.6(作者：Wietse Venema's)中的login_access.c文件做了许多改动，用到了这个模块中。
这个模块的行为可以使用如下参数进行修正：
accessfile=/path/to/file.conf 使用别的配置文件代替默认的配置文件/etc/security/access.conf。
* 示例和建议
例如：在一个NIS服务器或者一个邮件服务器上，有很多用户，但是你不想让这些用户具有登录(login)能力。这时，建议你使用这个模块。
如果你的模块放在/lib/security目录，而且使用/etc/pam.d/风格的配置，可以在/etc/pam.d/login、 /etc/pam.d/rlogin、/etc/pam.d/rsh和/etc/pam.d/ftp文件中加入下面一行，来启动这个模块：
account required /lib/security/pam_access.so
注意：除非你的系统可以忽略.rhosts文件的作用，否则这个模块无法发挥作用。其中细节请参考对pam_rhost_auth模块的介绍。
此外，在软件的发布中有一个示例access.conf配置文件。
6.2 chroot模块
6.2.1 概要
* 模块名
pam_chrooot
* 作者
Bruce Campbell
* 维护者
作者
* 提供的管理组功能
account、session、authentication
* 网络支持
本地主机
6.2.2 综述
这个模块为普通用户提供一个假的文件系统，例如：在他们看来的/目录实际上是/some/where/else。
如果系统中有几类用户，而你对安全问题又十分重视，就可以使用这个模块。它可以对用户能够看到的系统信息和能够运行的程序进行限制。
6.2.3 account组件
原著尚未完成
6.2.4 session组件
同上
* 能够识别的参数
可以使用PAM的通用参数和日志级别作为其参数。
* 示例和建议
提供合理的程序，例如只提供cat、ls、rm、cp和ed等。
不要滥用这个模块，例如：你可以为每个用户安装一个隔离的环境，但是这样非常浪费磁盘空间。
6.3 密码强度检查模块
6.3.1 概要
* 模块名
pam_cracklib
* 作者
Cristian Gafton
* 维护者
作者
* 提供的管理组功能
password
* 系统依赖性
需要libcrack库和字典/usr/lib/cracklib.dict。
6.3.2 综述
这个模块可以插入到实现password管理组功能的层叠模块中，为给定的程序提供密码强度检查。
这个模块以如下方式工作：首先调用cracklib例程检查密码强度，如果密码不易破译，就进行下面的强度检查：
* 新密码是否旧密码的回文。
* 新密码是否只是就密码改变了大小写
* 和旧密码是否相似。主要由difok参数控制，如果新旧密码之间不同的字符数目大于或等于这个参数就接受新的密码，这个参数的默认值是10或者新密码的1/2。为了避免对一个很长、很复杂的密码进行查询，还可以使用difignore参数。这个参数可以指定一个值，如果新的密码长度超过这个值，就不必进行这种检查，默认值是23。
* 是否新密码太短。由5个参数控制：minlen、dcredit、ucredit、lcredit和ocredit。在此就不一一介绍了。
* 新密码是否是旧密码的回环
* 这个密码以前是否用过。过去用过的密码可以在/etc/security/opasswd文件中找到。
对于标准的UNIX密码加密算法，即使没有参数，这个模块也会工作得很好。但是，对于MD5加密算法，密码可以超过8个字符，使用默认的设置将使用户很难找到满意的密码。MD5算法的默认设置要求新密码中和旧密码相同的字符不能超过1/2，而且是强制的。例如：旧的密码是"the quick brown fox jumped over the lazy dog"，那这个密码是很难被替换的 。除此之外，MD5算法的默认设置还允许密码长度小于5个字符。因此，对于MD5系统需要对配置做一些调整，提高字符数的底限，减小对不同字符的比例限制。
6.3.3 password组件
* 能够识别的参数
debug、type=XXX、retry=N、difok=N、minlen=N、dcredit=N、ucredit=N、lcredit=N、ocredit=N、use_authtok
* 描述
这个模块提示用户输入一个密码，然后根据一个系统字典和一组规则检查它的强度。
默认情况下，它首先提示用户输入一个密码，如果认为强度足够，就提示用户重新输入一遍，以保证密码输入正确。完成这些动作后，就把这个密码产地给subsequent模块，由subsequent模块安装新的验证记号(也就是密码)。
这个模块的动作可以通过一些参数改变：
o debug
把模块详细的行为信息写到syslog，但不包括密码信息。
o type=xxx
修改提示信息。默认的提示信息是："New UNIX password:"和"Retype UNIX password"。设置这个选项可以使xxx代替UNIX。
o retry=N
改变输入密码的次数，默认值是1。就是说，如果用户输入的密码强度不够就退出。可以使用这个选项设置输入的次数，以免一切都从头再来。
o difok=N
默认值为10。这个参数设置允许的新、旧密码相同字符的个数。不过，如果新密码中1/2的字符和旧密码不同，则新密码被接受。
o minlen=N
密码字符个数下限加一。除了限制新密码字符的个数之外，还有一些参数可以限制每种字符(other、upper、lower和digit)的个数。minlen的默认值是9，这个值对于旧风格的UNIX密码是非常合适的，但是对于MD5系统却并不是很安全。
o ucredit=N
限制新密码中最多有多少个大写字符。
o lcredit=N
限制新密码中最多有多少个小写字符。
o ocredit=N
限制新密码中最多有多少个其它的字符。
o use_authok
不让模块执行提示用户输入密码的动作，使用前面层叠的password模块提供的密码。
* 示例和建议
下面我们举一个例子，看一下这个模块是如何与pam_pwdb的password组件实现层叠的：
# These lines stack two password type modules. In this example the
# user is given 3 opportunities to enter a strong password. The
# "use_authtok" argument ensures that the pam_pwdb module does not
# prompt for a password, but instead uses the one provided by
# pam_cracklib.
#
passwd password required pam_cracklib.so retry=3
passwd password required pam_pwdb.so use_authtok
下面是一个使用MD5加密算法的例子：
#
# These lines allow a md5 systems to support passwords of at least 14
# bytes with extra credit of 2 for digits and 2 for others the new
# password must have at least three bytes that are not present in the
# old password
#
password required pam_cracklib.so
difok=3 minlen=15 dcredit= 2 ocredit=2
password required pam_pwdb.so use_authtok nullok md5
6.4 拒绝模块
6.4.1 概要
* 模块名
pam_deny
* 作者
Andrew G. Morgan
* 维护者
当前Linux-PAM的维护者。
* 提供的管理组功能
account、authentication、password、session
* clean code base
clean
6.4.2 综述
这个模块能够用来拒绝任何访问。它是向应用程序反馈验证失败的信息。这个模块比较适合于other文件。
6.4.3 帐户组件
* 描述
这个组件只是返回一个失败信息。失败的类型是PAM_ACCT_EXPIRED。
* 示例和建议
应用程序是通过引用Linux-PAM的帐户管理函数pam_acct_mgmt()，让用户获得系统的访问权。但是，如果把这个模块和account类型的模块层叠，用户将不能通过应用程序获得系统访问权。
下面的配置行将使任何用户都无法登录：
# add this line to your other login entries to disable all accounts
#
login account required pam_deny.so
6.4.4 验证组件
* 描述
这个组件只是返回失败信息，错误类型取决于应用程序调用的函数。如果应用程序试图调用pam_authenticate()函数验证用户，则失败类型是PAM_AUTH_ERR；如果应用程序调用pam_setcred()函数，以建立和设置用户的验证凭证，则失败类型是 PAM_CRED_UNAVAIL。
* 示例和建议
如果想使应用程序拒绝为用户提供服务，可以在配置文件中加入以下配置行：
# add this line to your existing OTHER entries to prevent
# authentication succeeding with default applications.
#
OTHER auth required pam_deny.so
6.4.5 密码组件
* 描述
这个组件能够拒绝用户修改密码。如果收到修改密码的企图，它将返回PAM_AUTHOK_ERR类型的失败信息。
* 示例和建议
这个组件用于阻止应用程序改变用户的密码。例如，为了阻止login在旧密码失效时，自动提示用户输入新的密码，你可以在配置文件中加入以下配置行：
# add this line to your other login entries to prevent the login
# application from being able to change the user's password.
#
login password required pam_deny.so
6.4.6 会话组件
* 描述
deny模块的这个组件能够阻止应用程序在主机上启动会话过程。
* 示例和建议
这个模块能够阻止用户启动一个shell。如果和pam_motd模块层叠，我们可以在配置文件中加入以下配置行，告诉用户现在是系统维护时间：
# An example to see how to configure login to refuse the user a
# session (politely)
#
login session required pam_motd.so
file=/etc/system_time
login session required pam_deny.so
6.5 环境变量设置/取消模块
6.5.1 概要
* 模块名
pam_env
* 作者
Dave Kinchlea
* 维护者
作者
* 提供的管理组类型
authentication(setcred)
* 系统依赖性
/etc/security/pam_env.conf
6.5.2 综述
使用这个模块可以设置/取消环境变量的定义。
6.5.3 验证组件
* 能够识别的参数
debug、conffile=configuration-file-name、envfile=/env-file-name、readenv=/0|1
* 描述
你可以使用固定的字符串通过这个模块设置变量或者取消对环境变量的设置。设置的环境变量值和PAM_ITEM是与或者或的关系。
这些由一个配置文件控制，默认情况下，配置文件是/etc/security/pam_env.conf。不过，可以通过connfile文件指定其它的配置文件。配置文件的每个配置行都是以环境变量名开头，接着是两个选项：DEFAULT、OVERRIDE。DEFAULT表示：把这个变量设置为默认值，如果不存在就把它的值设置为一个空字符串。OVERRIDE表示：使用新的值得覆盖默认值。如果OVERRIDE之后，没有定义变量值，就假定是空字符串，而且不会执行覆盖动作。
VARIABLE [DEFAULT=[value]] [OVERRIDE=[value]]
环境变量可以以$(string)的语法使用，而PAM_ITEM可以通过@(string)的语法使用。如果string中含有$、@字符，需要在前面加上反斜杠作为转义符，例如：$。当需要空格时，可以使用引号，但是空格不能环境变量的名字中出现。环境变量的值必须以引号分割。
这个模块也能够以KEY=VAL对的方式解析文件，每个KEY=VAL对占一行，默认文件是/etc/environment。你可以使用envfile选项改变需要解析的文件，使用readenv选项打开/关闭解析的文件。
这个模块的行为可以修改以下参数来设置：
o debug
向syslog写入更多信息。
o confile=filename
默认配置文件是/ec/security/pam_env.conf。这个选项指定的文件可以覆盖默认文件。不过，你必须使用完整的文件路径。
o envfile=filename
默认是/etc/environment，使用这个选项指定其它的文件。也需要使用完整的文件路径。
o readenv=0|1
打开(1)/关闭(0)从envfile中读取环境变量。默认情况下，这个选项为开(1)。
* 示例和建议
参考/etc/security/pam_env.conf文件。
6.6 过滤模块
6.6.1 概要
* 模块名
pam_filter
* 作者
Andrew G. Morgan
* 维护者
作者
* 提供的管理组功能
account、authentication、password、session
* Clean code base
This module compiles cleanly on Linux based systems.
* 系统依赖性
需要安装pam_filter程序。
6.6.2 综述
这个模块为应用程序提供了一个插入式的过滤器。由于为某个程序重新编写过滤代码实现过滤功能是不太现实的，简直是开玩笑。这个模块能够对输入流中的大小写字符进行替换，然后输出到输出流。
6.6.3 Account+Authentication+Password+Session组件
* 能够识别的参数
debug、new_term、non_term、runX
* 描述
这个模块的所有组件都可能会执行所需要的过滤程序。过滤程序是以调用的程序的权限运行的，而不是以用户的权限运行。因此，普通用户只能关闭他们的会话过程才能杀死过滤进程。
pam_filter模块的行为可以由Linux-PAM配置文件传递的参数改变：
o debug
模块运行时，syslog记录更多的信息。
o new_term
作为一种默认的行为，过滤器会设置PAM_TTY选项，指示用户与应用程序进行联系的终端。这个参数表示过滤程序应该把PAM_TTY设置为被过滤的伪终端。
o no_term
不必设置PAM_TTY选项。
o runX
为了使这个模块能够执行一个过滤程序，应该让它知道何时执行。可以使用这个参数实现上述目的。这个参数紧跟过滤程序的路径名以及其命令行参数。
X的值可以是1和2。它表示过滤程序运行的确切时间。对于每种管理组功能，它会牵扯到不同的函数调用。
在authentication和session组件中，分别牵扯到两个函数。对于authentication管理组，这两个函数是 _authenticate和_setcred。run1表示从_authenticate函数运行过滤程序；run2表示从_setcred函数运行过滤程序。对于session管理组，run1表示过滤程序从_open_session函数运行；run2是从_close_session函数运行。
对于account组件，run1和run2是一样的。
对于password管理组组件，run1表示过滤程序在_chauthtok函数首次运行时(PAM_PRELIM_CHECK阶段)执行；而run2表示过滤程序是在_chauthtok第二次运行时(PAM_UPDATE_AUTHOK阶段)执行。
* 示例和建议
你可以在login的配置文件(/etc/pam.d/login)中加入下面入口，实际尝试一下这个模块的应用：
# An example to see how to configure login to transpose upper and
# lower case letters once the user has logged in(!)
#
login session required pam_filter.so
run1 /usr/sbin/pam_filter/upperLOWER
6.7 匿名访问模块
6.7.1 概要
* 模块名
pam_ftp
* 作者
Andrew G. Morgan
* 维护者
作者
* 提供的管理组功能
authentication
* 网络支持
提示用户输入email地址
6.7.2 综述
这个模块的用途是提供一种插入式的匿名FTP访问模式。
6.7.3 authentication组件
* 能够识别的参数
debug、users=xxx,yyy,....、ignore
* 描述
这个模块解释用户名和密码，如果用户名是ftp或者anonymous，而用户的密码是以@分割的，它就会把@前后两部分分别设置为 PAM_RUSER和PAM_RHOST选项的值。用户名被设置为ftp。模块验证成功。在其它情况下，这个模块就会通过PAM_AUTHTOK选项返回需要输入密码和验证失败的信息。
这个模块的行为可以使用如下参数修改：
o debug
向syslog输出调试信息
o users=xxx,yyy,....
使用等号之后给出的用户名代替ftp或者anonymous，作为匿名FTP的用户名。
o ignore
不理会用户没有email地址。
* 示例和建议
在第四章中，有一个使用匿名FTP模块的例子。
6.8 组访问模块
6.8.1 概要
* 模块名
pam_group
* 作者
Andrew G. Morgan
* 维护者
作者
* 提供的管理组功能
suthentication
* 系统依赖性
需要/etc/security/group.conf文件。可以与libpwdb连接。
* 网络支持
只能通过正确设置PAM_TTY选项。
6.8.2 综述
这个模块根据用户名和发起服务请求的终端，提供组分类功能。
6.8.3 authentication组件
* 描述
这个模块不对用户进行验证，而是为用户赋予组成员关系。这种组成员关系是根据用户请求的服务划分的，在/etc/security/group.conf文件中以文本的方式设置。
* 示例和建议
想要这个模块正常工作，需要准确设置/etc/security/group.conf文件。其格式如下：
services; ttys; users; times; groups
前四项和pam_time配置文件:/etc/security/pam_time.conf或者time.conf中的相同。groups是一些以逗号或者空格分开的文本字符串，表示一些组名。如果用户的应用程序满足前四项，则用户就被加入到第五项定义的组中。
这个模块能否起作用取决于用户对文件系统的访问权限。这一点是指，一旦用户成为一个组的成员，这个用户就可能利用获得的权限试图建立一个 setgid程序。而以后，如果这个用户不再属于这个组，他就可以通过这个程序非法回到这个组中。由于这个原因，用户具有写权限的文件系统需要非常严格的限制，如果文件系统在mount时，被设置为nosuid，那用户就无法建立和执行这样的程序。因此，使用这个模块时，用户具有写权限的所有文件系统都需要使用nosuid参数mount。
pam_group的作用和/etc/group文件是并行的，如果用户被加入的这个模块定义的任何组中，同时也被加入到/etc/group文件中；反之亦然。
6.9 issue模块
6.9.1 概要
* 模块名
pam_issue
* 作者
Ben Collins
* 维护者
作者
* 提供的管理组功能
authentication(pam_sm_authenticate)
6.9.2 综述
这个模块能够在提示信息中，加入一个文件的内容。
6.9.3 authentication组件
* 能够识别的参数
issue=issue-file-name、noesc
* 描述
你可以使用这个模块在用户提示信息中加入一个issue文件的内容。这个模块还可以解析issue文件中的转义词，例如：x。
有效的转义码如下：
o d: 当前的日期
o s: 操作系统名
o l: 这个终端名
o m: 系统的体系(i686、spacr、pwerpc、....)
o n: 系统主机名
o o: 系统域名
o r: 操作系统版本号
o t: 当前时间
o u: 当前登录的用户数
o U: 和u相同，只有后缀有所不同：u的后缀是user；U的后缀是users。
o v: 操作系统的版本/建立日期
这个模块的行为可以通过一下参数修改：
o issue: 指定使用的文件
o noesc: 关闭对转义词的解析
* 示例和建议
login auth pam_issue.so issue=/etc/issue |
|
IP卡
狗仔卡
发表于 2004-10-27 09:59:15
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
OCAL