Linux Workshop

PAM (Pluggable Authentication Modules) ist ein flexibles Framework zur zentralen Authentifizierung unter Linux. Es ermöglicht Systemadministratoren, die Authentifizierungsmethoden für verschiedene Dienste einheitlich zu konfigurieren, ohne die Anwendungen selbst zu ändern.

• Root-Rechte für die Konfiguration
• Grundkenntnisse in Linux-Systemadministration
• Vorsicht beim Bearbeiten: Fehlerhafte PAM-Konfiguration kann System-Login verhindern

PAM unterscheidet vier Modultypen, die in jeder Dienst-Konfiguration definiert werden können:

Standard-Unix-Authentifizierung über /etc/passwd und /etc/shadow

auth     required    pam_unix.so nullok
account  required    pam_unix.so
password required    pam_unix.so sha512 shadow
session  required    pam_unix.so

Setzt Ressourcen-Limits für Benutzer (konfiguriert in /etc/security/limits.conf)

session required    pam_limits.so

# Verweigert immer den Zugriff
auth    required    pam_deny.so

# Erlaubt immer den Zugriff (VORSICHT!)
auth    required    pam_permit.so

Beschränkt su-Zugriff auf Mitglieder der wheel-Gruppe

auth    required    pam_wheel.so use_uid

Sperrt Account nach mehreren Fehlversuchen

auth       required    pam_faillock.so preauth
auth       required    pam_faillock.so authfail
account    required    pam_faillock.so

Verzögert Login nach Fehlversuchen

auth    required    pam_faildelay.so delay=2000000

# PAM-Konfiguration für SSH
auth       required     pam_env.so
auth       required     pam_unix.so
account    required     pam_nologin.so
account    required     pam_unix.so
password   required     pam_unix.so sha512 shadow
session    required     pam_limits.so
session    required     pam_unix.so

auth       required     pam_securetty.so
auth       requisite    pam_nologin.so
auth       required     pam_unix.so nullok
account    required     pam_unix.so
password   required     pam_unix.so sha512 shadow
session    required     pam_limits.so
session    required     pam_unix.so
session    optional     pam_lastlog.so

auth       required     pam_env.so
auth       required     pam_unix.so
account    required     pam_unix.so
session    required     pam_limits.so
session    required     pam_unix.so

Konfiguration in /etc/pam.d/system-auth oder /etc/pam.d/common-auth:

auth    required    pam_faillock.so preauth silent deny=3 unlock_time=600
auth    [default=die] pam_faillock.so authfail deny=3 unlock_time=600
account required    pam_faillock.so

Account entsperren:

# Manuelle Entsperrung
sudo faillock --user username --reset

In /etc/security/limits.conf:

# Format: <domain> <type> <item> <value>
@student    hard    nproc       100
@student    soft    cpu         30
@developers hard    nofile      4096
*           soft    core        0

Aktivierung in /etc/pam.d/common-session:

session required    pam_limits.so

Konfiguration in /etc/security/time.conf:

# Format: services;ttys;users;times
login;*;!root;!Al0800-1800
sshd;*;students;Wk0800-2000

Aktivierung in /etc/pam.d/login:

account    required    pam_time.so

# Installation
sudo apt install libpam-google-authenticator
 
# Benutzer richtet 2FA ein
google-authenticator

Konfiguration in /etc/pam.d/sshd:

auth    required    pam_google_authenticator.so
auth    required    pam_unix.so

In /etc/ssh/sshd_config:

ChallengeResponseAuthentication yes

# PAM-Module anzeigen
sudo pam-auth-update --package
 
# Faillock-Status prüfen
sudo faillock --user username
 
# Limits für Benutzer anzeigen
ulimit -a
 
# Aktive PAM-Sessions anzeigen
loginctl list-sessions

# PAM-bezogene Log-Einträge
sudo journalctl -u systemd-logind | grep pam
sudo grep pam /var/log/auth.log
sudo grep "authentication failure" /var/log/secure

# System im Single-User-Mode booten
# Bei GRUB: 'e' drücken, an kernel-Zeile anfügen:
init=/bin/bash
 
# Im Notfall-System:
mount -o remount,rw /
nano /etc/pam.d/system-auth  # oder betroffene Datei korrigieren
sync
reboot -f

• Backup erstellen: Immer vor PAM-Änderungen Backups erstellen
• Offene Session behalten: Bei Remote-Änderungen SSH-Session offen lassen zum Testen
• Schrittweise testen: Erst in Testumgebung, dann produktiv
• Root-Zugang sichern: Nie alle Authentifizierungswege gleichzeitig ändern
• Logs überwachen: Nach Änderungen /var/log/auth.log oder /var/log/secure prüfen
• pam_permit.so vermeiden: Nur in Ausnahmefällen und niemals produktiv

• Zentrale Konfiguration nutzen: common-auth, common-account, etc. verwenden
• include statt copy: Gemeinsame Einstellungen per include einbinden
• Dokumentation: Änderungen kommentieren
• Faillock aktivieren: Schutz vor Brute-Force-Angriffen
• Starke Passwörter erzwingen: pam_pwquality.so verwenden
• Limits setzen: Ressourcen-Limits für alle Benutzer definieren

• Benutzerverwaltung
• sudo
• SSH
• systemd
• Linux Sicherheit
• Wichtige Konfigurationsdateien