linux系统安全及应用——PAM安全认证

Posted Mr.Mangood

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了linux系统安全及应用——PAM安全认证相关的知识,希望对你有一定的参考价值。

一、PAM认证模块介绍

  PAM认证模块,叫做可插拔式的认证模块。一项重要的功能就是为了加强su命令的使用控制,可以借助于PAM认证模块,只允许极个别用户使用su命令进行切换。PAM提供了对所有服务进行认证的中央机制,适用于login,远程登录(telnet,rlogin,fsh,ftp),su等应用程序中,系统管理员通过PAM配置文件来制定不同应用程序的不同认证策略。

  PAM认证首先要确定哪一项服务,然后加载相应的PAM的配置文件(位于/etc/pam.d下),最后调用认证文件(位于/lib/security下)进行安全认证。用户访问服务器的时候,服务器某一个服务程序把用户的请求发送到PAM模块进行认证,不用的应用程序对应的PAM模块也是不同的。

二、PAM认证用法

  如果想查看某个程序是否支持PAM认证,那么可以进行过滤,例如:

  ~] #ls /etc/pam.d | grep su(这里su是一个文件,一个配置文件,与服务同名,修改它就是对su进行认证配置)

  例如查看su的PAM配置文件:cat  /etc/pam.d/su  每一行都是一个独立的认证过程,每一行可以区分为三个字段:1)认证类型 2)控制类型 3)PAM模块及其参数。

下面简单的介绍四种常见认证类型

  (1)认证管理(authentication management)接受用户名和密码,进而对该用户的密码进行认证

  (2)账户管理(account management)检查账户是否被允许登录系统,账号是否已经过期,账号的登录是否有时间段的限制等

  (3)密码管理(password management)主要是用来修改用户的密码

  (4)会话管理(session management)主要是提供对会话的管理和记账(accounting)

那么控制类型也可以称做Control Flags,用于PAM验证类型的返回结果,具体有以下四种:

  (1)required验证失败时仍然继续验证,但返回Fail

  (2)requisite验证失败则立即结束整个验证过程,返回Fail

  (3)sufficient验证成功则立即返回,不再继续,否则忽略结果并继续

  (4)optional不用于验证,只是显示信息(通常用于session类型)

三、PAM验证流程

  

下面解读验证示例表格

  以use1举例,第一个required控制类型通过调用module1模块,进行验证通过后,进入sufficient控制类型,通过后,进入required控制类型,N/A代表不需要再执行了,结果就是验证成功。

  

四、案例分析

  例:控制用户使用su命令进行切换

  1)、启用/etc/pam.d/su中的pam_wheel模块

  pam_rootok:检查用户是否为超级用户,如果是超级用户(uid=0)则无条件地通过认证

  pam_wheel:只允许wheel组的用户有超级用户的存取权限(只有wheel组里的人有su命令权限)

  2)添加授权用户bob到wheel组

  3)测试:bob可以切换到root,其他用户不能切换

具体操作方法:

  ~] #vim /etc/pam.d/su 

  添加一行或者放行注释

  auth        required         pam_wheel.so  use_uid

  ~] #gpasswd -a bob  wheel

  

以上是关于linux系统安全及应用——PAM安全认证的主要内容,如果未能解决你的问题,请参考以下文章

Linux基本系统安全及应用!

6.24系统安全及应用——账号安全与控制与PAM认证模块

Linux系统安全及系统安全的基本设置

linux系统安全su命令及系统安全

系统安全及应用--账号安全控制

系统安全及应用