PAM (tareas)

En esta sección, se tratan algunas tareas que pueden ser necesarias para que la estructura PAM use una determinada política de seguridad. Debe tener en cuenta algunos problemas de seguridad asociados al archivo de configuración de PAM. Para obtener información sobre los problemas de seguridad, consulte Planificación de la implementación de PAM.

PAM (mapa de tareas)

Planificación de la implementación de PAM

Tal como se suministra, el archivo de configuración pam.conf implementa la política de seguridad estándar. Esta política funciona en diversas situaciones. Si debe implementar una política de seguridad distinta, aquí se muestran los problemas en los que se debe centrar:

• Determine cuáles son sus necesidades, especialmente qué módulos de servicios PAM debe seleccionar.

• Identifique los servicios que necesitan opciones de configuración especiales. Use other si corresponde.

• Decida el orden en que se deben ejecutar los módulos.

• Seleccione el indicador de control para cada módulo. Consulte Cómo funciona el apilamiento PAM para obtener más información sobre todos los indicadores de control.

• Seleccione las opciones que son necesarias para cada módulo. La página del comando man de cada módulo debe enumerar las opciones especiales.

A continuación, exponemos algunas sugerencias que se deben tener en cuenta antes de cambiar el archivo de configuración de PAM:

• Utilice entradas other para cada tipo de módulo para que no sea necesario incluir cada aplicación en /etc/pam.conf.

• Asegúrese de tener en cuenta las consecuencias para la seguridad de los indicadores de control binding, sufficient y optional.

• Revise las páginas del comando man que están asociadas a los módulos. Estas páginas del comando man puede ayudar a comprender cómo funciona cada módulo, qué opciones están disponibles y las interacciones entre los módulos apilados.

  ---

  Precaución - Si el archivo de configuración de PAM no está configurado correctamente o se daña el archivo, es posible que ningún usuario pueda iniciar sesión. Como el comando sulogin no utiliza PAM, se necesita la contraseña de usuario root para iniciar el equipo en modo de usuario único y corregir el problema.

  ---

  Después de cambiar el archivo /etc/pam.conf, revise el archivo lo más posible mientras sigue teniendo acceso al sistema para corregir problemas. Pruebe todos los comandos que posiblemente hayan sido afectados por los cambios. Un ejemplo es agregar un módulo nuevo al servicio telnet . En este ejemplo, debe utilizar el comando telnet y verificar que los cambios hacen que el comportamiento del servicio sea el esperado.

Cómo agregar un módulo PAM

Este procedimiento muestra cómo agregar un nuevo módulo PAM. Es posible crear nuevos módulos para satisfacer políticas de seguridad específicas del sitio o para admitir aplicaciones de terceros.

1. Conviértase en superusuario o asuma un rol similar.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas).

2. Determine qué indicadores de control y qué otras opciones se deben utilizar.

   Consulte Cómo funciona el apilamiento PAM para obtener información sobre los indicadores de control.

3. Asegúrese de que la propiedad y los permisos estén definidos de modo que el archivo del módulo sea propiedad de root y los permisos sean 555.
4. Edite el archivo de configuración de PAM, /etc/pam.conf, y agregue este módulo a los servicios apropiados.
5. Verifique que el módulo se haya agregado correctamente.

   Debe realizar una prueba antes de reiniciar el sistema en caso de que el archivo de configuración no esté configurado correctamente. Inicie sesión con un servicio directo, como ssh, y ejecute el comando su antes de reiniciar el sistema. El servicio puede ser un daemon que se reproduce sólo una vez cuando se inicia el sistema. A continuación, debe reiniciar el sistema para poder verificar que el módulo se haya agregado.

Cómo evitar el acceso de tipo .rhost desde sistemas remotos con PAM

1. Conviértase en superusuario o asuma un rol similar.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas).

2. Elimine todas las líneas que incluyen rhosts_auth.so.1 del archivo de configuración de PAM.

   Este paso impide la lectura de los archivos ~/.rhosts durante una sesión rlogin. Por lo tanto, este paso impide el acceso no autenticado al sistema local desde sistemas remotos. Cualquier acceso rlogin requiere una contraseña, independientemente de la presencia o el contenido de los archivos ~/.rhosts o /etc/hosts.equiv.

3. Deshabilite el servicio rsh.

   Para impedir cualquier otro acceso no autenticado a los archivos ~/.rhosts, recuerde que debe deshabilitar el servicio rsh.

   # svcadm disable network/shell

Cómo registrar los informes de errores de PAM

1. Conviértase en superusuario o asuma un rol similar.

   Los roles incluyen autorizaciones y comandos con privilegios. Para obtener más información sobre los roles, consulte Configuración de RBAC (mapa de tareas).

2. Configure el archivo /etc/syslog.conf para el nivel de registro que necesita.

   Consulte syslog.conf(4) para obtener más información sobre los niveles de registro.

3. Actualice la información de configuración del daemon syslog.

   # svcadm refresh system/system-log