Политика безопасности в ОС Linux

Название модуля

Тип модуля

Описание

pam_cracklib

password

Позволяет проверять пароль на стойкость, не является ли он, например, словом из словаря и т.д. В основном используется программами, задающими пароли. К полезным параметрам относятся:

retry=N - задает количество попыток на исправление ошибки;

diffok=N - определяет минимальное количество символов, которое должно быть изменено при смене пароля;

minlen=N - задает минимальный размер пароля в символах;

dcredit=N ucredit=N lcredit=N ocredit=N - задает минимальное количество цифр, строчных, прописных букв и других символов, которые должны присутствовать в пароле.

pam_deny

любой

Основное назначение этого модуля - запрет доступа при любых условиях.

pam_env

auth

Контролирует сохранность переменных среды. С помощью параметра conffile=S можно указать файл конфигурации, отличный от стандартного.

pam_ftp

auth

Предназначен для организации анонимного доступа. Получив в качестве имени пользователя последовательность `anonymous', модуль в качестве пароля требует строку, похожую на почтовый адрес. К полезным параметрам относятся:

users=XXX, XXX, … - разрешает анонимный вход для пользователей из этого списка;

ignore - позволяет не обращать внимания, похож ли пароль на почтовый адрес.

pam_group

auth

Определяет группу-владельца процесса, запущенного аутентифицированным пользователем.

pam_lastlog

auth

Сообщает о месте и времени входа в систему. Для протоколирования используется файл wtmp, находящийся в каталоге /var/log. К полезным параметрам можно отнести:

nodate noterm nohost silent - позволяют не выводить в сообщении дату, терминал, адрес машины или вообще ничего не записывать в файл;

never - предоставляет возможность выдачи приветствия пользователя, впервые вошедшего в систему.

pam_limits

session

Позволяет задавать ограничения для пользователя на размер файлов, число одновременно открытых дескрипторов и т.д. Имеет параметр conf=S для указания альтернативного конфигурационного файла.

pam_listfile

auth

Предназначен для организации доступа на основе конфигурационных файлов наподобие /etc/ftpaccess. Возможные паарметры:

onerr=succeed | fail - задает возвращаемое значение в случае неудачного поиска;

sence=allow | deny - задает возвращаемое значение в случае удачного поиска;

file=filename - позволяет указать имя файла со списком;

item=user | tty | rhost | ruser | group | shell - определяет тип элементов в списке. Например, значение item=user означает, что в файле содержится список имен пользователей, имеющих возможность входа в систему.

pam_mail

auth

Позволяет уведомлять пользователя о вновь пришедшей почте. Полезные параметры:

dir=S - указывает путь к каталогу почтовых очередей;

noenv - отменяет установку переменной среды MAIL;

close - разрешает уведомлять о новых письмах в почтовых ящиках пользователей с аннулированными бюджетами;

nopen - запрещает вывод какой-либо почтовой информации для вновь заведенного бюджета.

pam_nologin

auth

Если файл /etc/nologin существует, в систему может войти только привилегированный пользователь root, остальным же при попытке входа выдается содержимое этого файла.

pam_permit

любой

Этот модуль дает доступ при любых условиях. Необдуманное использование этого модуля весьма опасно!

pam_pwdb

любой

Замещает модули серии pam_unix. Этот модуль использует интерфейс библиотеки libpwdb, предназначенный для работы с пользовательскими базами данных, что повышает независимость системы аутентификации от способа хранения пользовательских данных. Полезные параметры:

nullok - разрешает использование пустых паролей;

md5 shadow bigcrypt - указывает используемые алгоритмы шифрования паролей.

pam_radius

session

Позволяет осуществлять аутентификацию через сервер RADIUS.

pam_rhosts_auth

auth

Механизм работы этого модуля основывается на анализе содержимого файлов hosts.equiv и.rhosts, используемых для аутентификации такими службами, какrlogin и rsh. Полезные параметры:

no_hosts_equiv - позволяет игнорировать содержимое файла hosts.equiv;

no_rhosts - позволяет игнорировать содержимое файла.rhosts;

suppress - позволяет избежать запись малозначительных сообщений в системный журнал, в частности, при использовании флага sufficient.

pam_root_ok

auth

Позволяет организовать доступ привилегированного пользователя к сервису, минуя процедуру ввода пароля. Пользователь допускается к сервису, только если его системный идентификатор равен нулю (то есть привилегированный пользователь root).

pam_securetty

auth

Позволяет учитывать файл /etc/securetty. В файле /etc/securetty указаны терминалы, с которых привилегированный пользователь имеет доступ в систему.

pam_time

account

Накладывает временные ограничения на доступ в систему.

pam_warn

auth, password

Производит записи в системных журналах при определенных действиях.

pam_wheel

auth

Этот модуль позволяет получить права привилегированного пользователя только пользователям определенной группы. Полезные параметры:

group=XXX - задает группу, пользователи которой имеют возможность получить права пользователя root;

deny - этот параметр инвертирует действие модуля, другими словами, он запрещает изменение прав на права пользователя root для указанной группы;

trust - избавляет пользователей указанной группы от необходимости ввода пароля при смене идентификатора на нулевой.