1 PAM austauschbare Authentifizierungsverfahren

Transkript

1 1 PAM austauschbare Authentifizierungsverfahren 1.1 Überblick In diesem Kapitel lernen Sie die Aufgabe, den Aufbau und die Funktionsweise von PAM kennen (LPI 2:210.2). wie man die Konfigurationsdateien von PAM-fähigen Programmen verändert. wie man PAM-Module einsetzt. wie man das Standard-Linux-Authentifizierungsverfahren durch die Anmeldung an einem NT-Server oder einem LDAP-Verzeichnis austauscht. Für diejenigen, denen die Materie neu ist, wollen wir mit einem Beispiel beginnen. Auf dem System gibt es eine Anzahl von Programmen, die einen Dienst anbieten, und die aber vorher überprüfen wollen, ob und in welchem Umfang ein spezieller Benutzer überhaupt berechtigt ist, diesen Dienst in Anspruch zu nehmen. Man denke etwa an einen FTP-Server, einen Web-Server, einen SSH-Server, einen POP-Server oder etwa das Programm login, durch das sich ein Benutzer am System anmeldet. Bei diesem Login-Vorgang passiert klassischerweise Folgendes: 1. Es stellt durch Abfrage von Benutzernamen und Passwort sicher, dass der Benutzer überhaupt existiert und auch derjenige ist, der er vorgibt, zu sein. Ferner werden im Erfolgsfall dem Benutzer Gruppenrechte oder andere Privilegien gestattet. 2. Es wird überprüft, ob das Benutzerkonto überhaupt noch gültig ist, und noch nicht abgelaufen oder gesperrt ist, oder der Benutzer sich zu einer Sperrzeit oder an einem unsicheren Terminal anmeldet. Beispielsweise darf sich bei den meisten Distributionen root nicht per ftp oder telnet anmelden, da das Passwort bei diesen Diensten im Klartext übertragen wird, und deshalb mitgehört werden kann. 3. Es wird schließlich der Dienst zur Verfügung gestellt. Dies ist hier unsere Shell. Vorher erfährt der Benutzer noch den Inhalt von/etc/motd. Das istnun schönundgut, aberwozubrauchen wirdann PAM? Solange man genau das will, was der klassische Login-Vorgang bewirkt, bräuchte man PAM nicht, aber was passiert, wenn man die Anmeldung am System bei allen Diensten 7

2 PAM austauschbare Authentifizierungsverfahren durch ein anderes Verfahren, wie etwa über ein LDAP-Verzeichnis oder über einen NT- Server austauschen will? Dann müsste man alle diese Dienst-Server neu mit diesem neuen Verfahren ausstatten und neu kompilieren. PAM geht dagegen den Königsweg. Anstatt irgend ein Anmeldungsverfahren in einen Dienst-Server einzubauen, gibt dieser die Aufgabe einfach an die PAM-Bibliothek weiter. Diese wiederum liest die Konfigurationsdatei für den Dienst, und entscheidet dann, welche Verfahren in welcher Reihenfolge für die Anmeldung des Benutzers angewendet werden. Dabei wird an die aufrufende Anwendung nur das Gesamtergebnis zurückgegeben. Die Anwendung weiß also etwa nicht, woran die Anmeldung gescheitert ist. Anwendung login... authentication()... Linux PAM PAM Architektur /etc/pam.d/login auth... a.so auth... b.so account... b.so account... c.so password... b.so password... d.so session... e.so /etc/security/ auth a b b.conf account b c password b d d.conf session e So kann der Systemadministrator mühelos, einfach durch Ändern der Konfigurationsdateien, die Anmeldungsverfahren austauschen oder nach seinem Geschmack ändern. Für jedes Programm (vom Netzwerk-Serverdienst über das Login bis hin zum passwortgeschützten Bildschirmschoner) existiert eine gleichnamige Konfigurationsdatei in dem Verzeichnis /etc/pam.d/. In dieser Konfigurationsdatei wird genau angegeben, welches Modul in welcher Reihenfolge welche Aufgabe übernimmt, und auch, ob der Erfolg oder Misserfolg eines Moduls Einfluss auf den Erfolg des gesamten Anmeldevorgangs hat. Für komplexere Module, wie etwa pam_limits.so(lpi 2: 210.2) oder pam_access.so, mit denen man Ressourcen-Limits bzw. feinere Zugangsbeschränkungen einführen kann, gibt es in dem Verzeichnis /lib/security/ pro Modul eine eigene Konfigurationsdatei. Diese sind sehr gut kommentiert und auch in der Moduldokumentation beschrieben. 8

3 1.2 Konfiguration des PAM-Systems 1.2 Konfiguration des PAM-Systems Konfiguration der PAM-fähigen Anwendungen Zunächst wollen wir uns ansehen, wie eine PAM-Konfigurationsdatei aufgebaut ist. Jede der Konfigurationsdateien in/etc/pam.d/(lpi 2: 210.2) ist tabellenartig aufgebaut mit Tabulatoren oder Leerzeichen als Feldtrenner. Unser erstes Beispiel bezieht sich auf die Datei/etc/pam.d/login bei SuSE-Linux. /etc/pam.d/login 1 #%PAM auth required /lib/security/pam_securetty.so 3 auth required /lib/security/pam_pwdb.so shadow nullok 4 auth required /lib/security/pam_nologin.so 5 account required /lib/security/pam_pwdb.so 6 password required /lib/security/pam_cracklib.so 7 password required /lib/security/pam_pwdb.so \ 8 nullok use_authtok md5 shadow 9 session required /lib/security/pam_pwdb.so 10 session optional /lib/security/pam_console.so Es existieren drei Spalten: PAM-Dienst Wichtigkeit Modul und Argumente PAM-Dienst Der PAM-Dienst beschreibt, welche Aufgabe das Modul im Anmeldevorgang übernimmt. Ein und dasselbe Modul, wie etwa pam_pwdb.so, das den Standard-UNIX-Loginvorgang implementiert, kann mehrere Aufgaben übernehmen. Derzeit gibt es vier PAM-Dienste: auth Dieser PAM-Dienst übernimmt bei der Benutzeranmeldung zwei Aufgaben: Erstens wird überprüft, wer der Benutzer ist, und ob dieser auch derjenige ist, der er vorgibt zu sein. Zweitens kann es noch zusätzliche Gruppenrechte (unabhängig von /etc/group) oder andere Rechte vergeben. account hat mit der Authentifizierung selbst nichts zu tun. Durch diesen PAM-Dienst lässt sich der Zugang etwa nach folgenden Kriterien begrenzen: Uhrzeit verfügbare Systemressourcen(CPU, Speicher,...) 9

4 PAM austauschbare Authentifizierungsverfahren Ort, von dem aus die Anmeldung statt findet. Beispielsweise darf sich meist root nur von der Konsole aus anmelden. session Mit diesem PAM-Dienst lassen sich noch einige Aufgaben ausführen, bevor oder nachdem der Benutzer den Dienst in Anspruch genommen hat, also zum Beispiel: syslog-einträge Dateisysteme mounten Shellvariablen setzen password wird immer dann aufgerufen, wenn ein Benutzer seinen Zugangscode ändern will. Dieser Zugangscode kann auf jede nur erdenkliche Weise beschaffen sein. Vom klassischen Passwort, über ein Public-Key-Verfahren bis hin zum Fingerabdruck oder Gesichtsausdruck bei biometrischen Verfahren. Wichtigkeit bestimmt, welchen Einfluss der Erfolg oder Misserfolg des einzelnen Moduls auf den gesamten Anmeldevorgang hat. Wie schon erwähnt, bekommt die Anwendung ja nur ein Gesamtergebnis zurück. Folgende Wichtigkeiten kann ein Modul haben: required heißt hier, dass das Modul notwendig für den Gesamterfolg ist, oder, mit anderen Worten: Schlägt das Modul fehl, so schlägt die gesamte Authentifizierung fehl. Jedoch werden trotzdem noch alle folgenden Module gestartet, um einerseits möglichst viel über die Methoden eines potentiellen Angreifers zu erfahren und andererseits diesem zu verschleiern, warum er gescheitert ist. requisite wie required, jedoch, dass der Anmeldevorgang sofort abgebrochen wird, wenn das Modul fehlschlägt. Damit soll zum Beispiel verhindert werden, dass ein Benutzer ein Passwort über ein unsicheres Medium abschickt. sufficient bedeutet, dass der Erfolg dieses Moduls für eine erfolgreiche Anmeldung ausreicht, falls vorher kein required-modul fehlgeschlagen ist. Es werden keine folgenden Module desselben PAM-Dienstes mehr abgearbeitet. Dies wird zum Beispiel dann verwendet, wenn man die Anmeldung über einen Passwort-Server vornimmt. Falls dieser ausfällt, kann man sich dann immer noch über das Standard-UNIX-Verfahren anmelden. optional hat keinen Einfluss auf den Erfolg des Anmeldevorgangs, außer wenn nur optional-module in der Datei stehen. Modul und Argumente beschreibt schließlich, welche Module für welche Aufgabe in welcher Reihenfolge verwendet werden. Das Feinverhalten dieser Module bestimmt sich anhand der Argumente des Moduls. Zu lange Zeilen kön- 10

5 1.2 Konfiguration des PAM-Systems nen mit einem maskierten Zeilenende (Zeile 7) in der nächsten Zeile fortgeführt werden. Dokumentation zu PAM und den einzelnen Modulen findet sich in /usr/share/doc/pam*/(fedora/redhat, Debian),/usr/share/doc/packages/pam*/ (SuSE). Die Module selbst finden sich in/lib/security/.! Achtung: Fehlerhafte PAM-Konfigurationsdateien führen dazu, dass man aus dem System komplett ausgesperrt wird, denn PAM arbeitet nach dem Motto: Better safe than sorry! Vertippt man sich nur geringfügig im Modul, den Argumenten, oder hat man auch nur einen nicht maskierten Zeilenumbruch in der Konfigurationsdatei, so geht nichts mehr. Tipp: Bevor man also an der PAM-Konfiguration irgend etwas ändert, sollte man auf jedem Fall die Konfiguration auf einer anderen Konsole testen, während man noch eingeloggt bleibt. Z Hinweis: Falls kein Verzeichnis /etc/pam.d/ existiert, so erwartet PAM die komplette PAM-Konfiguration in einer Datei namens /etc/pam.conf (LPI 2: 210.2). In dieser Datei steht noch vor jeder Konfigurationszeile, für welche Anwendung die Zeile gilt. Erläuterung der Konfigurationsdatei/etc/pam.d/login Zeile 2 überprüft, ob sich der Systemadministrator root an einem Terminal in der Datei/etc/securetty anmeldet. Ist das nicht der Fall, schlägt die Anmeldung fehl. Für alle anderen Benutzer spielt dieses Modul keine Rolle. Zeile 3 ist die Standard-UNIX-Passwort-Abfrage, wobei hier das Shadow-Passwortsystem verwendet wird (Argument shadow) und leere Passwörter zugelassen sind(argument nullok) Zeile 4 überprüft, ob die Datei /etc/nologin existiert. In diesem Falle kann sich außer root keiner mehr anmelden. Bereits angemeldete Benutzer bleiben angemeldet. Zeile 5 implementiert password-aging(z.b. Verfallsdatum) entsprechend/etc/shadow Zeile 6 ist ein Passwort-Knacker, der überprüft, ob sich ein Benutzer ein schwaches Passwort geben will. Damit wird die Verwendung von starken Passwörtern erzwungen. 11

6 PAM austauschbare Authentifizierungsverfahren! Achtung: Der Systemverwalter darf aber trotzdem schwache Passwörter vergeben! Zeile 7/8 wechselt das Standard-UNIX-Passwort, wobei das im Modul pam_cracklib.so(lpi 2: 210.2) eingegebene Passwort verwendet wird (use_authok), das Shadow- Passwort-System verwendet wird (shadow) und das starke MD5-Hashverfahren zur Passwortkodierung eingesetzt wird (md5). Zeile 9 löst einen syslog-eintrag für Beginn und Ende der Sitzung aus. Zeile 10 gewährt am Rechner sitzenden Benutzern Gruppenrechte auf Gerätedateien wie die Maus, den Joystick, die Soundkarte und erlaubt ihnen sogar, den Rechner herunterzufahren. Die gleiche Datei sieht bei Fedora/RedHat-Linux ein wenig anders aus: /etc/pam.d/login 1 #%PAM auth required pam_securetty.so 3 auth required pam_stack.so service=system-auth 4 auth required pam_nologin.so 5 account required pam_stack.so service=system-auth 6 password required pam_stack.so service=system-auth 7 session required pam_stack.so service=system-auth 8 session optional pam_console.so Sie sehen hier, dass der Aufbau im Prinzip gleich ist. Einige Module sind in dieser Datei nicht vorhanden, dafür hat das Multi -Modul pam_stack.so ihren Platz eingenommen. pam_stack ist ein Platzhalter oder Stapel für weitere Konfigurationsdateien, die bei Fedora/RedHat im Verzeichnis/etc/pam.d/ liegen. Diese Dateien werden durch den Eintrag service= definiert(in unserem Beispiel system-auth) und arbeiten dort weitere Module ab. Unter Debian ist die Datei sehr lang und gut kommentiert: 1 # 2 # The PAM configuration file for the Shadow login service 3 # 4 5 # Outputs an issue file prior to each login prompt (Replaces the 6 # ISSUE_FILE option from login.defs). Uncomment for use 7 # auth required pam_issue.so issue=/etc/issue 12

7 1.2 Konfiguration des PAM-Systems 8 9 # Disallows root logins except on tty s listed in /etc/securetty 10 # (Replaces the CONSOLE setting from login.defs) 11 auth requisite pam_securetty.so # Disallows other than root logins when /etc/nologin exists 14 # (Replaces the NOLOGINS_FILE option from login.defs) 15 auth requisite pam_nologin.so # This module parses environment configuration file(s) 18 # and also allows you to use an extended config 19 # file /etc/security/pam_env.conf. 20 # 21 # parsing /etc/environment needs "readenv=1" 22 session required pam_env.so readenv=1 23 # locale variables are also kept into /etc/default/locale 24 # in etch 25 # reading this file *in addition to /etc/environment* 26 # does not hurt 27 session required pam_env.so readenv=1 envfile=/etc/default/locale # Standard Un*x authentication. common-auth # This allows certain extra groups to be granted to a user 33 # based on things like time of day, tty, service, and user. 34 # Please edit /etc/security/group.conf to fit your needs 35 # (Replaces the CONSOLE_GROUPS option in login.defs) 36 auth optional pam_group.so # Uncomment and edit /etc/security/time.conf if you need to set 39 # time restrainst on logins. 40 # (Replaces the PORTTIME_CHECKS_ENAB option from login.defs 41 # as well as /etc/porttime) 42 # account requisite pam_time.so # Uncomment and edit /etc/security/access.conf if you need to 45 # set access limits. 46 # (Replaces /etc/login.access file) 47 # account required pam_access.so # Sets up user limits according to /etc/security/limits.conf 50 # (Replaces the use of /etc/limits in old login) 13

8 PAM austauschbare Authentifizierungsverfahren 51 session required pam_limits.so # Prints the last login info upon succesful login 54 # (Replaces the LASTLOG_ENAB option from login.defs) 55 session optional pam_lastlog.so # Prints the motd upon succesful login 58 # (Replaces the MOTD_FILE option in login.defs) 59 session optional pam_motd.so # Prints the status of the user s mailbox upon succesful login 62 # (Replaces the MAIL_CHECK_ENAB option from login.defs). 63 # 64 # This also defines the MAIL environment variable 65 # However, userdel also needs MAIL_DIR and MAIL_FILE variables 66 # in /etc/login.defs to make sure that removing a user 67 # also removes the user s mail spool file. 68 # See comments in /etc/login.defs 69 session optional pam_mail.so standard # SELinux needs to intervene at login time to ensure that 72 # the process starts in the proper default security context. 73 # Uncomment the following line to enable SELinux 74 # session required pam_selinux.so multiple # Standard Un*x account and session common-account common-session common-password Austausch des Authentifizierungsverfahrens Wenn man komplett die Authentifizierungsverfahren für alle Programme austauschen will,sowürdeaufeineneinemengearbeitwarten,wennsichnichtschonjemanddie Arbeit gemacht hätte. Im Folgenden werden wir sehen, wie wir die Authentifizierung auf LDAP oder einen NT-Server umstellen können. Umstellen auf LDAP-Server 1. Paket installieren: Wir installieren nun das Paket, das uns die Arbeit abnimmt: 14

9 1.2 Konfiguration des PAM-Systems Fedora/RedHat: rpm -ivvh nss_ldap-version.rpm yum install nss_ldap SuSE: rpm -ivvh pam_ldap.rpm zypper install pam_ldap Debian: apt-get install libpam-ldap 2. Originale/etc/pam.d/ umbenennen: Fedora/RedHat,SuSE: mv /etc/pam.d /etc/pam.d.orig Debian: mv /etc/pam.d /etc/pam.d.orig mv /etc/pam.conf /etc/pam.conf.orig! Achtung: Bitte jetzt bloß nicht ausloggen, sonst kommt man ohne Rettungssystem nie wieder ins System! 3. Neue PAM-Konfiguration installieren Fedora/RedHat: cp -a /usr/doc/nss_ldap-version/pam.d /etc SuSE: cp -a /usr/share/doc/packages/pam_ldap/pam.d /etc Debian: cp /usr/share/doc/libpam-ldap/examples/pam.conf /etc 4. /etc/ldap.conf auf den LDAP-Server einstellen und LDAP-Server testen: Eine/etc/ldap.conf würde etwa wie folgt aussehen: /etc/ldap.conf # LDAP-Server (muss ohne LDAP auflösbar sein) host # Wurzel des LDAP-Baumes auf dem Server base dc=example,dc=com # Identität, mit der wir uns am Verzeichnis anmelden binddn "uid=auth, o=people, dc=example, dc=com" bindpw 8-PoO0 # Passwort # Hash-Verfahren crypt md5 # Passwörter lokal verschlüsseln pam_crypt local 15

10 PAM austauschbare Authentifizierungsverfahren Achtung: Auf die Dateirechte ist zu achten! Die Datei darf nur vom System-! verwalter lesbar sein. Die Umstellung auf NT-Server funktioniert im Prinzip genauso wie die Umstellung auf LDAP, nur: 1. Das Paket heißt anders: Fedora/RedHat: pam_smb.rpm SuSE: pam_smb.rpm Debian: libpam-smb 2. Eine Beispiel-/etc/pam.d/ ist leider nicht enthalten, hier müssen wir notfalls die Originaldateien entsprechend verändern. Bei unserer Datei/etc/pam.d/login würde das etwa wie folgt aussehen: Modifizierte/etc/pam.d/login #%PAM-1.0 auth required /lib/security/pam_securetty.so auth required /lib/security/pam_smb_auth.so auth required /lib/security/pam_nologin.so account required /lib/security/pam_pwdb.so password required /lib/security/pam_cracklib.so password required /lib/security/pam_pwdb.so nullok session required /lib/security/pam_pwdb.so session optional /lib/security/pam_console.so 3. Schließlich muss man noch die Datei/etc/pam_smb.conf editieren: /etc/pam_smb.conf DOMÄNENNAME PDC BDC 16

11 Z 1.2 Konfiguration des PAM-Systems Hinweis: Der Benutzer muss in der Datei/etc/passwd eingetragen sein. Sein (verschlüsseltes) Passwort in /etc/shadow darf kein Stern (*) sein, sonst funktioniert das login nicht. Durch Verwendung der Option nolocal kann man diese Funktion abschalten. Jeder auf dem Passwort-Server vorhandene Benutzer kann sich dann auf der Maschine einloggen, auch wenn er kein Home-Verzeichnis hat. 17