Linux Workshop

Die PAM-Konfiguration für den SSH-Dienst (sshd) ist typischerweise sehr schlank und nutzt include-Direktiven, um zentrale Authentifizierungsregeln wiederzuverwenden. Diese Seite erklärt den Aufbau am Beispiel einer Standard-SSHD-Konfiguration.

#%PAM-1.0

auth      include   system-remote-login
account   include   system-remote-login
password  include   system-remote-login
session   include   system-remote-login

q

#%PAM-1.0

Die Konfiguration definiert für jeden der vier PAM-Modultypen eine Regel:

auth      include   system-remote-login

account   include   system-remote-login

password  include   system-remote-login

session   include   system-remote-login

Das include Control Flag hat eine besondere Funktion:

• Es bindet eine andere PAM-Konfigurationsdatei vollständig ein
• Alle Regeln der eingebundenen Datei werden verarbeitet, als wären sie direkt hier geschrieben
• Bei Fehler in der eingebundenen Datei wird der Stack trotzdem fortgesetzt (anders als bei substack)
• Dies ermöglicht zentrale, wiederverwendbare Konfigurationen

Vorteil: Änderungen an system-remote-login gelten automatisch für alle Dienste, die sie einbinden (SSH, FTP, etc.)

# Datei ansehen
cat /etc/pam.d/system-remote-login
 
# Oder mit sudo falls Rechte fehlen
sudo cat /etc/pam.d/system-remote-login

Arch Linux / Manjaro:

#%PAM-1.0

auth      required  pam_tally2.so        onerr=succeed  file=/var/log/tallylog
auth      required  pam_shells.so
auth      required  pam_nologin.so
auth      include   system-login

account   required  pam_tally2.so
account   required  pam_access.so
account   required  pam_nologin.so
account   include   system-login

password  include   system-login

session   optional  pam_motd.so          motd=/etc/motd
session   optional  pam_mail.so          dir=/var/spool/mail standard quiet
session   include   system-login

Debian / Ubuntu:

#%PAM-1.0

auth       required   pam_env.so
auth       required   pam_unix.so nullok
auth       required   pam_nologin.so

account    required   pam_unix.so
account    required   pam_nologin.so

password   required   pam_unix.so sha512 shadow

session    required   pam_limits.so
session    required   pam_unix.so
session    optional   pam_motd.so
session    optional   pam_lastlog.so

Red Hat / CentOS / Fedora:

#%PAM-1.0

auth       required   pam_sepermit.so
auth       include    password-auth

account    required   pam_nologin.so
account    include    password-auth

password   include    password-auth

session    optional   pam_keyinit.so force revoke
session    include    password-auth
session    optional   pam_motd.so

Bei einem SSH-Login durchläuft PAM folgende Schritte (vereinfacht):

• pam_shells.so: Prüft ob die Shell des Benutzers in /etc/shells erlaubt ist
• pam_nologin.so: Prüft ob /etc/nologin existiert (verhindert Login außer für root)
• pam_unix.so: Prüft Passwort gegen /etc/shadow oder akzeptiert SSH-Key
• pam_tally2.so / pam_faillock.so: Zählt Fehlversuche und sperrt bei zu vielen

• pam_unix.so: Prüft ob Account abgelaufen oder gesperrt ist
• pam_access.so: Prüft /etc/security/access.conf für Zugriffsbeschränkungen
• pam_nologin.so: Erneute Prüfung in Account-Phase
• pam_time.so: (Falls konfiguriert) Prüft zeitbasierte Zugriffsbeschränkungen

• Wird nur relevant wenn Passwort geändert werden soll (passwd-Kommando)
• pam_unix.so: Handhabt die eigentliche Passwortänderung
• pam_pwquality.so: (Falls konfiguriert) Prüft Passwortstärke

• pam_limits.so: Setzt Ressourcen-Limits aus /etc/security/limits.conf
• pam_unix.so: Loggt Login-Event
• pam_motd.so: Zeigt Message of the Day (/etc/motd)
• pam_lastlog.so: Zeigt letzten Login und speichert aktuellen
• pam_umask.so: Setzt umask für die Session

# SSHD PAM-Konfiguration anzeigen
cat /etc/pam.d/sshd
 
# Eingebundene Datei anzeigen
cat /etc/pam.d/system-remote-login
 
# Falls weitere includes vorhanden, diese auch anzeigen
cat /etc/pam.d/system-login
cat /etc/pam.d/password-auth

# PAM-Aktivitäten im Journal
sudo journalctl -u sshd | grep pam
 
# Authentifizierungs-Logs
sudo tail -f /var/log/auth.log        # Debian/Ubuntu
sudo tail -f /var/log/secure          # RHEL/CentOS
 
# Fehlgeschlagene Login-Versuche
sudo journalctl -u sshd | grep "Failed password"

Warnung: Änderungen sollten vorsichtig vorgenommen werden. Immer eine offene SSH-Session zum Testen behalten!

Beispiel: Zwei-Faktor-Authentifizierung hinzufügen

#%PAM-1.0

# Google Authenticator VOR system-remote-login
auth      required  pam_google_authenticator.so

auth      include   system-remote-login
account   include   system-remote-login
password  include   system-remote-login
session   include   system-remote-login

Beispiel: Zusätzliche Session-Logs

#%PAM-1.0

auth      include   system-remote-login
account   include   system-remote-login
password  include   system-remote-login
session   include   system-remote-login

# Zusätzliches Logging nach includes
session   optional  pam_exec.so /usr/local/bin/log-ssh-session.sh

# Eigene Konfiguration für alle Remote-Dienste
sudo nano /etc/pam.d/my-remote-login

Inhalt von my-remote-login:

#%PAM-1.0

# Strenge Regeln für Remote-Zugriff
auth      required  pam_faillock.so preauth deny=3 unlock_time=1800
auth      required  pam_unix.so
auth      required  pam_faillock.so authfail deny=3 unlock_time=1800

account   required  pam_faillock.so
account   required  pam_unix.so
account   required  pam_time.so

password  required  pam_pwquality.so retry=3 minlen=12
password  required  pam_unix.so sha512 shadow

session   required  pam_limits.so
session   required  pam_unix.so
session   optional  pam_lastlog.so

Dann in /etc/pam.d/sshd:

#%PAM-1.0

auth      include   my-remote-login
account   include   my-remote-login
password  include   my-remote-login
session   include   my-remote-login

Arch Linux Beispiel:

/etc/pam.d/sshd
    └── include: system-remote-login
            └── include: system-login
                    └── required: pam_unix.so, pam_systemd.so, etc.

Debian/Ubuntu Beispiel:

/etc/pam.d/sshd
    ├── auth    → include: common-auth
    ├── account → include: common-account
    ├── password→ include: common-password
    └── session → include: common-session

# In jeder Zeile "debug" hinzufügen
auth      required  pam_unix.so debug
 
# Logs anzeigen
sudo journalctl -u sshd -f

# 1. Aktuelle Config sichern
sudo cp /etc/pam.d/sshd /etc/pam.d/sshd.backup
sudo cp /etc/pam.d/system-remote-login /etc/pam.d/system-remote-login.backup
 
# 2. Änderungen vornehmen
sudo nano /etc/pam.d/sshd
 
# 3. SSH-Dienst neu laden (NICHT beenden!)
sudo systemctl reload sshd
 
# 4. In NEUER Session testen (alte Session OFFEN lassen!)
ssh user@localhost
 
# 5. Bei Problemen: Aus alter Session zurückrollen
sudo cp /etc/pam.d/sshd.backup /etc/pam.d/sshd
sudo systemctl reload sshd

• Niemals ohne Backup: Immer Kopie der Originaldatei erstellen
• Offene Session: Bei Remote-Änderungen immer eine aktive SSH-Session offen halten
• Schrittweise testen: Nie mehrere Änderungen gleichzeitig
• Root-Zugang sichern: Alternative Zugangswege offen halten (Konsole, IPMI, VNC)
• Vorsicht mit required: Ein fehlendes required-Modul verhindert alle Logins
• Logs überwachen: Nach Änderungen sofort Logs prüfen

• Zentrale Konfiguration: include nutzen statt alles in sshd zu schreiben
• Dokumentation: Änderungen mit Kommentaren versehen (# am Zeilenanfang)
• Modular arbeiten: Eigene include-Dateien für spezifische Anforderungen
• Testing: Erst in Testumgebung, dann produktiv
• Version Control: /etc/pam.d/ in Git versionieren
• Monitoring: PAM-Fehler in Monitoring-System aufnehmen

• PAM - Pluggable Authentication Modules
• SSH
• Benutzerverwaltung
• systemd
• Wichtige Konfigurationsdateien