LPI-2 202-450 Topico 210.2
Autenticação por PAM

O diretório /etc/pam.d/ contem os arquivos de configuração do PAM para cada aplicação que o usa. Em versões antigas do PAM toda a configuração ficava dentro de /etc/pam.conf porém com o passar dos anos esse arquivo ficou muito grande agora acabou deprecado e as distribuições atuais usam a estrutura do /etc/pam.d/.

┌─[root@centos7lpi]──[20:30]──[~]
└─[68]─># ls /etc/pam.d
chfn                 passwd            runuser-l          sudo-i
chsh                 password-auth     smartcard-auth     su-l
config-util          password-auth-ac  smartcard-auth-ac  system-auth
crond                polkit-1          smtp               system-auth-ac
fingerprint-auth     postlogin         smtp.postfix       systemd-user
fingerprint-auth-ac  postlogin-ac      sshd               vlock
login                remote            su
other                runuser           sudo

Todo binário que tem alguma coisa a ver com o pam precisa ter um arquivo de configuração. Existem também alguns arquivos de configuração genéricos. Os arquivos de configuração definem o que exatamente deve acontecer. O formato do arquivo de configuração do PAM original (/etc/pam.conf) é assim:

<service> <module-interface> <control-flag> <module-name> <module-arguments>

1. Service: Especifica qual serviço essa linha de configuração trata. Tal como ssh ou FTP. Esta primeira opção só era usada no arquivo de configuração original /etc/pam.conf. Dessa forma essa primeira diretiva dizia ao PAM como diferenciar todas as configurações. No formato atual (/etc/pam.d/) isso não é mais utilizado pois temos um arquivo por cada service assim o nome deles <service> fica implícito. Os próximos items são os que se repetem nos arquivos de configuração no formato atual, portanto vamos dar uma olhada em um arquivo que segue esse formato:

   Listagem 3: Conteúdo do arquivo /etc/pam.d/login

   #%PAM-1.0
   auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so
   auth       substack     system-auth
   auth       include      postlogin
   account    required     pam_nologin.so
   account    include      system-auth
   password   include      system-auth
   # pam_selinux.so close should be the first session rule
   session    required     pam_selinux.so close
   session    required     pam_loginuid.so
   session    optional     pam_console.so
   # pam_selinux.so open should only be followed by sessions to be executed in the 
   # user context
   session    required     pam_selinux.so open
   session    required     pam_namespace.so
   session    optional     pam_keyinit.so force revoke
   session    include      system-auth
   session    include      postlogin
   -session   optional     pam_ck_connector.so'
   

   Logo na primeira linha podemos notar uma referência para system-auth que na verdade é um arquivo de configuração genérico que está incluído quase em qualquer processo que precisa fazer algo com autenticação, portanto vamos dar uma olhada nele também.

   Listagem 4: Conteúdo do arquivo /etc/pam.d/system-auth

   #%PAM-1.0
   # This file is auto-generated.
   # User changes will be destroyed the next time authconfig is run.
   auth        required      pam_env.so
   auth        required      pam_faildelay.so delay=2000000
   auth        sufficient    pam_unix.so nullok try_first_pass
   auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
   auth        required      pam_deny.so
   
   account     required      pam_unix.so
   account     sufficient    pam_localuser.so
   account     sufficient    pam_succeed_if.so uid < 1000 quiet
   account     required      pam_permit.so
   
   password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
   password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok
   password    required      pam_deny.so
   
   session     optional      pam_keyinit.so revoke
   session     required      pam_limits.so
   -session     optional      pam_systemd.so
   session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
   session     required      pam_unix.so
   

2. module-interface: Quatro tipos de interface de módulo PAM estão disponíveis. Cada uma delas corresponde a um diferente aspecto no processo de autenticação:
   • auth: Esta interface de módulo autentica o uso. Por exemplo, ele solicita e verifica a validade de uma senha. Módulos com esta interface também podem definir credenciais, como associações de grupo ou tíquetes Kerberos;
   • account: Esta interface de módulo verifica se o acesso está permitido. Por exemplo, ele checa se a conta do usuário está espirada ou se o usuário tem permissão de logar em um horário específico;
   • password: Interface de módulo usada para trocas de senha;
   • session: Esta interface de módulo configura e gerencia as seções de usuário. Módulos que usam esta interface podem também executar tarefas adicionais conforme necessário para permitir acesso, tal como montar um diretório home ou fazer a caixa de email ficar disponível, para melhor entendimento verifique a próxima diretiva.

3. control-flag: Todo módulo PAM quando invocado gera um resultado de "sucesso" ou "falha". As control-flags informam o que fazer com esse resultado. Os módulos podem ser empilhados em uma ordem particular e as flags de controle determinam quão importante o sucesso ou uma falha de um módulo em particular é para o todo da autenticação de um usuário em um serviço.

   Lista de flags:

   • requisite: A autenticação é negada imediatamente no caso de uma negativa do módulo;
   • required: Autenticação recusada no caso de negativa do módulo, mas consultará os outros módulos para o serviço antes de negar completamente a autenticação;
   • sufficient: Se a autenticação para este módulo for bem-sucedida, a autenticação será confirmada mesmo que módulos anteriores tenham negado;
   • optional: A aprovação ou negação nesse módulo só fará diferença se for o único do tipo para o serviço;
   • include: Diferente das outras flags esta não está relacionada em como o resultado do módulo é tratado. Esta flag puxa todas as linhas no arquivo de configuração que correspondem ao parâmetro fornecido e as anexa como um argumento para o módulo.
4. module-name: Diz ao PAM o nome do módulo que contém a interface de módulo que especificamos. O nome do diretório é omitido pois o aplicativo está vinculado à versão apropriada de libpam, que pode localizar a versão correta do módulo.

5. module-arguments: O PAM usa argumentos para passar para o módulo durante a autenticação em vários dos módulos. Por exemplo:

   auth required pam_userdb.so db=/path/to/MyDB_file

   Argumentos inválidos geralmente são ignorados e não implicam no sucesso ou falha na autenticação através do módulo. Alguns módulos, porém, entrarão em falha sistêmica (erro do binário) com argumentos inválidos. A maioria dos módulos reporta os erros em /var/log/secure.

Agora que conhecemos o formato dos arquivos do de configuração do PAM, vamos dar uma olhada em mais um arquivo:

#%PAM-1.0
auth       required     pam_sepermit.so
auth       substack     password-auth
auth       include      postlogin
# Used with polkit to reauthorize users in remote sessions
-auth      optional     pam_reauthorize.so prepare
account    required     pam_nologin.so
account    include      password-auth
password   include      password-auth
# pam_selinux.so close should be the first session rule
session    required     pam_selinux.so close
session    required     pam_loginuid.so
# pam_selinux.so open should only be followed by sessions
# to be executed in the user context
session    required     pam_selinux.so open env_params
session    required     pam_namespace.so
session    optional     pam_keyinit.so force revoke
session    include      password-auth
session    include      postlogin
# Used with polkit to reauthorize users in remote sessions
-session   optional     pam_reauthorize.so prepare

Como você pode ver, existem alguns arquivos de configuração genéricos, como password-auth, que podem ser incluídos e usados em outros arquivos de configuração repetidamente.

#%PAM-1.0
# This file is auto-generated.
# User changes will be destroyed the next time authconfig is run.
auth        required      pam_env.so
auth        required      pam_faildelay.so delay=2000000
auth        sufficient    pam_unix.so nullok try_first_pass
auth        requisite     pam_succeed_if.so uid >= 1000 quiet_success
auth        required      pam_deny.so

account     required      pam_unix.so
account     sufficient    pam_localuser.so
account     sufficient    pam_succeed_if.so uid < 1000 quiet
account     required      pam_permit.so

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=
password    sufficient    pam_unix.so sha512 shadow nullok try_first_pass use_authtok


password    required      pam_deny.so

session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
-session     optional      pam_systemd.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so

Esse é o local onde ficam os módulos do PAM

┌─[root@centos7lpi]──[21:17]──[~]
└─[73]─># ls /lib64/security/
pam_access.so     pam_ftp.so        pam_permit.so          pam_tally2.so
pam_cap.so        pam_group.so      pam_postgresok.so      pam_time.so
pam_chroot.so     pam_issue.so      pam_pwhistory.so       pam_timestamp.so
pam_console.so    pam_keyinit.so    pam_pwquality.so       pam_tty_audit.so
pam_cracklib.so   pam_lastlog.so    pam_rhosts.so          pam_umask.so
pam_debug.so      pam_limits.so     pam_rootok.so          pam_unix_acct.so
pam_deny.so       pam_listfile.so   pam_securetty.so       pam_unix_auth.so
pam_echo.so       pam_localuser.so  pam_selinux_permit.so  pam_unix_passwd.so
pam_env.so        pam_loginuid.so   pam_selinux.so         pam_unix_session.so
pam_exec.so       pam_mail.so       pam_sepermit.so        pam_unix.so
pam_faildelay.so  pam_mkhomedir.so  pam_shells.so          pam_userdb.so
pam_faillock.so   pam_motd.so       pam_stress.so          pam_warn.so
pam_filter        pam_namespace.so  pam_succeed_if.so      pam_wheel.so
pam_filter.so     pam_nologin.so    pam_systemd.so         pam_xauth.so

Se um novo método de autenticação for implementado (tal como leitores biométricos), este é o local em que o módulo deve ser colocado.

Para o exame LPIC2 é requerido conhecer os seguintes módulos:

• pam_unix;
• pam_cracklib;
• pam_limits;
• pam_listfile;
• pam_sss.

O arquivo nsswitch.conf determina a ordem em que os arquivos ou serviços são usados para executar respostas de autenticação ou autorizar algo no sistema.

# In order of likelihood of use to accelerate lookup.
shadow:     files sss
hosts:      files dns myhostname

aliases:    files
ethers:     files
gshadow:    files

A ordem de autenticação e o nsswitch.conf podem afetar a forma como a autenticação ocorre em nosso sistema, incluindo se outros módulos estiverem envolvidos, uma vez que são arquivos. Portanto uma das formas de executar um troubleshooting no PAM é editando o nsswitch.conf ajustando a ordem da autenticação.