PAM - Revision history

Iliivik at 09:40, 9 December 2011

2011-12-09T09:40:15Z

Gratsep at 17:21, 25 November 2011

2011-11-25T17:21:01Z

← Older revision		Revision as of 20:21, 25 November 2011
Line 1:		Line 1:
	=Sissejuhatus=		=Sissejuhatus=
			[[Category: Operatsioonisüsteemide administreerimine ja sidumine]]

	'''PAM''' ehk '''Pluggable authentication modules on mehhanism''', kus on mitu madala-taseme autentimise skeemi integreeritud ühte kõrgeima taseme API’sse.		'''PAM''' ehk '''Pluggable authentication modules on mehhanism''', kus on mitu madala-taseme autentimise skeemi integreeritud ühte kõrgeima taseme API’sse.

Iliivik: /* ldd */

2011-11-24T21:39:35Z

ldd

← Older revision		Revision as of 00:39, 25 November 2011
Line 50:		Line 50:
	==ldd==		==ldd==

	Kui klientprogrammiga pöördutakse serveri poole, siis peab PAMi moodulitega oskama suhelda mitte autentimisega seotud klientprogramm, vaid vastav server, näiteks sshd, gdm, vsftpd.		Kui klientprogrammiga pöördutakse serveri poole, siis peab PAMi moodulitega oskama suhelda mitte autentimisega seotud klientprogramm, vaid vastav server, näiteks ''sshd, gdm, vsftpd.''
	Kas see on nii, võib järele vaadata programmiga ldd :		Kas see on nii, võib järele vaadata programmiga ldd :

Line 61:		Line 61:
	/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)		/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)
	libcrypt.so.1 => /lib/libcrypt.so.1 (0x40164000)		libcrypt.so.1 => /lib/libcrypt.so.1 (0x40164000)
	libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)		libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)


	=Moodulid=		=Moodulid=

Iliivik: /* Sissejuhatus */

2011-11-24T21:38:33Z

Sissejuhatus

Iliivik at 17:33, 19 November 2011

2011-11-19T17:33:14Z

← Older revision		Revision as of 20:33, 19 November 2011
Line 173:		Line 173:

	Iti Liivik A22 2011 sügis		Iti Liivik A22 2011 sügis

	--[[User:Iliivik\|Iliivik]] 19:32, 19 November 2011 (EET)		--[[User:Iliivik\|Iliivik]] 19:32, 19 November 2011 (EET)

Iliivik at 17:32, 19 November 2011

2011-11-19T17:32:40Z

← Older revision		Revision as of 20:32, 19 November 2011
Line 10:		Line 10:
	PAM-i toetab ka Mac OS X.		PAM-i toetab ka Mac OS X.

	==~~Tehnilised_faktid~~==		==Tehnilised faktid==

	o PAM kasutab dünaamiliselt seotud koodi.		o PAM kasutab dünaamiliselt seotud koodi.
Line 173:		Line 173:

	Iti Liivik A22 2011 sügis		Iti Liivik A22 2011 sügis
			--[[User:Iliivik\|Iliivik]] 19:32, 19 November 2011 (EET)


	==Lingid==		==Lingid==
	http://www.linuxjournal.com/article/10278		http://www.linuxjournal.com/article/10278

Iliivik at 17:32, 19 November 2011

2011-11-19T17:32:01Z

← Older revision		Revision as of 20:32, 19 November 2011
Line 10:		Line 10:
	PAM-i toetab ka Mac OS X.		PAM-i toetab ka Mac OS X.

	== Tehnilised_faktid == :		==Tehnilised_faktid==

	o PAM kasutab dünaamiliselt seotud koodi.		o PAM kasutab dünaamiliselt seotud koodi.

Iliivik at 17:31, 19 November 2011

2011-11-19T17:31:00Z

← Older revision		Revision as of 20:31, 19 November 2011
Line 10:		Line 10:
	PAM-i toetab ka Mac OS X.		PAM-i toetab ka Mac OS X.

	== ~~Tehnilised faktid~~ == :		== Tehnilised_faktid == :

	o PAM kasutab dünaamiliselt seotud koodi.		o PAM kasutab dünaamiliselt seotud koodi.
Line 53:		Line 53:
	Kas see on nii, võib järele vaadata programmiga ldd :		Kas see on nii, võib järele vaadata programmiga ldd :

	bash# ldd /usr/bin/passwd		bash# ldd /usr/bin/passwd
	libdl.so.2 => /lib/libdl.so.2 (0x40019000)		libdl.so.2 => /lib/libdl.so.2 (0x40019000)
			libpam.so.0 => /lib/libpam.so.0 (0x4001d000)
	libpam.so.0 => /lib/libpam.so.0 (0x4001d000)		libpam_misc.so.0 => /lib/libpam_misc.so.0 (0x40025000)
			libpwdb.so.0 => /lib/libpwdb.so.0 (0x40028000)
	libpam_misc.so.0 => /lib/libpam_misc.so.0 (0x40025000)		libc.so.6 => /lib/libc.so.6 (0x40071000)
			/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)
	libpwdb.so.0 => /lib/libpwdb.so.0 (0x40028000)		libcrypt.so.1 => /lib/libcrypt.so.1 (0x40164000)
			libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)
	libc.so.6 => /lib/libc.so.6 (0x40071000)

	/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)

	libcrypt.so.1 => /lib/libcrypt.so.1 (0x40164000)

	libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)

Iliivik at 17:28, 19 November 2011

2011-11-19T17:28:44Z

← Older revision		Revision as of 20:28, 19 November 2011
Line 10:		Line 10:
	PAM-i toetab ka Mac OS X.		PAM-i toetab ka Mac OS X.

	==[Tehnilised faktid]==:		== Tehnilised faktid == :

	o PAM kasutab dünaamiliselt seotud koodi.		o PAM kasutab dünaamiliselt seotud koodi.
Line 53:		Line 53:
	Kas see on nii, võib järele vaadata programmiga ldd :		Kas see on nii, võib järele vaadata programmiga ldd :

	bash# ldd /usr/bin/passwd		bash# ldd /usr/bin/passwd
	libdl.so.2 => /lib/libdl.so.2 (0x40019000)		libdl.so.2 => /lib/libdl.so.2 (0x40019000)
	libpam.so.0 => /lib/libpam.so.0 (0x4001d000)
	libpam_misc.so.0 => /lib/libpam_misc.so.0 (0x40025000)		libpam.so.0 => /lib/libpam.so.0 (0x4001d000)
	libpwdb.so.0 => /lib/libpwdb.so.0 (0x40028000)
	libc.so.6 => /lib/libc.so.6 (0x40071000)		libpam_misc.so.0 => /lib/libpam_misc.so.0 (0x40025000)
	/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)
	libcrypt.so.1 => /lib/libcrypt.so.1 (0x40164000)		libpwdb.so.0 => /lib/libpwdb.so.0 (0x40028000)
	libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)
			libc.so.6 => /lib/libc.so.6 (0x40071000)

			/lib/ld-linux.so.2 => /lib/ld-linux.so.2 (0x40000000)

			libcrypt.so.1 => /lib/libcrypt.so.1 (0x40164000)

			libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)


	=Moodulid=		=Moodulid=
Line 116:		Line 124:

	Moodulitüübid:		Moodulitüübid:

	auth - autendib kasutaja ja annab talle nt tema grupist tulenevad õigused.		auth - autendib kasutaja ja annab talle nt tema grupist tulenevad õigused.
	account - otsustab, kas kasutajat teenindada.		account - otsustab, kas kasutajat teenindada.

Iliivik at 17:26, 19 November 2011

2011-11-19T17:26:34Z

← Older revision		Revision as of 20:26, 19 November 2011
Line 1:		Line 1:
	===Sissejuhatus===		=Sissejuhatus=

	PAM ehk Pluggable authentication modules on mehhanism, kus on mitu madala-taseme autentimise skeemi integreeritud ühte kõrgeima taseme API’sse.		PAM ehk Pluggable authentication modules on mehhanism, kus on mitu madala-taseme autentimise skeemi integreeritud ühte kõrgeima taseme API’sse.
Line 12:		Line 12:
	==[Tehnilised faktid]==:		==[Tehnilised faktid]==:

	o PAM kasutab dünaamiliselt seotud koodi.		o PAM kasutab dünaamiliselt seotud koodi.

	o Juhul kui dünaamiline algorütm ei tööta , siis rakendatakse PAM’is tagavara staatiline linkimise algorütm.		o Juhul kui dünaamiline algorütm ei tööta , siis rakendatakse PAM’is tagavara staatiline linkimise algorütm.

	o PAM-i realisatsioonid ei tööta sarnaselt – nt. Linux’i ja NetBSD PAM’id on suhteliselt erinevad.		o PAM-i realisatsioonid ei tööta sarnaselt – nt. Linux’i ja NetBSD PAM’id on suhteliselt erinevad.

	o Standartse Linux’i autentimise skeem kasutab PAM’i juurdepääsu õiguste kontrollimiseks.		o Standartse Linux’i autentimise skeem kasutab PAM’i juurdepääsu õiguste kontrollimiseks.

	o Vaikimisi konfiguratsiooni failid asuvad /etc/pam.d ja /etc/security .		o Vaikimisi konfiguratsiooni failid asuvad /etc/pam.d ja /etc/security .

	o /ETC/PAM.D on kataloog, kus saab iga rakenduse kohta ära määrate PAM-i moodulite kasutamise ehk siis teiste sõnadega ära määrata autentimise skeemi.		o /ETC/PAM.D on kataloog, kus saab iga rakenduse kohta ära määrate PAM-i moodulite kasutamise ehk siis teiste sõnadega ära määrata autentimise skeemi.

	o Näiteks paigutades mingi faili /etc/pam.d kataloogi, siis võib määrata et alguses klient autentib parooliga, kui see klappib siis tema rühma ja kasutaja nime kontrollitakse access_list mooduli kaudu, siis kontrollitakse kas IP aadress (kui on) klapib sellele kasutajale lubatud ligipääsu õigustega. Juhul kui tingimused pole täidetud, siis ligipääsu andmisest keeldutakse. Õnnestumise puhul võite kirjeldada ka edaspidiste kontrollimiste algorütmi – nt. pam_time mooduli järgi kontrollimine: s.t. Kontroll kas just sel päeval ja kellaajal on kasutajal õigus ligipääsemiseks.		o Näiteks paigutades mingi faili /etc/pam.d kataloogi, siis võib määrata et alguses klient autentib parooliga, kui see klappib siis tema rühma ja kasutaja nime kontrollitakse access_list mooduli kaudu, siis kontrollitakse kas IP aadress (kui on) klapib sellele kasutajale lubatud ligipääsu õigustega. Juhul kui tingimused pole täidetud, siis ligipääsu andmisest keeldutakse. Õnnestumise puhul võite kirjeldada ka edaspidiste kontrollimiste algorütmi – nt. pam_time mooduli järgi kontrollimine: s.t. Kontroll kas just sel päeval ja kellaajal on kasutajal õigus ligipääsemiseks.

	o Kõikide kontrollide õnnestumise puhul saab kasutaja ligipääsu, aga kui vähemalt üks tingimustest ei ole kooskõlas, siis süsteem keeldub ligipääsu andmast, vaatamata sellele kas parool on õige või vale.		o Kõikide kontrollide õnnestumise puhul saab kasutaja ligipääsu, aga kui vähemalt üks tingimustest ei ole kooskõlas, siis süsteem keeldub ligipääsu andmast, vaatamata sellele kas parool on õige või vale.

	===PAM===		=PAM=

	Paljude programmide kasutamine algab kasutajanime ja parooli sisestamisega. Traditsiooniliselt sisaldasid sellised programmid ise kõike vajalikku kasutaja autentimiseks.		Paljude programmide kasutamine algab kasutajanime ja parooli sisestamisega. Traditsiooniliselt sisaldasid sellised programmid ise kõike vajalikku kasutaja autentimiseks.
Line 63:		Line 63:
	libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)		libnsl.so.1 => /lib/libnsl.so.1 (0x40191000)

	===Moodulid===		=Moodulid=

	Erinevate autentimissüsteemide kasutamiseks on vaja kasutada vastavaid PAMi mooduleid.		Erinevate autentimissüsteemide kasutamiseks on vaja kasutada vastavaid PAMi mooduleid.
Line 81:		Line 81:


	=Spetsiaalsed moodulid, mis võimaldavad:=		==Spetsiaalsed moodulid, mis võimaldavad:==

	•pam_time.so - reguleerida programmi kasutamist ajaliselt		•pam_time.so - reguleerida programmi kasutamist ajaliselt
Line 96:		Line 96:
	[[File:PAMJoonis.jpg]]		[[File:PAMJoonis.jpg]]

	===PAMi konfigureerimine===		=PAMi konfigureerimine=

	PAMi konfigureerimine toimub vaikimisi kataloogis /etc/pam.d sisalduvate failide redigeerimisel.		PAMi konfigureerimine toimub vaikimisi kataloogis /etc/pam.d sisalduvate failide redigeerimisel.
Line 102:		Line 102:

	auth required /lib/security/pam_pwdb.so shadow nullok		auth required /lib/security/pam_pwdb.so shadow nullok

	account required /lib/security/pam_pwdb.so		account required /lib/security/pam_pwdb.so

	password required /lib/security/pam_cracklib.so retry=3		password required /lib/security/pam_cracklib.so retry=3

	password required /lib/security/pam_pwdb.so use_authtok nullok md5 shadow		password required /lib/security/pam_pwdb.so use_authtok nullok md5 shadow

Line 118:		Line 115:
	• Moodulitüüp - Iga moodulitüübi kontroll lõpeb õnnestumisega või ebaõnnestumisega. Iga teenuse puhul ei pruugi olla kõik moodulitüübid kasutatud.		• Moodulitüüp - Iga moodulitüübi kontroll lõpeb õnnestumisega või ebaõnnestumisega. Iga teenuse puhul ei pruugi olla kõik moodulitüübid kasutatud.

	Moodulitüübid:		Moodulitüübid:

	~~o auth - autendib kasutaja ja annab talle nt tema grupist tulenevad õigused.~~

	~~o account - otsustab, kas kasutajat teenindada.~~

	~~o session - asjad, mis on vaja teha peale sisselogimist.~~

	o password - korraldab parooli muutmist		auth - autendib kasutaja ja annab talle nt tema grupist tulenevad õigused.
			account - otsustab, kas kasutajat teenindada.
			session - asjad, mis on vaja teha peale sisselogimist.
			password - korraldab parooli muutmist


	• Kontrollvõti - sama moodulitüüp võib olla kirjeldatud mitmel järjestikusel moodustades pinu. PAMi moodulitüübi õnnestumise määrab moodulitüübi pinu kogutulemus, mis on määratud kontrollvõtmetega:		• Kontrollvõti - sama moodulitüüp võib olla kirjeldatud mitmel järjestikusel moodustades pinu. PAMi moodulitüübi õnnestumise määrab moodulitüübi pinu kogutulemus, mis on määratud kontrollvõtmetega:

	Kontrollvõtmed:		Kontrollvõtmed:
	o required - moodulitüübi õnnestumiseks peavad kõik read õnnestuma. Kui pinu rida ei õnnestu, liigutakse pinus siiski edasi, pinu lõpus teatatakse kasutajale õnnestumisest või ebaõnnestumisest.		required - moodulitüübi õnnestumiseks peavad kõik read õnnestuma. Kui pinu rida ei õnnestu, liigutakse pinus siiski edasi, pinu lõpus teatatakse kasutajale õnnestumisest või ebaõnnestumisest.
			requisite - moodulitüübi mitteõnnestumiseks peab selle võtmega rida õnnestuma. Kui rida ei õnnestu antakse kontroll otsekohe koos veateatega teenust väljakutsuvale programmile.
	o requisite - moodulitüübi mitteõnnestumiseks peab selle võtmega rida õnnestuma. Kui rida ei õnnestu antakse kontroll otsekohe koos veateatega teenust väljakutsuvale programmile.		sufficient - selle võtmega rea õnnestumine toob kaasa moodulitüübi õnnestumise juhul, kui varasemad required on õnnestunud; järgnevad required ei loe.
			optional - suva, kasutatakse näiteks logiks.
	o sufficient - selle võtmega rea õnnestumine toob kaasa moodulitüübi õnnestumise juhul, kui varasemad required on õnnestunud; järgnevad required ei loe.

	o optional - suva, kasutatakse näiteks logiks.


Line 161:		Line 152:
	other on PAMi teenus, mida kasutatakse, kui kliendi poolt nõutavale pole vastavat konfiguratsioonifaili. Toodud fail vastab traditsioonilisele UNIXi autentimisskeemile.		other on PAMi teenus, mida kasutatakse, kui kliendi poolt nõutavale pole vastavat konfiguratsioonifaili. Toodud fail vastab traditsioonilisele UNIXi autentimisskeemile.

	=Veel PAM-i installeerimise ja konfiguratsiooni kohta:=		===Veel PAM-i installeerimise ja konfiguratsiooni kohta:===

	http://www.linuxfromscratch.org/blfs/view/svn/postlfs/linux-pam.html		http://www.linuxfromscratch.org/blfs/view/svn/postlfs/linux-pam.html

	===Kasutatud kirjandus:===		=Kasutatud kirjandus:=

	http://www.linuxjournal.com/magazine/pammdashsecuring-linux-boxes-everywhere?page=0,0		http://www.linuxjournal.com/magazine/pammdashsecuring-linux-boxes-everywhere?page=0,0

	http://www.kesoftware.com/emu-32-installupgrade-notes/unix-setup-pam.html		http://www.kesoftware.com/emu-32-installupgrade-notes/unix-setup-pam.html

	http://compute.cnr.berkeley.edu/cgi-bin/man-cgi?pam.conf+4		http://compute.cnr.berkeley.edu/cgi-bin/man-cgi?pam.conf+4

	http://www.informit.com/articles/article.aspx?p=20968		http://www.informit.com/articles/article.aspx?p=20968

	http://www.ibm.com/developerworks/linux/library/l-pam/		http://www.ibm.com/developerworks/linux/library/l-pam/

	http://kuutorvaja.eenet.ee/wiki/PAM		http://kuutorvaja.eenet.ee/wiki/PAM

← Older revision		Revision as of 12:40, 9 December 2011
Line 71:		Line 71:
	==Mõningad tähtsamad PAM moodulid:==		==Mõningad tähtsamad PAM moodulid:==

	•pam_access – ligipääsu map kasutaja/rühm vs. Lokaal ligipääs või IP aadress		•pam_access – ligipääsu map kasutaja/rühm vs. Lokaal ligipääs või IP aadress.

	•pam_cracklib – parooli tugevuse kontrollskeem.		•pam_cracklib – parooli tugevuse kontrollskeem.
Line 84:		Line 84:
	==Spetsiaalsed moodulid, mis võimaldavad:==		==Spetsiaalsed moodulid, mis võimaldavad:==

	•pam_time.so - reguleerida programmi kasutamist ajaliselt		•pam_time.so - reguleerida programmi kasutamist ajaliselt.

	•pam_cracklib.so - tagada, et paroolivahetamisel ei valita liiga lihtsat parooli		•pam_cracklib.so - tagada, et paroolivahetamisel ei valita liiga lihtsat parooli.

	•pam_console.so - määrata millisest terminalist saab programmi käivitada		•pam_console.so - määrata millisest terminalist saab programmi käivitada.

	•pam_deny.so - programmi ei saa käivitada		•pam_deny.so - programmi ei saa käivitada.

	•pam_permit.so - programmi lubatakse käivitada alati		•pam_permit.so - programmi lubatakse käivitada alati.


Line 120:		Line 120:
	account - otsustab, kas kasutajat teenindada.		account - otsustab, kas kasutajat teenindada.
	session - asjad, mis on vaja teha peale sisselogimist.		session - asjad, mis on vaja teha peale sisselogimist.
	password - korraldab parooli muutmist		password - korraldab parooli muutmist.

← Older revision		Revision as of 00:38, 25 November 2011
Line 1:		Line 1:
	=Sissejuhatus=		=Sissejuhatus=

	PAM ehk Pluggable authentication modules on mehhanism, kus on mitu madala-taseme autentimise skeemi integreeritud ühte kõrgeima taseme API’sse.		'''PAM''' ehk '''Pluggable authentication modules on mehhanism''', kus on mitu madala-taseme autentimise skeemi integreeritud ühte kõrgeima taseme API’sse.
	Sellega saavad audentimist nõudmavad rakendused kasutada PAM API’t , sõltumata sellest missugused autentimise mehhanismid on PAM’i taga.		Sellega saavad audentimist nõudmavad rakendused kasutada PAM API’t , sõltumata sellest missugused autentimise mehhanismid on PAM’i taga.
	PAM töötati välja SUN Microsystems’i poolt. See ilmus esimesena RFC-s (Open Software Foundation Request for Comments’is) 1995.aasta oktoobris.		PAM töötati välja SUN Microsystems’i poolt. See ilmus esimesena RFC-s (Open Software Foundation Request for Comments’is) 1995.aasta oktoobris.
	PAM on adapteeritud Common Desktop ~~Enviroment’i~~ autentimisraamistikus.		PAM on adapteeritud ''Common Desktop Enviroment''’i autentimisraamistikus.
	Omaette infrastruktuurina, Ilmus PAM avatud lähtekoodiga, Linuxi-PAM’ina,(arendatud Red Hat Linux 3.0.4 ’i poolt) augustis 1996.		Omaette infrastruktuurina, Ilmus PAM avatud lähtekoodiga, Linuxi-PAM’ina,(arendatud Red Hat Linux 3.0.4 ’i poolt) augustis 1996.
	PAM on praegu toetatud AIX operatsioonisüsteemide DragonFly BSD’e,FreeBSD’e, HP-UX’i, Linux’i, Mac OS X’i, NetBSD’e ja Solaris’e poolt.		PAM on praegu toetatud AIX operatsioonisüsteemide DragonFly BSD’e,FreeBSD’e, HP-UX’i, Linux’i, Mac OS X’i, NetBSD’e ja Solaris’e poolt.
	Standartiseeritud X/OPEN UNIX standartiseerimise projekti raames. Viimase tulemusena on saanud ametliku nimetuse “X/Open Single Sign-on ~~standart”~~.		Standartiseeritud X/OPEN UNIX standartiseerimise projekti raames. Viimase tulemusena on saanud ametliku nimetuse “''X/Open Single Sign-on standart''”.
	PAM-i toetab ka Mac OS X.		PAM-i toetab ka Mac OS X.

Line 20:		Line 20:
	o Standartse Linux’i autentimise skeem kasutab PAM’i juurdepääsu õiguste kontrollimiseks.		o Standartse Linux’i autentimise skeem kasutab PAM’i juurdepääsu õiguste kontrollimiseks.

	o Vaikimisi konfiguratsiooni failid asuvad /etc/pam.d ja /etc/security .		o Vaikimisi konfiguratsiooni failid asuvad ''/etc/pam.d ja /etc/security'' .

	o /ETC/PAM.D on kataloog, kus saab iga rakenduse kohta ära määrate PAM-i moodulite kasutamise ehk siis teiste sõnadega ära määrata autentimise skeemi.		o /ETC/PAM.D on kataloog, kus saab iga rakenduse kohta ära määrate PAM-i moodulite kasutamise ehk siis teiste sõnadega ära määrata autentimise skeemi.