Ders 4.33: PAM yığınını denetlemek

Linux'taki her parola denetimi, ssh, sudo, su ve konsol için, PAM'den geçer: /etc/pam.d'de satır satır, bir başarının ya da başarısızlığın ne anlama geldiğine karar veren denetim bayraklarıyla değerlendirilen bir modül yığını. Tek bir kelimeyi değiştir, her parola çalışır; tek bir satır ekle, yazılan her parola bir dosyaya kaydedilir. Laboratuvarda Northwind'in atlama sunucusunun PAM yapılandırması gece değiştirildi. Yığını PAM'in okuduğu gibi okuyor, bilinen iyi kopyayla karşılaştırıyor, etkiyi pamtester ile kanıtlıyor, geri yüklüyor, kanıtı saklıyor ve parolası kaydedilen her hesap için yeni parola zorunlu kılıyorsun.

19 dk

Bu derste öğreneceklerin

PAM hizmetlerini, modül türlerini ve denetim bayraklarını açıklamak
@include dosyaları dahil bir yığını okumak
Zayıflatılmış pam_deny ya da pam_exec expose_authtok gibi arka kapıları fark etmek
Bir yığını pamtester ile sınamak
Müdahale etmek: geri yükle, kanıtı sakla, parolaların süresini doldur

Temel terimler

PAM: Takılabilir Kimlik Doğrulama Modülleri: programların birinin kim olduğunu denetlemek için kullandığı kitaplık.
Modül türü: auth (kimliği kanıtla), account (erişime şimdi izin var mı), password (değiştir), session (girişi hazırla).
Denetim bayrağı: Bir modülün sonucunun ne anlama geldiği: required, requisite (hemen başarısız ol), sufficient (başarı bitirir), optional ya da [success=N default=ignore].
pam_deny / pam_permit: Her zaman başarısız / her zaman başarılı olan modüller; yığının güvenlik ağı.
pam_exec expose_authtok: Giriş sırasında bir program çalıştırır ve yazılan parolayı ona standart girdiden verir.
pamtester: Bir hizmetin PAM yığınını gerçek bir giriş olmadan bir kullanıcı için çalıştırır.

← Riskli değişiklikten önce LVM anlık görüntüsü · Tüm dersler · Seccomp: bir sistem çağrısı izin listesi →