PAM-module is ûnbekend: hokker proses is eins mislearre

Lês dy sin as in útspraak oer in dield objekt en in funksje-oanwizer, net oer in wachtwurd. Deselde wurden kinne komme fan in OpenVPN plugin, fan in PAM-stapel laden foar ien tsjinst of fan binnen de RADIUS-daemon, en dat binne trije ferskillende ûndersiken. Kies earst it proses.

De kontrôles hjirûnder geane derfan út dat it berjocht ferskynde fia in Linux-PAM-yntegraasje by in VPN-oanmelding. As it út 'e eigen konfiguraasje fan 'e RADIUS-tsjinner kaam, begjin dan by it bewiis fan dy daemon.

Nee it proses foardat jo it pakket neame

Trije komponinten hjitte in module en gjinien is útwikselber. In OpenVPN-autentikaasje-plugin wurdt laden troch de VPN-daemon en ymplementearret de callback-ynterface fan dy daemon. In PAM-module is in dield objekt dat libpam foar in neamde tsjinst laadt, en dat yngongspunten ymplementearret lykas pam_sm_authenticate. In FreeRADIUS-module is in part fan 'e eigen konfiguraasje fan dy daemon. In berjocht mei deselde wurden kin fan alle trije komme, dus de earste fraach is hokker logrige it produsearre hat.

Korrelearje it tiidstimpel fan ien mislearre besykjen tusken it VPN-log en it systeem-autentikaasjelog, en lês dan de rigels foar de gearfetting. It konkrete berjocht fan 'e lader stiet der meastentiids al.

Lês de laadflater, dan it yngongspunt

PAM rapportearret in ûnbekende module as it it keazen dielde objekt net laden kin, of as it laden objekt net de funksje leveret dy't dat stapelitem ferget. Dat binne ferskillende repitaasjes: it earste is in probleem mei paad, ferpakking of ABI, en it twadde is in yngongspunt dat net oerienkomt. In auth-rige hat pam_sm_authenticate nedich wylst in akkount-rige pam_sm_acct_mgmt nedich hat, en in bibleteek dy't mar ien fan beide ymplementearret sil op 'e oare mislearje, sa't de dispatcher-koade sjen lit. It finen fan it bestân op 'e skiif bewiist gjin fan beide.

In bibleteek mei in ferlykbere namme út in oare distribúsje of CPU-arsjitektuer nimme is gjin repitaasje, en it kin in proses efterlitte dat in module laadt dy't nea tsjin syn libpam test is. Kontrolearje it pakket dat it bedoelde paad besit en de echte arsjitektuer fan it bestân foardat jo wat feroarje.

Hâld de garânsjes dy't de stapel joech

De fluchste manier om dizze flater stil te meitsjen is ek de minste: in ferplichte module as opsjoneel markearje, de akkount-stap wiskje, of in ûnbetingste tastimming ynfoegje. Elk fan dy makket fan in mislearre kontrôle in ûntbrekkende kontrôle, en de oanmelding slagget dan om redenen dy't nimmen bedoelde. Wachtwurdweromsettings en feroarings fan it dielde geheim leverje ek gjin ûntbrekkende funksje, want de flater bart foardat in legitimaasje in backend berikt.

In stapel mei meardere modules hat miskien in oare backend draaid foar it mislearre item, dus de flater bewiist net dat der gjin RADIUS-oanfraach stjoerd is.

Kontrolearje de oanmelding, net de module

Nei't de ôfwiking ferbettere is, test it echte talittingspaad. In jildich akkount moat slagje, ûnjildige legitimaasjes moatte noch mislearje, en in ferbean akkount moat noch wegere wurde. Befêstigje ek dat in sertifikaat- of ekstra faktor-eask noch hanthavene wurdt, want in reparearre stapel dy't in stap oerslacht liket fan 'e kliïntekant op sukses.

Dat in module skjin laadt is foarútgong, net in ôfmakke test.

Skriuw op hokker tsjinstnamme, hokker beliedsbestannen en hokker yngongspunten belutsen wiene, tegearre mei it iene besykjen dat jo as bewiis brûkten. Krekt dy oantekening makket it folgjende gefal in syktocht ynstee fan in argeologyske oefening.