Oibríonn fíordheimhniú PAM de láimh ach teipeann sé mar sheirbhís OpenVPN

Is féidir le fíordheimhniú trí PAM éirí as nuair a ritheann tú an cliant de láimh agus teip le AUTH_FAILED nuair a thosaíonn systemd an próifíl chéanna. Ní athraíonn an focal faire idir na ritheanna sin; is é a athraíonn ná an tacar srianta timpeall an phróisis a chuireann an cheist ar PAM. Freagraíonn PAM trí chúntóir a bhfuil a chumas chun a dhintiúir féin a athrú go beacht mar an rud a bhaineann aonad cruaite amach. Aimsigh an cúntóir sin agus an teorainn a theastaíonn uaidh sula dteagmhaíonn tú le liosta cumas.

Is é unix_chkpwd an dénártha a fhreagraíonn ceist PAM

Le fíordheimhniú focal faire áitiúil, is annamh a léann pam_unix an comhad hash féin. Ritheann sé unix_chkpwd, a shuiteálann dáileacháin mar setuid root nó setgid shadow ionas gur féidir focal faire amháin a sheiceáil thar ceann próisis nach bhfuil gnó ar bith aige /etc/shadow a léamh. Bain an cumas an fhéiniúlacht sin a fháil agus ní féidir leis an gcúntóir an tseiceáil a chríochnú, mar sin filleann an modúl teip fhíordheimhnithe shimplí.

Ansin breathnaíonn an teip mar fhadhb dhintiúr i ngach log a fheiceann an cliant. Sin an gaiste: tuairiscíonn an cliant an rud a dúirt PAM leis, agus ní thuairiscíonn PAM ach gur dúirt an chruach nach ea. Ní chruthaíonn rith an chúntóra de láimh mar root aon rud ach an oiread, mar feidhmíonn sé cosán pribhléide nach n-úsáideann an tseirbhís riamh. Léigh an t-aonad a lódáil systemd i ndáiríre, ansin léigh an log córais don iarracht a rinne sé. Scarann an dá dhearcadh fadhb sandbox ó fhadhb focal faire mícheart.

Léigh an t-aonad sula léann tú an log focal faire

Is féidir le haonad pacáistithe drop-in a iompar nár scríobh tú, agus is é an chumraíocht éifeachtach an toradh cumaiscthe. Priontáil an t-aonad mar a fheiceann systemd é, mar aon leis na socruithe sandbox a shocraíonn an féidir leis an gcúntóir é féin a ardú. Is leor iniúchadh inléite amháin ag an gcéim seo.

systemctl cat [email protected]
systemctl show [email protected] -p User -p Group -p CapabilityBoundingSet -p AmbientCapabilities -p NoNewPrivileges
journalctl -u [email protected] -b

Taispeánann an chéad ordú cá as a dtagann an t-aonad agus a chuid drop-in, rud atá tábhachtach mar maireann sárú a cuireadh leis míonna ó shin níos faide ná an chuimhne ar cén fáth a bhfuil sé ann. Priontálann an dara ceann na luachanna sandbox a bhfuil an dá roinn seo a leanas ag brath orthu.

Cuir i gcomparáid an méid a fheiceann tú le hóstach oibre den dáileadh agus den leagan céanna. Is leid nithiúil é difríocht in User, CapabilityBoundingSet nó NoNewPrivileges; ní leid é difríocht i nótaí próis. Scríobh na luachanna síos sula n-athraíonn tú rud ar bith, mar ní chruthaíonn comparáid níos déanaí le sprioc atá ag gluaiseacht aon rud. Má ritheann an tseirbhís mar chuntas neamhphribhléideach le tacar bounding folamh, níl beagnach aon rud ag an gcúntóir le hoibriú leis.

Is trí theorainn iad claochlú dintiúr, rochtain comhad agus polasaí

Tosaigh leis an méid a tharlaíonn le linn exec. Spreagann dénártha setuid nó comhad a iompraíonn cumais chomhaid claochlú dintiúr, mar sin ní leanúint den ghlaoiteoir í an fhéiniúlacht a eascraíonn. Cuireann an tacar bounding uasteorainn leis an méid is féidir le dénártha den sórt sin a fháil, agus cuireann NoNewPrivileges bac iomlán ar ghnóthuithe setuid, setgid agus cumais chomhaid. Féadann aon cheann de na trí sin an cúntóir a stopadh agus gach feidhm eile den tseirbhís a fhágáil slán.

Ansin, deighil seachaint lánroghnach leathan ó rochtain léite chúng. Scipeann CAP_DAC_OVERRIDE seiceálacha lánroghnacha beagnach i ngach áit, agus clúdaíonn CAP_DAC_READ_SEARCH léamh agus trasnú eolaire lena chumhachtaí breise féin. Uirlisí éagsúla iad le ga éifeachta éagsúil, agus ní litriú ar lig do PAM an comhad shadow a léamh ceachtar acu.

Ar deireadh, fiafraigh an gceadaíonn an polasaí éigeantach an ghníomh ar chor ar bith. Ní sháraíonn cumas Linux SELinux, agus ní chruthaíonn sealbhú ceann aon rud faoi riail type enforcement. Caith le diúltú rochtana comhaid agus diúltú cumais mar fhianaise éagsúla, mar ainmníonn siad ceartuithe éagsúla agus go minic úinéirí éagsúla. Léigh gach réimse den taifead seachas an focal denied amháin. Cén inrite a rinne an gníomh, cén fearann a rith sé ann, cén cineál sprice a theagmhaigh sé leis, cén aicme réada a bhí i gceist agus cén cead a dhiúltaigh an polasaí — cúngaíonn gach ceann an freagra ar bhealach éagsúil.

Tarraing an diúltú amach as an log iniúchta

Ar óstach forfheidhmithe, is é an rian iniúchta an t-aon áit a thaifeadann diúltú. Fiosraigh na teagmhais le déanaí agus léigh iad i gcoinne stampa ama na logála teipthe, ní i gcoinne an ama a thosaigh tú ag fiosrú.

ausearch -m AVC,USER_AVC -ts recent

Ní fianaise neamhchiontachta é toradh folamh. Ciallaíonn sé nó nach bhfuil an t-iniúchadh ag bailiú, nó gur chaill do fhuinneog an iarracht, agus caithfear an dá fhéidearthacht a eisiamh sula n-eisiann tú an polasaí.

Cuireann treoir fabhtcheartaithe SELinux Red Hat seiceálacha lipéid agus cumraíochta chun tosaigh ar ghiniúint rialacha allow, agus sin an t-ord ceart don fhadhb seo freisin. Táirgeann dénártha cúntóra mílipéadaithe agus bearna polasaí diúltuithe cosúla ach teastaíonn deisiúcháin éagsúla uathu. Folaíonn giniúint riail allow do dhearmad lipéadaithe an locht agus fágann sé faoin gcéad nuashonrú pacáiste eile é a thabhairt isteach arís. Deimhnigh an lipéad ar an gcúntóir suiteáilte sula scríobhann tú aon pholasaí.

Cruthaigh an t-athrú le logáil amháin a nglactar léi agus logáil amháin a ndiúltaítear di

Ná hathraigh ach an teorainn a léirigh tú, ansin tástáil an dá thoradh. Caithfidh cuntas ar cheart fíordheimhniú a dhéanamh éirí as, agus caithfidh cuntas le focal faire mícheart teip fós. Tá athrú a ligeann gach iarracht éirí as tar éis fíordheimhniú a bhaint seachas é a dheisiú.

Déan iarracht cheangail fhíor agus léigh an dialann láithreach ina dhiaidh. Is é an líne a chruthaíonn an deisiú an iontráil pam_unix(openvpn:auth) don iarracht sin: ba cheart go léifeadh sí fíordheimhniú rathúil, agus ní cheart d’aon taifead AVC an dara céanna a iompar.

journalctl -u [email protected] -n 30 --no-pager
ss -tnp | grep openvpn

Teastaíonn athnascadh ó thollán oibre freisin, mar is minice a bhristear an dara nasc ná an chéad cheann de bharr athruithe sandbox. Seiceáil an soicéad bunaithe tar éis an athnascadh agus deimhnigh go bhfuil an t-aonad céanna fós ag freastal air.