第 4 章 認證

下面是一些 PAM 和 NSS 訪問的重要配置檔案。

密碼選擇的限制是通過 PAM 模組 pam_unix(8) 和 pam_cracklib(8) 來實現的。它們可以通過各自的引數進行配置。

	提示
	PAM 模組在檔名中使用字尾 “.so”。

現代的集中式系統管理可以使用集中式的輕量目錄訪問協議（LDAP）伺服器進行部署，從而通過網路管理許多類 Unix 和 非類 Unix 系統。輕量目錄訪問協議的開源實現是 OpenLDAP 軟體。

LDAP 伺服器使用帶有 PAM 和 NSS 的libpam-ldap 和 libnss-ldap 軟體包為 Debian 系統提供賬號資訊。需要一些動作來啟用 LDAP（我沒有使用過這個設定，並且下面的資訊純粹是第二手的資訊。請在這種前提下閱讀下列內容。）。

參見由 libpam-doc 軟體包提供的 pam_ldap.conf(5) 中的文件和 “/usr/share/doc/libpam-doc/html/”，以及 glibc-doc 軟體包提供的 “info libc 'Name Service Switch'”。

類似地，你可以使用其它方法來設定另一種集中式的系統。

這是在舊的 “info su” 底部 Richard M. Stallman 所說的一句名言。別擔心：Debian 系統中當前的 su 命令使用了 PAM，這樣當在 “/etc/pam.d/su” 中啟用了帶有 “pam_wheel.so” 的行後，就能夠限制非 wheel 組的使用者 su 到 root 組的能力。

password required pam_cracklib.so retry=3 minlen=9 difok=3
password [success=1 default=ignore] pam_unix.so use_authtok nullok md5
password requisite pam_deny.so
password required pam_permit.so

sudo(8) 程式是為了使一個系統管理員可以給使用者受限的 root 許可權並記錄 root 活動而設計的。sudo 只需要一個普通使用者的密碼。安裝 sudo 軟體包並通過設定 “/etc/sudoers” 中的選項來使用它。參見 “/usr/share/doc/sudo/examples/sudoers” 和 第 1.1.12 节 “sudo 配置” 中的配置示例。

我將 sudo 用於單使用者系統（參見 第 1.1.12 节 “sudo 配置”）是為了防止自己可能做出的愚蠢行為。就我個人而言，我認為使用 sudo 會比使用 root 賬號作業系統來得好。例如，下列命令將 “<some_file>” 的擁有者改變為 “<my_name>”。

$ sudo chown <my_name> <some_file>

當然如果你知道 root 密碼（比如自行安裝 Debian 的使用者所做的），任何使用者賬號都可以使用 “su -c” 讓任何命令以 root 執行。

PolicyKit 是在類 Unix 作業系統中控制整個系統許可權的一個作業系統元件。

新的 GUI 圖形介面程式，在設計的時候，不是作為特權程序來執行。它們通過 PolicyKit 來和特權程序通訊，執行管理操作。

在 Debian 系統中，PolicyKit 限制了屬於 sudo 組的使用者賬號的這種操作。

參見 polkit(8)。

Security-Enhanced Linux (SELinux) 是一個收緊許可權模組的框架，它比普通的類 Unix 安全模組 mandatory access control (MAC) 策略更嚴格。 root 許可權在某些條件下被限制。

對系統安全而言，儘可能的禁用服務程式，是一個好的主意。網路服務是危險的。有不使用的服務，不管是直接由後臺守護程序（daemon）啟用，還是通過super-server 程式啟用，都被認為是安全風險。

許多程式,比如說 sshd(8), 使用基於 PAM 的訪問控制。也還有許多方式來限制訪問一些服務端的程式。

參見 第 3.2.6 节 “systemd 下的系統管理”, 第 4.5.1 节 “PAM 和 NSS 訪問的配置檔案”, 和 第 5.10 节 “Netfilter 網路過濾框架”.

許多流行的傳輸層服務，互動資訊使用純文字的密碼認證。這是非常差的方式，通過公共的網際網路傳輸純文字密碼，密碼能夠被截獲到。你能夠執行這些服務，使用 "Transport Layer Security" (TLS) 或它的前身, "Secure Sockets Layer" (SSL) ，通過加密來使包括密碼在內的整個通訊更加安全。

加密消耗 CPU 時間。作為對 CPU 有益的替代方案，你可以保持使用純文字通訊，僅僅使用安全認證協議加密密碼，比如說：POP 使用"Authenticated Post Office Protocol" (APOP)，SMTP 和 IMAP 使用 "Challenge-Response Authentication Mechanism MD5" (CRAM-MD5)。（你的郵件客戶端通過網際網路上你的郵件伺服器傳送郵件時，最近流行使用新的遞交埠 587 來代替傳統的 SMTP 埠 25，這樣可以避免在使用 CRAM-MD5 認證自己時，網路提供商阻塞 25 埠。）

安全 Shell (SSH) 程式使用安全認證來提供不安全網路上兩個不可信任主機之間的安全加密通訊。它由 OpenSSH 客戶端, ssh(1), 和 OpenSSH 後臺守護程序（daemon）, sshd(8)組成.SSH 使用埠轉發特性，可以給 POP 和 X 之類的不安全的協議通訊建立隧道，使其可以在網際網路上安全傳輸。

客戶端可以使用如下方式來認證自己：基於主機的認證、公鑰認證、質疑應答認證、密碼認證。使用公鑰認證，可以實現遠端免密碼登入。參見 第 6.9 节 “伺服器遠端訪問和工具 (SSH)”.

即使你執行 Secure Shell (SSH) 和 Point-to-point tunneling protocol (PPTP) 這樣的安全服務，在網際網路上，仍然有機會使用野蠻暴力猜測密碼攻擊進入。 使用防火牆策略 (參見 第 5.10 节 “Netfilter 網路過濾框架”)，並和下面的安全工具一起，可以提升安全形勢。

為阻止人們使用 root 許可權訪問你的機器，你需要做下面的操作。

• 阻止對硬碟的物理訪問

• 鎖住 BIOS 來阻止從可移動介質啟動

• 為 GRUB 互動式會話設定密碼

• 鎖住 GRUB 選單，禁止編輯

如果可以物理訪問硬碟，則可以使用下面的步驟，相對簡單的重置密碼。

1. 將硬碟拿到一個可以設定 BIOS 從CD 啟動的電腦。

2. 使用緊急介質啟動系統（Debian 啟動磁碟, Knoppix CD, GRUB CD, …）。

3. 用讀寫訪問掛載根分割槽。

4. 編輯根分割槽的"/etc/passwd"檔案，使 root 賬戶條目的第二段為空。

對於 grub-rescue-pc ，即使用緊急介質啟動的電腦，如果有編輯 GRUB 選單條目 (參見 第 3.1.2 节 “第二階段：引載加載程序”) 的許可權，在啟動時，使用下面的步驟更加簡單。

系統的 root shell 現在可以無密碼訪問了。

為避免這些相關問題，僅有的理論上的軟體解決方案是使用 dm-crypt 和 initramfs (參見 第 9.8 节 “資料加密提示”)加密 root 分割槽(或 "/etc" 分割槽) 。這樣的話，你總是需要密碼來啟動系統。