Cap. 4. Autentificare și controale de acces

Iată câteva fișiere de configurare importante accesate de PAM și NSS.

Limitarea selecției parolei este implementată de modulele PAM, pam_unix(8) și pam_cracklib(8). Acestea pot fi configurate prin argumentele lor.

	Indicație
	Modulele PAM utilizează sufixul „.so” pentru numele fișierelor lor.

Sistemul modern de gestionare centralizată poate fi implementat utilizând serverul centralizat Lightweight Directory Access Protocol (LDAP) pentru a administra numeroase sisteme de tip Unix și non-Unix din rețea. Implementarea de cod-sursă deschis a protocolului Lightweight Directory Access Protocol este OpenLDAP Software.

Serverul LDAP furnizează informațiile despre cont prin utilizarea PAM și NSS cu pachetele libpam-ldapd și libnss-ldapd pentru sistemul Debian. Pentru a activa această funcție sunt necesare mai multe acțiuni (nu am utilizat această configurare, iar informațiile următoare sunt pur secundare. Vă rugăm să citiți acest text în acest context.).

Consultați documentația din nsswitch.conf(5), pam.conf(5), ldap.conf(5) și „/usr/share/doc/libpam-doc/html/” oferită de pachetul libpam-doc și „info libc «Name Service Switch»” oferită de pachetul glibc-doc.

În mod similar, puteți configura sisteme centralizate alternative cu alte metode.

Aceasta este celebra frază care apare în partea de jos a vechii pagini „info su” a lui Richard M. Stallman. Nu vă faceți griji: comanda actuală su din Debian utilizează PAM, astfel încât se poate restricționa utilizarea su la grupul root prin activarea liniei cu „pam_wheel.so” în „/etc/pam.d/su”.

# here are the per-package modules (the "Primary" block)
password	requisite			pam_cracklib.so retry=3 minlen=8 difok=3
password	[success=1 default=ignore]	pam_unix.so obscure use_authtok try_first_pass yescrypt
# here's the fallback if no module succeeds
password	requisite			pam_deny.so
# prime the stack with a positive return value if there isn't one already;
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
password	required			pam_permit.so
# and here are more per-package modules (the "Additional" block)
password	optional	pam_gnome_keyring.so
# end of pam-auth-update config

Multe servicii ale stratului de transport populare comunică mesaje, inclusiv autentificarea parolei, în text simplu. Este o idee foarte proastă să transmiteți parola în text simplu pe Internet, unde poate fi interceptată. Puteți rula aceste servicii prin „Transport Layer Security” (TLS) sau predecesorul său, „Secure Sockets Layer” (SSL), pentru a securiza întreaga comunicare, inclusiv parola, prin criptare.

Criptarea consumă timp de procesare. Ca alternativă care nu solicită procesorul, puteți păstra comunicarea în text simplu, securizând doar parola cu un protocol de autentificare securizat, cum ar fi „Authenticated Post Office Protocol” (APOP) pentru POP și „Challenge-Response Authentication Mechanism MD5” (CRAM-MD5) pentru SMTP și IMAP. (Pentru trimiterea mesajelor de poștă electronică prin Internet către serverul dvs. de poștă electronică de la clientul dvs. de poștă electronică, este popular în ultima vreme să se utilizeze noul port de trimitere a mesajelor 587 în locul portului SMTP tradițional 25, pentru a evita blocarea portului 25 de către furnizorul de rețea, în timp ce vă autentificați cu CRAM-MD5.)

Programul Secure Shell (SSH) asigură comunicații criptate sigure între două gazde ce nu sunt de „încredere” într-o rețea nesigură, cu autentificare securizată. Acesta constă din clientul OpenSSH, ssh(1) și demonul OpenSSH, sshd(8). Acest SSH poate fi utilizat pentru a tunela o comunicare prin protocol nesigur, cum ar fi POP și X, în mod securizat pe Internet, cu ajutorul funcției de redirecționare a porturilor.

Clientul încearcă să se autentifice utilizând autentificarea bazată pe gazdă, autentificarea cu cheie publică, autentificarea cu provocare-răspuns sau autentificarea cu parolă. Utilizarea autentificării cu cheie publică permite conectarea la distanță fără parolă. Consultați Secțiune 6.3, „Serverul și instrumentele de acces la distanță (SSH)”.

Chiar și atunci când utilizați servicii securizate, cum ar fi Secure Shell (SSH) și Point-to-point tunneling protocol (PPTP), există în continuare posibilitatea unor intruziuni prin atacuri de tip „forță brută” (brute force) pentru ghicirea parolelor etc. din Internet. Utilizarea politicii paravanului de protecție (a se vedea Secțiune 5.7, „Infrastructura netfilter”) împreună cu următoarele instrumente de securitate poate îmbunătăți situația de securitate.

Pentru a împiedica accesul persoanelor la mașina dvs. cu privilegii de root, trebuie să efectuați următoarele acțiuni.

Cu acces fizic la dispozitivul de stocare al sistemului, redefinirea parolei este relativ ușoară, urmând pașii de mai jos.

Dacă aveți acces de editare la intrarea din meniul GRUB (consultați Secțiune 3.1.2, „Etapa 2: încărcătorul de pornire”) pentru grub-rescue-pc la pornire, este și mai ușor să urmați pașii de mai jos.

Shell-ul root al sistemului este acum accesibil fără parolă.

Singura soluție software rezonabilă pentru a evita toate aceste probleme este utilizarea unei partiții rădăcină criptate software (sau partiția „/etc”) folosind dm-crypt și initramfs (vezi Secțiune 9.9, „Sfaturi pentru criptarea datelor”). Totuși, aveți întotdeauna nevoie de parolă pentru a porni sistemul.

ACL-urile sunt un superset al permisiunilor obișnuite, așa cum se explică în Secțiune 1.2.3, „Permisiuni ale sistemului de fișiere”.

Întâlniți ACL-uri în acțiune în mediul grafic de birou modern. Când un dispozitiv de stocare USB formatat este montat automat ca, de exemplu, „/media/penguin/USBSTICK”, un utilizator normal penguin poate executa:

 $ cd /media/penguin
 $ ls -la
total 16
drwxr-x---+ 1 root    root    16 Jan 17 22:55 .
drwxr-xr-x  1 root    root    28 Sep 17 19:03 ..
drwxr-xr-x  1 penguin penguin 18 Jan  6 07:05 USBSTICK

„+” în coloana a 11-a indică faptul că ACL-urile sunt active. Fără ACL-uri, un utilizator normal penguin nu ar trebui să poată afișa această listă, deoarece penguin nu face parte din grupul root. Puteți vedea ACL-urile astfel:

 $ getfacl .
# file: .
# owner: root
# group: root
user::rwx
user:penguin:r-x
group::---
mask::r-x
other::---

Aici:

Pentru mai multe informații, consultați „POSIX Access Control Lists on Linux -- Liste de control al accesului POSIX în Linux”, acl(5), getfacl(1) și setfacl(1).

sudo(8) este un program conceput pentru a permite unui administrator de sistem să acorde privilegii root limitate utilizatorilor și să înregistreze activitatea root. sudo necesită doar parola unui utilizator obișnuit. Instalați pachetul sudo și activați-l configurând opțiunile din „/etc/sudoers”. Consultați exemplul de configurare din „/usr/share/doc/sudo/examples/sudoers” și Secțiune 1.1.12, „Configurarea «sudo»”.

Utilizarea mea a sudo pentru sistemul cu un singur utilizator (a se vedea Secțiune 1.1.12, „Configurarea «sudo»”) are scopul de a mă proteja de propria mea prostie. Personal, consider că utilizarea sudo este o alternativă mai bună decât utilizarea sistemului din contul root tot timpul. De exemplu, următoarea comandă schimbă proprietarul „some_file” în „my_name”.

$ sudo chown my_name some_file

Desigur, dacă cunoașteți parola root (așa cum o cunosc utilizatorii Debian care au instalat singuri sistemul), orice comandă poate fi executată sub root din contul oricărui utilizator folosind „su -c”.

PolicyKit este o componentă a sistemului de operare pentru controlul privilegiilor la nivel de sistem în sistemele de operare de tip Unix.

Aplicațiile GUI mai noi nu sunt concepute pentru a rula ca procese privilegiate. Acestea comunică cu procesele privilegiate prin intermediul PolicyKit pentru a efectua operații administrative.

PolicyKit limitează astfel de opereții la conturile de utilizator care aparțin grupului sudo din sistemul Debian.

A se vedea polkit(8).

Pentru securitatea sistemului, este recomandat să dezactivați cât mai multe programe de server posibil. Acest lucru devine esențial pentru serverele de rețea. Serverele neutilizate, activate fie direct ca daemon, fie prin programul super-server, sunt considerate riscuri de securitate.

Multe programe, cum ar fi sshd(8), utilizează controlul accesului bazat pe PAM. Există multe modalități de a restricționa accesul la anumite servicii ale serverului.

Consultați Secțiune 3.6, „Gestionarea sistemului”, Secțiune 4.5.1, „Fișierele de configurare accesate de PAM și NSS” și Secțiune 5.7, „Infrastructura netfilter”.

Nucleul Linux a evoluat și oferă caracteristici de securitate care nu se regăsesc în implementările tradiționale UNIX.

Linux acceptă atribute extinse care extind atributele UNIX tradiționale (a se vedea xattr(7)).

Linux împarte privilegiile asociate în mod tradițional cu superutilizatorul în unități distincte, cunoscute sub numele de capacități(7), care pot fi activate și dezactivate independent. Capacitățile sunt un atribut per fir de execuție începând cu versiunea 2.2 a nucleului.

Infrastructura modulelor de securitate Linux („Linux Security Module”: LSM) oferă un mecanism pentru diverse verificări de securitate care pot fi conectate la noile extensii ale nucleului. De exemplu:

Deoarece aceste extensii pot restricționa modelul de privilegii mai strict decât politicile obișnuite ale modelului de securitate de tip Unix, chiar și privilegiile root pot fi restricționate. Vă recomandăm să citiți documentul infrastructurii „Linux Security Module (LSM)” la kernel.org.

Spatiile de nume Linux învăluiesc o resursă globală a sistemului într-o abstractizare care face ca procesele din cadrul spatiului de nume să pară că au propria instanță izolată a resursei globale. Modificările aduse resursei globale sunt vizibile pentru alte procese care sunt membre ale spațiului de nume, dar sunt invizibile pentru alte procese. Începând cu versiunea 5.6 a nucleului, există 8 tipuri de spații de nume (a se vedea namespaces(7), unshare(1), nsenter(1)).

Începând cu Debian 11 Bullseye (2021), Debian utilizează ierarhia cgroup unificată (cunoscută și sub numele de cgroups-v2).

Exemple de utilizare a spațiilor de nume cu cgroups pentru a izola procesele acestora și a permite controlul resurselor sunt:

Aceste funcționalități nu pot fi realizate prin Secțiune 4.1, „Autentificare normală Unix”. Aceste subiecte avansate sunt în mare parte în afara domeniului de aplicare al acestui document introductiv.