PAM (Aufgaben)

In diesem Abschnitt werden einige Aufgaben beschrieben, die erforderlich sein können, um die Verwendung einer bestimmten Sicherheitsrichtlinie durch das PAM-Framework zu veranlassen. Beachten Sie die Sicherheitsprobleme, die mit der PAM-Konfigurationsdatei in Verbindung stehen. Weitere Informationen zu Sicherheitsproblemen finden Sie unter Planen Ihrer PAM-Implementierung.

PAM (Übersicht der Schritte)

Planen Ihrer PAM-Implementierung

Im Lieferzustand implementiert die Konfigurationsdatei pam.conf die Standardsicherheitsrichtlinie. Diese Richtlinie ist normalerweise für viele verschiedene Situationen geeignet. Wenn Sie eine andere Sicherheitsrichtlinie implementieren möchten, sollten Sie folgende Punkte besonders beachten:

• Legen Sie fest, welche Anforderungen Sie haben, insbesondere, welche PAM-Servicemodule Sie wählen sollten.

• Identifizieren Sie die Services, die spezielle Konfigurationsoptionen erfordern. Verwenden Sie gegebenenfalls other.

• Bestimmen Sie die Reihenfolge, in der die Module ausgeführt werden sollten.

• Wählen Sie das Steuer-Flag für jedes Modul. Weitere Informationen zu allen Steuer-Flags finden Sie unter Funktionsweise von PAM-Stacking.

• Wählen Sie alle erforderlichen Optionen für jedes Modul. Auf der Manpage für jedes Modul sollten alle speziellen Optionen aufgeführt werden.

Im Folgenden werden einige Vorschläge gemacht, die Sie vor dem Ändern der PAM-Konfigurationsdatei beachten sollten:

• Verwenden Sie other-Einträge für jeden Modultyp, sodass nicht jede Anwendung in /etc/pam.conf erfasst werden muss.

• Berücksichtigen Sie die Sicherheitsimplikationen der Steuer-Flags binding, sufficient und optional.

• Sehen Sie sich die Manpages zu den Modulen an. Auf diesen Manpages wird erläutert, wie die einzelnen Module funktionieren, welche Optionen verfügbar sind sowie welche Interaktionen zwischen gestapelten Modulen stattfinden.

  ---

  Achtung - Wenn die PAM-Konfigurationsdatei falsch konfiguriert oder fehlerhaft ist, kann sich möglicherweise kein Benutzer mehr anmelden. Da der Befehl sulogin PAM nicht verwendet, ist dann das Root-Passwort erforderlich, um den Rechner im Einzelbenutzermodus zu starten und das Problem zu beheben.

  ---

  Überprüfen Sie die Datei /etc/pam.conf nach dem Ändern so umfassend wie möglich, solange Sie noch Zugriff auf das System haben und Probleme beheben können. Testen Sie alle Befehle, die von Ihren Änderungen betroffen sein können. Ein Beispiel ist das Hinzufügen eines neuen Moduls zum Service telnet. In diesem Beispiel geben Sie den Befehl telnet ein und überprüfen, ob Ihre Änderungen zu dem gewünschten Verhalten des Service führen.

So fügen Sie ein PAM-Modul hinzu

Dieses Verfahren zeigt, wie Sie ein neues PAM-Modul hinzufügen. Neue Module können erstellt werden, um standortspezifische Sicherheitsrichtlinien abzudecken oder Anwendungen Dritter zu unterstützen.

1. Melden Sie sich als Superuser an oder nehmen Sie eine entsprechende Rolle an.

   Rollen umfassen Autorisierungen und privilegierte Befehle. Weitere Informationen zu Rollen finden Sie unter Konfigurieren von RBAC (Übersicht der Schritte).

2. Legen Sie fest, welche Steuer-Flags und anderen Optionen zu verwenden sind.

   Informationen zu Steuer-Flags erhalten Sie unter Funktionsweise von PAM-Stacking.

3. Stellen Sie sicher, dass root der Eigentümer der Moduldatei ist und die Berechtigungen 555 sind.
4. Bearbeiten Sie die PAM-Konfigurationsdatei /etc/pam.conf und fügen Sie dieses Modul den entsprechenden Services hinzu.
5. Überprüfen Sie, ob das Modul korrekt hinzugefügt wurde.

   Testen Sie dies für den Fall, dass die Konfigurationsdatei falsch konfiguriert ist, vor dem Neustart des Systems. Melden Sie sich mithilfe eines direkten Service wie ssh an und führen Sie vor dem Neustart des Systems den Befehl su aus. Der Service ist möglicherweise ein Dämon, der nur einmal beim Systemstart ausgeführt wird. Sie müssen das System dann neu starten, bevor Sie überprüfen können, ob das Modul hinzugefügt wurde.

So verhindern Sie mit PAM den Zugriff von Remote-Systemen im Rhost-Stil

1. Melden Sie sich als Superuser an oder nehmen Sie eine entsprechende Rolle an.

   Rollen umfassen Autorisierungen und privilegierte Befehle. Weitere Informationen zu Rollen finden Sie unter Konfigurieren von RBAC (Übersicht der Schritte).

2. Entfernen Sie alle Zeilen, die rhosts_auth.so.1 enthalten, aus der PAM-Konfigurationsdatei.

   Dieser Schritt verhindert, dass die ~/.rhosts-Dateien während einer rlogin-Sitzung gelesen werden. So wird nicht authentifizierter Zugriff von Remote-Systemen auf das lokale System verhindert. Jeglicher rlogin-Zugriff erfordert unabhängig von Vorhandensein und Inhalt von ~/.rhosts- oder /etc/hosts.equiv -Dateien ein Passwort.

3. Deaktivieren Sie den Service rsh.

   Um weiteren nicht authentifizierten Zugriff auf die ~/.rhosts-Dateien zu verhindern, deaktivieren Sie den Service rsh.

   # svcadm disable network/shell

So protokollieren Sie PAM-Fehlerberichte

1. Melden Sie sich als Superuser an oder nehmen Sie eine entsprechende Rolle an.

   Rollen umfassen Autorisierungen und privilegierte Befehle. Weitere Informationen zu Rollen finden Sie unter Konfigurieren von RBAC (Übersicht der Schritte).

2. Konfigurieren Sie die Datei /etc/syslog.conf für die Protokollierungsstufe, die Sie benötigen.

   Weitere Informationen zu Protokollierungsstufen finden Sie unter syslog.conf(4).

3. Aktualisieren Sie die Konfigurationsinformationen für den Dämon syslog.

   # svcadm refresh system/system-log