Schützen von Anmeldungen und Passwörtern

Sie können Remote-Anmeldungen einschränken und festlegen, dass Benutzer Passwörter benötigen. Sie können außerdem fehlgeschlagene Zugriffsversuche überwachen und Anmeldungen vorübergehend deaktivieren.

So zeigen Sie den Anmeldestatus eines Benutzers an

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Zeigen Sie mit dem Befehl logins den Anmeldestatus eines Benutzers an.
```
# logins -x -l username
```
-x

Zeigt einen erweiterten Satz von Anmeldestatusinformationen an

-l username

Zeigt den Anmeldestatus des angegebenen Benutzers an. Die Variable username entspricht dem Anmeldenamen eines Benutzers. Mehrere Anmeldedaten müssen in einer durch Komma getrennten Liste angegeben werden.

Der Befehl logins ruft den Anmeldestatus des Benutzers aus der entsprechenden Passwortdatenbank ab. Bei der Datenbank kann es sich um die lokale Datei /etc/passwd oder eine Passwortdatenbank des Naming Service handeln. Weitere Informationen finden Sie auf der Manpage logins(1M).

Beispiel 3-1 Anzeigen des Anmeldestatus eines Benutzers

In dem folgenden Beispiel wird der Anmeldestatus des Benutzers rimmer angezeigt.

# logins -x -l rimmer
rimmer       500     staff           10   Annalee J. Rimmer
                     /export/home/rimmer
                     /bin/sh
                     PS 010103 10 7 -1

rimmer

Entspricht dem Anmeldenamen des Benutzers

500

Entspricht der Benutzer-ID (UID, User ID)

staff

Entspricht der primären Gruppe des Benutzers

10

Entspricht der Gruppen-ID (GID)

Annalee J. Rimmer

Entspricht dem Kommentar

/export/home/rimmer

Entspricht dem Home-Verzeichnis des Benutzers

/bin/sh

Entspricht der Anmelde-Shell

PS 010170 10 7 -1

Gibt die Passwort-Datierungsinformationen an:

Datum der letzten Passwortänderung
Anzahl der Tage, die zwischen Änderungen erforderlich sind
Anzahl der Tage, bevor eine Änderung erforderlich ist
Warnungszeitraum

So zeigen Sie Benutzer ohne Passwort an

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Zeigen Sie mit dem Befehl logins alle Benutzer ohne Passwort an.
```
# logins -p
```
Mit der Option -p zeigen Sie eine Liste von Benutzern ohne Passwort an. Der Befehl logins greift auf die Passwortdatenbank des lokalen Systems zu, wenn kein Naming Service aktiviert ist.

Beispiel 3-2 Anzeigen von Benutzern ohne Passwort

In dem folgenden Beispiel verfügt der Benutzer pmorph über kein Passwort.

# logins -p
pmorph          501     other           1       Polly Morph
#

So deaktivieren Sie Benutzeranmeldungen vorübergehend

Deaktivieren Sie Benutzeranmeldungen vorübergehend während einer Systemabschaltung oder Routinewartung. Superuser-Anmeldungen sind nicht betroffen. Weitere Informationen finden Sie auf der Manpage nologin(4).

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Erstellen Sie die Datei /etc/nologin in einem Texteditor.
```
# vi /etc/nologin
```
Geben Sie eine Nachricht zur Systemverfügbarkeit ein.
Schließen und speichern Sie die Datei.

Beispiel 3-3 Deaktivieren von Benutzeranmeldungen

In diesem Beispiel werden Benutzer darüber informiert, dass das System nicht verfügbar ist.

# vi /etc/nologin
(Add system message here)
 
# cat /etc/nologin 
***No logins permitted.***

***The system will be unavailable until 12 noon.***

Sie können das System auch auf Runlevel 0, Einzelbenutzermodus, herunterschalten, um Anmeldungen zu deaktivieren. Weitere Informationen zum Herunterschalten des Systems in den Einzelbenutzermodus finden Sie in Kapitel 10, Shutting Down a System (Tasks) in System Administration Guide: Basic Administration.

So überwachen Sie fehlgeschlagene Anmeldeversuche

Mit diesem Verfahren können Sie fehlgeschlagene Anmeldeversuche von Terminalfenstern überwachen. Anmeldeversuche oder fehlgeschlagene Anmeldeversuche von einer CDE können nicht verfolgt werden.

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Erstellen Sie die Datei loginlog im Verzeichnis /var/adm.
```
# touch /var/adm/loginlog
```
Legen Sie fest, dass der root-Benutzer über Lese- und Schreibzugriff auf die Datei loginlog verfügt.
```
# chmod 600 /var/adm/loginlog
```
Ändern Sie die Gruppenmitgliedschaft der Datei loginlog in sys.
```
# chgrp sys /var/adm/loginlog
```
Vergewissern Sie sich, dass Anmeldeversuche im Protokoll gespeichert werden.
Melden Sie sich beispielsweise fünfmal mit dem falschen Passwort an. Zeigen Sie dann die Datei /var/adm/loginlog an.
```
# more /var/adm/loginlog
jdoe:/dev/pts/2:Tue Nov  4 10:21:10 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:21 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:30 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:40 2010
jdoe:/dev/pts/2:Tue Nov  4 10:21:49 2010
#
```
Die Datei loginlog enthält für jeden fehlgeschlagenen Versuch einen Eintrag. Jeder Eintrag enthält den Anmeldenamen des Benutzers, TTY-Gerät und die Uhrzeit des fehlgeschlagenen Versuchs. Bei weniger als fünf fehlgeschlagenen Versuchen werden keine Einträge in das Protokoll aufgenommen.
Wenn sich die Datei loginlog vergrößert, kann dies auf einen Einbruchsversuch in das Computersystem deuten. Überprüfen und löschen Sie deshalb regelmäßig den Inhalt der Datei. Weitere Informationen finden Sie auf der Manpage loginlog(4).

So überwachen Sie alle fehlgeschlagenen Anmeldeversuche

Mit diesem Verfahren werden alle fehlgeschlagenen Anmeldeversuche im syslog aufgezeichnet.

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Richten Sie die Datei /etc/default/login mit den gewünschten Werten für SYSLOG und SYSLOG_FAILED_LOGINS ein.
Bearbeiten Sie die Datei /etc/default/login, um den Eintrag zu ändern. Stellen Sie sicher, dass SYSLOG=YES nicht auskommentiert ist.
```
# grep SYSLOG /etc/default/login
# SYSLOG determines whether the syslog(3) LOG_AUTH facility 
# should be used
SYSLOG=YES
…
SYSLOG_FAILED_LOGINS=0
#
```
Erstellen Sie eine Datei mit den richtigen Berechtigungen, um die Protokollinformationen aufzunehmen.
1. Erstellen Sie die Datei authlog im Verzeichnis /var/adm.
```
# touch /var/adm/authlog
```
2. Legen Sie fest, dass der root-Benutzer über Lese- und Schreibzugriff auf die Datei authlog verfügt.
```
# chmod 600 /var/adm/authlog
```
3. Ändern Sie die Gruppenmitgliedschaft der Datei authlog in sys.
```
# chgrp sys /var/adm/authlog
```
Bearbeiten Sie die Datei syslog.conf, um fehlgeschlagene Anmeldeversuche aufzuzeichnen.
Die Fehlschläge sollten in die Datei authlog geschrieben werden.
1. Geben Sie den folgenden Eintrag in die Datei syslog.conf ein.
  Felder in derselben Zeile müssen in syslog.conf durch Tabulatorzeichen getrennt werden.
```
auth.notice <Press Tab>  /var/adm/authlog
```
2. Aktualisieren Sie die Konfigurationsinformationen für den Dämon syslog.
```
# svcadm refresh system/system-log
```
Vergewissern Sie sich, dass Anmeldeversuche im Protokoll gespeichert werden.
Melden Sie sich beispielsweise als normaler Benutzer mit einem falschen Passwort beim System an. Zeigen Sie dann mit der Rolle "Primary Administrator" oder als Superuser die Datei /var/adm/authlog an.
```
# more /var/adm/authlog
Nov  4 14:46:11 example1 login: [ID 143248 auth.notice] 
 Login failure on /dev/pts/8 from example2, stacey
#
```
Überwachen Sie regelmäßig die Datei /var/adm/authlog.

Beispiel 3-4 Protokollieren von Anmeldeversuchen nach drei fehlgeschlagenen Anmeldungen

Führen Sie das oben stehende Verfahren aus mit dem Unterschied, dass Sie SYSLOG_FAILED_LOGINS in der Datei /etc/default/login auf 3 einstellen.

Beispiel 3-5 Trennen der Verbindung nach drei fehlgeschlagenen Anmeldungen

Entfernen Sie die Auskommentierung von RETRIES in der Datei /etc/default/login und stellen Sie den Wert von RETRIES auf 3 ein. Ihre Änderungen sind sofort wirksam. Nach drei Anmeldeversuchen in einer Sitzung wird die Verbindung des Systems getrennt.

So erstellen Sie ein Einwahl-Passwort

Achtung - Achten Sie bei der ersten Einrichtung eines Einwahl-Passworts darauf, bei mindestens einem Port angemeldet zu bleiben. Testen Sie das Passwort auf einem anderen Port. Wenn Sie sich abmelden, um das neue Passwort zu testen, können Sie sich möglicherweise nicht mehr anmelden. Wenn Sie weiterhin bei einem anderen Port angemeldet sind, können Sie zurückkehren und den Fehler korrigieren.

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Erstellen Sie eine Datei /etc/dialups, die eine Liste von seriellen Geräten enthält.
Schließen Sie alle Ports ein, die durch Einwahl-Passwörter geschützt werden. Die Datei /etc/dialups sollte etwa folgendermaßen aussehen:
```
/dev/term/a
/dev/term/b
/dev/term/c
```
Erstellen Sie eine Datei /etc/d_passwd mit den Anmeldeprogrammen, für die ein Einwahl-Passwort erforderlich sein soll.
Schließen Sie die Shell-Programme ein, die ein Benutzer bei der Anmeldung ausführen kann, beispielsweise uucico, sh, ksh und csh. Die Datei /etc/d_passwd sollte etwa folgendermaßen aussehen:
```
/usr/lib/uucp/uucico:encrypted-password:
/usr/bin/csh:encrypted-password:
/usr/bin/ksh:encrypted-password:
/usr/bin/sh:encrypted-password:
/usr/bin/bash:encrypted-password:
```
Zu einem späteren Zeitpunkt fügen Sie in diesem Verfahren das verschlüsselte Passwort für die einzelnen Anmeldeprogramme hinzu.
Legen Sie fest, dass root der Eigentümer der beiden Dateien ist.
```
# chown root /etc/dialups /etc/d_passwd
```
Legen Sie root als Gruppeneigentümerschaft für die beiden Dateien fest.
```
# chgrp root /etc/dialups /etc/d_passwd
```
Legen Sie fest, dass der root-Benutzer über Lese- und Schreibzugriff auf die beiden Dateien verfügt.
```
# chmod 600 /etc/dialups /etc/d_passwd
```
Erstellen Sie die verschlüsselten Passwörter.
1. Erstellen Sie einen vorübergehenden Benutzer.
```
# useradd username
```
2. Erstellen Sie ein Passwort für den vorübergehenden Benutzer.
```
# passwd username
New Password:  <Type password>
Re-enter new Password:   <Retype password>
passwd: password successfully changed for username
```
3. Erfassen Sie das verschlüsselte Passwort.
```
# grep username /etc/shadow > username.temp
```
4. Bearbeiten Sie die Datei username.temp.
  Löschen Sie alle Felder außer dem verschlüsselten Passwort. Das zweite Feld enthält das verschlüsselte Passwort.
  Beispielsweise enthält die folgende Zeile das verschlüsselte Passwort U9gp9SyA/JlSk.
```
temp:U9gp9SyA/JlSk:7967:::::7988:
```
5. Löschen Sie den vorübergehenden Benutzer.
```
# userdel username
```
Kopieren Sie das verschlüsselte Passwort aus der Datei username.temp in die Datei /etc/d_passwd.
Sie können ein anderes Passwort für jede Anmelde-Shell erstellen. Sie können auch für jede Anmelde-Shell das gleiche Passwort verwenden.
Teilen Sie Ihren Einwahl-Benutzern das Passwort mit.
Achten Sie darauf, dass dies auf sicherem Wege geschieht.

So deaktivieren Sie Einwahl-Anmeldungen vorübergehend

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Fügen Sie folgenden einzeiligen Eintrag in die Datei /etc/d_passwd ein:
```
/usr/bin/sh:*:
```

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Sicherheitsservices