即插即用安全验证模块-使用pam模块

Posted 2020-12-11 hongjinping

可插入式验证模块（PAM）

。可插入式验证木块
。应用程序调用libpam函数来验证和授权用户
。libpam基于应用程序的PAM配置文件做检测
    。可以通过libc在NSS中检查
。共享的，动态可配置代码
。文档：/usr/share/doc/pam-<version>/
#man -k pam_　　//打印linux可供使用的pam模块

PAM操作

。/lib/security/PAM模块
    。每个模块执行一个通过（pass）或失败（fail）测试
    。在/etc/security/中的文件会影响到一些模块如何执行他们的测试
。/etc/pam.d/PAM模块 
    。服务文件决定了怎样/何时模块被使用在特定的程序上

/etc/pam.d/文件：测试
。测试分成四组：
    。auth    认证用户是否为此用户
    。account    用于给账户授权
    。password    控制密码的修改
    。session    打开，断开并记录会话
。按需调用每个分组并提供各自的结果给服务。

/etc/pam.d/文件：控制值
。控制值决定了如何测试每个分组返回总的结果
    。required    必须通过测试。如果失败了仍然继续后续测试
    。requisite    雷同于required，除了在失败后立即停止测试
    。sufficient    如果通过测试，立即返回成功状态（比如满足第一个条件通过，直接返回成功）；而如果失败，忽略测试结果继续监测
    。optional    测试是否通过都无关紧要（基本用户session环节）
    。include    从所包含而调用到配置文件中放回测试控制总结果   //可能这个配置文件中包含了其他配置文件。需要两个方面验证。
不建议编写系统级别验证规则，就是system-auth，尽量单独编写对应应用程序的文件。
#man pam.conf

实例：/etc/pam.d/login文件

 

PAM排错

。检查系统日志
    。/var/log/messages
    。/var/log/secure
。PAM错误会导致root被锁
    。在做测试时保持一个root的shell可用
    。单用户模式绕过PAM
    。使用救援碟引导系统

#tar cvf ~/pam.tar /etc/pam.d/　　//将/etc/pam.d下面文件打包到家目录下，并命名为pam.tar　　

linux操作系统与安全相关的日志记录在/var/log/secure中

可以#tail -f secure   　　动态刷新secure日志查看登陆输入错误密码的提示。

#man -k pam_ | less  //查看当前系统下安装的pam模块　　

system_auth文件
。system-auth被广为使用
    。通过include而被调用，它不是一个模块（比如pam_stack.so)
    。包含标准认证测试
    。在系统中被使用应用程序共享使用
    。简单的，一致的标准系统的验证方式

pam_unix.so
。基于NSS的验证
    。auth    获取从NSS获得Hash后的密码
    比与Hash后输入的密码相比较
    。account    检查密码的失效期
    。password    处理密码的改变修改本地文件或NIS
    。session    记录登陆或退出日志

网络验证
    。集中密码管理
        。pam_krb5.so(Kerberos V票据)
        。pam_ldap.so(LDAP binds)
        。pam_smb.auth.so(老的SMB认证）
        。pam_winbind.so(通过winbindd的SMB）
    。一些服务使用NSS/pam_unix.so
        。NIS，Hesiod，一些LDAP配置

auth模块
。pam_securetty.so    如果root登陆了在/etc/securetty没有列举的终端结果失败
。pam_nologin.so     如果非root用户存在在/etc/nologin中结果失败
。pam_listfile.so    按照一个列表文件检查认证特性
    。列出哪些账户被允许/拒绝

密码安全
    。pam_unix.so    使用MD5 hash密码
        。确保密码Hash格式不容易破解
    。pam_unix.so    shadow密码
        。让hash的密码只对root可见
        。老化密码
    。也有一些其他模块支持密码老化机制

Password策略
。密码历史记录
    。pam_unix.so    接remember=N参数
。密码长度
    。pam_cracklib.so
    。pam_passwdqc.so
。监控失败的登陆
    。pam_tally.so

Session模块
。pam_limits.so    对资源的强制限制
    。使用/etc/security/limits.conf
。pam_console.so    为控制台设置本地设备权限
    。同样可以用在auth模块中
。pam_selinux.so    用来设置SELinux上下文属性
。pam_mkhomedir.so    如果主目录不存在将创建一个