系统安全之用户认证
用户认证
用户认证方式
- PAM(gdm,kdm,su,ssh,ftp,samba)
- 自带数据库验证方式(MySQL,Zabbix)
- web验证方式(htpasswd)
- 集中式身份认证
PAM介绍
PAM(Pluggable Authentication Modules) 即可插拔式认证模块，它是一种高效而且灵活的用户级别的认证方式，它 也是当前Linux服务器普遍使用的认证方式。
PAM可以根据用户的网段、时间、用户名、密码等实现认证。
PAM身份验证
使用PAM做身份认证的服务有：本地（login、gdm、kdm）， sshd， vsftpd，samba等
不使用PAM做身份认证的服务有：MySQL-Server，Zabbix等
帮助文件在目录下，首页是Linux-PAM_SAG.html1
/usr/share/doc/pam-1.1.8/html
可以把网址根目录设置成此目录然后使用浏览器查看
PAM认证原理
Service(进程文件) → PAM(配置文件) → pam_*.so → 模块的配置文件 /usr/sbin/ssh /etc/pam.d/sshd /lib64/security/pam_access.so /etc/security/access.conf /bin/su /etc/pam.d/su /lib64/security/pam_rootok.so
------------恢复内容开始------------
用户认证
用户认证方式
- PAM(gdm,kdm,su,ssh,ftp,samba)
- 自带数据库验证方式(MySQL,Zabbix)
- web验证方式(htpasswd)
- 集中式身份认证
PAM介绍
PAM(Pluggable Authentication Modules) 即可插拔式认证模块，它是一种高效而且灵活的用户级别的认证方式，它 也是当前Linux服务器普遍使用的认证方式。
PAM可以根据用户的网段、时间、用户名、密码等实现认证。
PAM身份验证
使用PAM做身份认证的服务有：本地（login、gdm、kdm）， sshd， vsftpd，samba等
不使用PAM做身份认证的服务有：MySQL-Server，Zabbix等
帮助文件在目录下，首页是Linux-PAM_SAG.html1
/usr/share/doc/pam-1.1.8/html
可以把网址根目录设置成此目录然后使用浏览器查看
PAM认证原理
Service(进程文件) → PAM(配置文件) → pam_*.so → 模块的配置文件 /usr/sbin/ssh /etc/pam.d/sshd /lib64/security/pam_access.so /etc/security/access.conf /bin/su /etc/pam.d/su /lib64/security/pam_rootok.so
查看pam的sshd配置文件
[root@node1 pam.d]# cat /etc/pam.d/sshd #%PAM-1.0 auth required pam_sepermit.so auth substack password-auth auth include postlogin # Used with polkit to reauthorize users in remote sessions -auth optional pam_reauthorize.so prepare account required pam_nologin.so account include password-auth password include password-auth # pam_selinux.so close should be the first session rule session required pam_selinux.so close session required pam_loginuid.so # pam_selinux.so open should only be followed by sessions to be executed in the user context session required pam_selinux.so open env_params session required pam_namespace.so session optional pam_keyinit.so force revoke session include password-auth session include postlogin # Used with polkit to reauthorize users in remote sessions -session optional pam_reauthorize.so prepare
查看配置文件sshd是否使用PAM认证
[root@node1 security]# grep -i pam /etc/ssh/sshd_config # Set this to 'yes' to enable PAM authentication, account processing, # and session processing. If this is enabled, PAM authentication will # PasswordAuthentication. Depending on your PAM configuration, # PAM authentication via ChallengeResponseAuthentication may bypass # If you just want the PAM account and session checks to run without # PAM authentication, then enable this but set PasswordAuthentication # WARNING: 'UsePAM no' is not supported in Red Hat Enterprise Linux and may cause several UsePAM yes
PAM常见的四种认证类型
auth 认证管理 验证使用者身份，账号和密码 account 用户管理 基于用户时间或密码有效期来决定是否允许访问 password 密码（口令） 认证管理 禁止用户反复尝试登录，在变更密码时进行密码复杂性控制 session 会话管理 进行日志记录，或者限制用户登录的次数，资源限制
PAM认证流程控制(流程标记)
Required (必要条件) 验证失败时仍然继续，但返回fail 用户不会知道哪里失败 Requisite (必要条件) 验证失败时则立即结束整个验证过程，返回fail 面试若不成功，马上失败，效率高 Sufficient (充分条件) 验证成功则立即返回，不再继续，否则忽略结果并继续 相当于面试中的拔高题 Optional (可选条件) 无论验证结果如何，均不会影响 常用于session类型
Include 包含另外一个配置文件中类型相同的行
substack 垂直叠加
PAM常用模块
示例：限制root切换用户也需要密码
#cat /etc/pam.d/su #注释第一行则作为管理员切换成普通用户也需要用户密码 #auth sufficient pam_rootok.so
模块：pam_access.so
功能：访问控制，默认配置文件/etc/security/access.conf
通常作用于登录程序，如su,login,gdm,sshd，
例如：限制用户从哪些网段登录sshd
修改pam的sshd配置文件添加配置，启用access模块
/etc/pam.d/sshd
auth required pam_access.so
修改配置文件
/etc/security/access.conf
拒绝某个IP使用用户root登录本机
-:root:192.168.1.102
-代表拒绝 +代表允许
root为用户
192.168.1.102为客户端IP
设置后从192.168.1.102ssh登录出现权限提示
[root@node2 ~]# ssh root@192.168.1.101 root@192.168.1.101's password: Permission denied, please try again.
示例：使用不同的模块配置文件
#自定义使用配置文件不修改access.conf auth required pam_access.so accessfile=/accessfile21
模块：pam_tally2.so
功能：登录统计
[root@localhost ~]# grep tally2 /etc/pam.d/sshd auth required pam_tally2.so deny=2 even_deny_root root_unlock_time=60 unlock_time=60
参数解析
#deny=2 连续错误登录最大次数，超过最大次数，将被锁定 #even_deny_root root用户也被要求锁定 #root_unlock_time root用户被锁定后等待的时间，单为秒 #unlock_time 普通用户被锁定后等待的时间，单为秒
查看用户登录错误次数
[root@localhost ~]# pam_tally2 -u root #查看用户错误登录次数
清除用户错误登录次数
[root@localhost ~]# pam_tally2 --reset -u root #清除用户错误登录次数
PAM资源限制
PAM资源限制主要是对用户进行系统资源使用的限制
PAM资源限制默认已使用，我们只需要调整相应限制值即可。
模块：pam_limits.so 功能：限制用户会话过程中对各种资源的使用情况。 缺省情况下该模块的配置文件是 /etc/security/limits.conf /etc/security/limits.d/*.conf
PAM资源限制案例
案例1：设置用户最大打开文件数
[root@localhost ~]# ulimit -a [root@localhost ~]# ulimit -n 1024 [root@localhost ~]# vim /etc/security/limits.conf * soft nofile 10240 * hard nofile 20480
案例2：设置用户最大创建的进程数
[jack@localhost ~]$ ulimit -u 1024 [root@localhost ~]# vim /etc/security/limits.d/90-nproc.conf * soft nproc 10240 * hard nproc 10240
案例3：设置用户jack最大使用CPU的时间
[root@localhost ~]# vim /etc/security/limits.conf jack hard cpu 1
注意：PAM资源限制针对用户，不针对进程，如果需要实现进程资源限制，可以考虑使用Cgroup。
