PAM (Pluggable Authentication Modules) ist ein flexibles Framework zur zentralen Authentifizierung unter Linux. Es ermöglicht Systemadministratoren, die Authentifizierungsmethoden für verschiedene Dienste einheitlich zu konfigurieren, ohne die Anwendungen selbst zu ändern.

• Root-Rechte für die Konfiguration
• Grundkenntnisse in Linux-Systemadministration
• Vorsicht beim Bearbeiten: Fehlerhafte PAM-Konfiguration kann System-Login verhindern

PAM unterscheidet vier Modultypen, die in jeder Dienst-Konfiguration definiert werden können:

Standard-Unix-Authentifizierung über /etc/passwd und /etc/shadow

auth     required    pam_unix.so nullok
account  required    pam_unix.so
password required    pam_unix.so sha512 shadow
session  required    pam_unix.so

Setzt Ressourcen-Limits für Benutzer (konfiguriert in /etc/security/limits.conf)

session required    pam_limits.so

# Verweigert immer den Zugriff
auth    required    pam_deny.so

# Erlaubt immer den Zugriff (VORSICHT!)
auth    required    pam_permit.so

Beschränkt su-Zugriff auf Mitglieder der wheel-Gruppe

auth    required    pam_wheel.so use_uid

Sperrt Account nach mehreren Fehlversuchen

auth       required    pam_faillock.so preauth
auth       required    pam_faillock.so authfail
account    required    pam_faillock.so

Verzögert Login nach Fehlversuchen

auth    required    pam_faildelay.so delay=2000000

# PAM-Konfiguration für SSH
auth       required     pam_env.so
auth       required     pam_unix.so
account    required     pam_nologin.so
account    required     pam_unix.so
password   required     pam_unix.so sha512 shadow
session    required     pam_limits.so
session    required     pam_unix.so

auth       required     pam_securetty.so
auth       requisite    pam_nologin.so
auth       required     pam_unix.so nullok
account    required     pam_unix.so
password   required     pam_unix.so sha512 shadow
session    required     pam_limits.so
session    required     pam_unix.so
session    optional     pam_lastlog.so

auth       required     pam_env.so
auth       required     pam_unix.so
account    required     pam_unix.so
session    required     pam_limits.so
session    required     pam_unix.so

Konfiguration in /etc/pam.d/system-auth oder /etc/pam.d/common-auth:

auth    required    pam_faillock.so preauth silent deny=3 unlock_time=600
auth    [default=die] pam_faillock.so authfail deny=3 unlock_time=600
account required    pam_faillock.so

Account entsperren:

# Manuelle Entsperrung
sudo faillock --user username --reset

In /etc/security/limits.conf:

# Format: <domain> <type> <item> <value>
@student    hard    nproc       100
@student    soft    cpu         30
@developers hard    nofile      4096
*           soft    core        0

Aktivierung in /etc/pam.d/common-session:

session required    pam_limits.so

Konfiguration in /etc/security/time.conf:

# Format: services;ttys;users;times
login;*;!root;!Al0800-1800
sshd;*;students;Wk0800-2000

Aktivierung in /etc/pam.d/login:

account    required    pam_time.so

# Installation
sudo apt install libpam-google-authenticator
 
# Benutzer richtet 2FA ein
google-authenticator

Konfiguration in /etc/pam.d/sshd:

auth    required    pam_google_authenticator.so
auth    required    pam_unix.so

In /etc/ssh/sshd_config:

ChallengeResponseAuthentication yes

# PAM-Module anzeigen
sudo pam-auth-update --package
 
# Faillock-Status prüfen
sudo faillock --user username
 
# Limits für Benutzer anzeigen
ulimit -a
 
# Aktive PAM-Sessions anzeigen
loginctl list-sessions

# PAM-bezogene Log-Einträge
sudo journalctl -u systemd-logind | grep pam
sudo grep pam /var/log/auth.log
sudo grep "authentication failure" /var/log/secure

# System im Single-User-Mode booten
# Bei GRUB: 'e' drücken, an kernel-Zeile anfügen:
init=/bin/bash
 
# Im Notfall-System:
mount -o remount,rw /
nano /etc/pam.d/system-auth  # oder betroffene Datei korrigieren
sync
reboot -f

• Backup erstellen: Immer vor PAM-Änderungen Backups erstellen
• Offene Session behalten: Bei Remote-Änderungen SSH-Session offen lassen zum Testen
• Schrittweise testen: Erst in Testumgebung, dann produktiv
• Root-Zugang sichern: Nie alle Authentifizierungswege gleichzeitig ändern
• Logs überwachen: Nach Änderungen /var/log/auth.log oder /var/log/secure prüfen
• pam_permit.so vermeiden: Nur in Ausnahmefällen und niemals produktiv

• Zentrale Konfiguration nutzen: common-auth, common-account, etc. verwenden
• include statt copy: Gemeinsame Einstellungen per include einbinden
• Dokumentation: Änderungen kommentieren
• Faillock aktivieren: Schutz vor Brute-Force-Angriffen
• Starke Passwörter erzwingen: pam_pwquality.so verwenden
• Limits setzen: Ressourcen-Limits für alle Benutzer definieren

• Benutzerverwaltung
• sudo
• SSH
• systemd
• Linux Sicherheit
• Wichtige Konfigurationsdateien