파일 위치

설명

비고

/lib64/security

/lib/security

PAM 모듈 디렉토리로 실제 PAM Library를 동적으로 인증 모듈을 호출하여 실행한다.

/etc/security

/lib64/security에 있는 모듈에 대한 설정 파일.

/etc/pam.d

어플리케이션별 PAM의 설정 파일 위치로 PAM을 사용하는 응용 프로그램이 설정 파일이 없다면 기본값으로 설정된 설정 파일을 자동으로 사용한다.

라이브러리

설명

비고

pam_permit

pam_deny

항상 성공/실패를 리턴해서 접근을 허용, 거부.

pam_warn

호출한 사용자 및 호스트 정보를 syslog에 기록.

pam_access

사용자 계정, 호스트/도메인을 통해서 시스템 접근을 허용.

/etc/security/access.conf에서 설정한다.

pam_unix

pam_pwdb

암호를 확인하고 변경되는데 사용되는 모듈.

/etc/passwd나 shadow 사용시 /etc/shadow 파일에서 계정의 정보를 얻어온다.

pam_env

환경 변수를 지정.

/etc/security/pam_env.conf

설정 파일에서 환경 변수를 불러온다.

/etc/environment와 /etc/security/pam_env.conf 설정 파일이 비었을 경우 변수 설정 없이 성공 값을 반환한다.

pam_issue

pam_motd

로그인 시 issue나 message를 출력하며, 성공적으로 로그인한 후 나타난다. /etc/issue, /etc/motd

pam_limits

사용자의 프로세스 자원을 설정 파일에 따라 제한한다.

/etc/security/limits.conf

pam_listfile

파일에 있는 사용자명 목록에 따라 접근을 허용/거부.

pam_mkhomedir

사용자 홈 디렉토리가 없다면 홈 디렉토리를 생성하고, /etc/skel 디렉토리에 있는 파일들을 복사.

pam_nologin

/etc/nologin 파일이 존재하면 root만 로그인 가능하고, 일반 사용자 로그인 불가능하며, root로 로그인 시 nologin 파일의 내용이 보여진다.

pam_rhosts_auth

Rhost 방식으로 네트워크간 원격 세션을 허용.

pam_rootok

암호 없이 root의 접근을 허용.

pam_security

현재 터미널이 /etc/security 파일에 나열돼 있지 않으면 root 접근 거부.

pam_time

시간, 사용자, 그룹, 터미널, 쉘 등으로 접근을 제어한다.

/etc/security/time.conf

pam_wheel

Su 서비스에서 사용, 특정 그룹에 속하지 않은 사용자는 root로의 접근을 거부, deny 옵션을 사용하여 특정 그룹만 접근을 거부할 수 있게 설정 가능하다.

pam_cracklib

입력 받은 암호를 /usr/lib/cracklib_dict에 있는 사전과 비교하여 새로운 암호를 /etc/security/opasswd에 저장되어 있는 이전 암호 목록과 비교하여 이전 암호와 비숫한지 확인.

pam_succed_if

주어진 조건이 참일 경우 성공 값 반환, 인자로 quiet가 들어갈 경우 syslog에 알리지 않는다.

[module-type][control-flag][module-path][module-arguments]

모듈 타입

설명

비고

auth

사용자 인증에 사용하며, 올바른 비밀번호인지 확인하는 절차를 가진다.

응용 프로그램이 사용자에게 비밀번호를 입력하도록 안내하고, 사용자와 해당 사용자의 그룹에 대한 권한을 인증한다.

account

사용자의 접근 허가 여부를 확인하며 계정 만료, 특정 시간대에 접근이 허용되었는지 여부를 확인한다.

인증하는 기능이 아니며 현재 시간, 사용자의 위치와 같은 다른 요소들의 접근 권한을 결정하는데, 예로 root 사용자의 로그인은 콘솔로만 한다. 이런 식으로 결정하는 것이다.

password

비밀번호를 설정하고 확인한다.

비밀번호를 기준에 맞게 변경하도록 하는 모듈을 지정한다.

session

사용자가 인증 받기 전후에 필요한 홈 디렉토리 마운트, 메일박스 생성 등의 유저 섹션을 구분하기 위해 부가적인 작업을 수행한다.

혹시라도 사용자의 로그인 전후에 수행해야 할 작업이 있다는 내용을 지정한다.

flag

설명

비고

required

인증이 거부되기 전에 PAM이 이 서비스에 등록된 모든 모듈들을 요구함에도 불구하고 실패할 경우 인증을 거부하도록 한다.

해당 모듈은 개별 사용자에 대한 인증을 반드시 진행해야 한다. 인증이 안될 경우 실패가 반드시 반환되어야 한다.

requisite

이 모듈을 이용하는 인증이 실패할 경우, 즉시 인증을 거부하도록 한다.

required와 비슷하지만 이 플래그가 인증을 실패할 경우 설정 파일에서 이 값 다음으로 나오는 모듈들을 호출되지 않는다. 실패한 결과는 즉시 응용 프로그램으로 전달된다.

sufficient

이전에 요청되어진 모듈이 실패하더라도 이 모듈에 의해서 인증이 성공할 경우 PAM은 인증을 승인한다.

모듈이 성공 값을 반환하고 설정 파일에서 required와 sufficient 제어 플래그가 필요하지 않다면 PAM은 해당 응용 프로그램에서 성공을 반환한다.

optional

이 모듈이 성공 또는 실패하는지는 그 모듈이 서비스에 대한 형식에 유일한 모듈일 경우에 해당한다.(성공 여부 상관 X)

이 제어 플래그는 모듈의 결과를 무시한다. PAM으로 다른 모듈을 지속적으로 확인하도록 한다. 확인 작업이 실패하게 되더라도 계속 진행하게 된다.

특정 모듈이 실패하더라도 사용자가 로그인하는 것을 허용하고자 할 때 리 플래그를 사용하면 된다.

include

이 플래그는 인자(argument)에 지정된 또 다른 설정 파일의 내용이나 지침을 포함시키기 위해 사용된다. 즉, 서로 다른 PAM 설정 파일의 내용을 연결하고 구성하는 방식으로 사용된다.

arguments

설명

비고

debug

시스템 로그에 디버깅 정보를 남기다.

no_warn

응용 프로그램에 경고 메시지를 제공하지 않는다.

use_first_pass

비밀번호를 두 번 확인하지 않는다. 대신 auth 모듈에서 입력한 비밀번호를 사용자 인증 과정 시에도 재사용 해야 한다.(이 옵션은 auth 및 password 모듈에 해당하는 옵션임)

try_first_pass

이 옵션은 use_first_oass 옵션과 비슷한데, 사용자는 두 번 비밀번호를 입력할 필요가 없기 때문이다. 하지만 기존의 비밀번호를 다시 입력하도록 되어 있다.

use_mapped_pass

이 인자는 이전 모듈에서 입력된 텍스트 인증 토큰을 입력 받도록 하는데, 이 값으로 암호화 또는 암호화가 해제된 키 값을 생성한다. 그 이유는 모듈에 대한 인증 토큰 값을 안전하게 저장하거나 불러오기 위함이다.

expose_account

이 값은 모듈로 하여금 계정 정보를 중요하다고 판단하지 않게 한다. 시스템 관리자에 의해 임의로 설정한 것이라 여겨진다.

nullok

이 인자는 호출된 PAM 모듈이 null 값의 비밀번호를 입력하는 것을 허용한다.

내용

설명

auth required pam_env.so

Pam_env.so 모듈을 사용하여 인증을 확인한다. 성공 시 남은 모듈 확인, 실패 시 남은 모듈을 확인 하지만 접근은 실패(pam_env.so는 설정 파일에서 환경 변수를 불러온다. /etc/environment, /etc/security/pam_env.conf)

auth sufficient pam_fprintd.so

password prompt를 대신하는 인증 서비스 중 한가지이다. 현재 사용되지 않으며 무조건 실패 처리

auth sufficient pam_unix.so nullok try_first_pass

/etc/passwd, /etc/shadow 파일과 비교하여 비밀번호를 검증한다.

nullok: 공백 비밀번호를 허용

try_first_pass: 이전에 입력 받은 비밀번호로 인증을 시도, 비밀번호가 없다면 사용자에게 물어본다.

auth requisite pam_succeed_if.so uid < 1000 quiet

uid가 1000 보다 작으면 인증을 수행한다.

quiet: 로그를 남기지 않는다.

$ vi /etc/pam.d/sshd

auth  required  pam_listfile.so  item=user  sense=deny  file=/etc/ssh/sshusers  onerr=succeed

$ vi /etc/ssh/sshusers

nuriapp

nuriotp

nuripam

nurifds

#%PAM-1.0

auth [user_unknown=ignore success=ok ignore=ignore default=bad] pam_securetty.so

auth       include      system-auth

account    required     pam_nologin.so

account    include      system-auth

password   include      system-auth

# pam_selinux.so close should be the first session rule

session    required     pam_selinux.so close

session    optional     pam_keyinit.so force revoke

session    required     pam_loginuid.so

session    include      system-auth

session    optional     pam_console.so

# pam_selinux.so open should only be followed by sessions to be executed in the user context

session    required     pam_selinux.so open

/* pam_test.c */

#include <stdio.h>

#include <stdlib.h>

#include <security/pam_appl.h>

#include <security/pam_modules.h>

#ifdef PAM_MODULE_ENTRY

PAM_MODULE_ENTRY("pam_test");

#endif

#ifndef PAM_EXTERN

#define PAM_EXTERN extern

#endif

PAM_EXTERN int pam_sm_setcred(pam_handle_t *pamh, int flags, int argc, const char **argv) {

    return PAM_SUCCESS;

}

PAM_EXTERN int pam_sm_acct_mgmt(pam_handle_t *pamh, int flags, int argc, const char **argv) {

    return PAM_SUCCESS;

}

PAM_EXTERN int pam_sm_close_session(pam_handle_t *pamh, int flags, int argc, const char **argv) {

    return PAM_SUCCESS;

}

PAM_EXTERN int pam_sm_open_session(pam_handle_t *pamh, int flags, int argc, const char **argv) {

    return PAM_SUCCESS;

}

PAM_EXTERN int pam_sm_chauthtok(pam_handle_t *pamh, int flags, int argc, const char **argv) {

    return PAM_SUCCESS;

}

/* expected hook, this is where custom stuff happens */

PAM_EXTERN int pam_sm_authenticate(pam_handle_t *pamh, int flags,int argc, const char **argv) {

#if 0

    // 아래 조건을 만족하지 못할 경우 로그인 실패로 처리함

    if (check_auth_pam(pamh) < 0)

        return PAM_PERM_DENIED;

#endif

    return PAM_SUCCESS;

}

gcc -fPIC -fno-stack-protector -c pam_test.c

ld -x --shared -o pam_test.so pam_test.o

cp pam_test.so /lib/security/ or /lib64/security/

chmod 555  /lib/security/pam_test.so or /lib64/security/pam_test.so

chown root /lib/security/pam_test.so or /lib64/security/pam_test.so

cc -c pam_test.c

ld -b -G -o pam_test.so pam_test.o

cp pam_test.so /usr/lib/security/ or /usr/lib64/security/

chmod 555  /usr/lib/security/pam_test.so or /usr/lib64/security/pam_test.so

chown root /usr/lib/security/pam_test.so or /usr/lib64/security/pam_test.so

cc -c pam_test.c -ldl -lc -lpam  -lcfg -lodm

cc -G -o pam_test.so pam_test.o -ldl -lc -lpam  -lcfg -lodm 

cp -pf pam_test.so /usr/lib/security/ or /usr/lib64/security/

chmod 555  /usr/lib/security/pam_test.so or /usr/lib64/security/pam_test.so

chown root /usr/lib/security/pam_test.so or /usr/lib64/security/pam_test.so

gcc -c -o pam_test.so pam_test.c

cp -pf pam_test.so /usr/lib/security/ or /usr/lib64/security/

chmod 555       /usr/lib/security/pam_test.so or /usr/lib64/security/pam_test.so

chown root:root /usr/lib/security/pam_test.so or /usr/lib64/security/pam_test.so

login   auth required /usr/lib/security/pam_test.so common

ftp     auth required /usr/lib/security/pam_test.so ftp

sshd    auth required /usr/lib/security/pam_test.so ssh

telnet  auth required /usr/lib/security/pam_test.so telnet

rsh     auth required /usr/lib/security/pam_test.so rsh

rlogin  auth required /usr/lib/security/pam_test.so rlogin

dtlogin auth required /usr/lib/security/pam_test.so dtlogin

[root]# env | grep JAVA_HOME

JAVA_HOME=/usr/lib/jvm/java-1.7.0-openjdk-1.7.0.121.x86_64

[root]# java -version

java version "1.7.0_121"

OpenJDK Runtime Environment (rhel-2.6.8.1.el5_11-x86_64 u121-b00)

OpenJDK 64-Bit Server VM (build 24.121-b00, mixed mode)

[root]# ln -s $JAVA_HOME/jre/lib/amd64/server/libjvm.so /lib64/libjvm.so

[root]# wget http://nuriapp.com/download/libpam_baro_authenticator-1.0.tar

[root]# tar -xvf libpam_baro_authenticator-1.0.tar

[root@libpam_baro_authenticator-1.0]# ls -al

-rw-r--r-- 1 root root   1063 11월 29 10:23 AnsiX923Padding.class

-rw-r--r-- 1 root root   2105 11월 29 10:23 BaroPAM.class

-rw-r--r-- 1 root root   2284 11월 29 10:23 Base64Coder.class

-rw-r--r-- 1 root root    170 11월 29 10:23 CryptoPaddingImpl.class

-rw-r--r-- 1 root root   2520 11월 29 10:23 Seed.class

-rw-r--r-- 1 root root  20799 11월 29 10:23 SeedCipher.class

-rwxr-xr-x 1 root root  49288 11월 30 11:30 baro-authenticator

-rw-r--r-- 1 root root   4387 11월 29 10:23 baropam.class

-rwxr-xr-x 1 root root 134839 11월 30 11:30 pam_baro_authenticator.so

[root@libpam_baro_authenticator-1.0]# cp pam_baro_authenticator.so /lib/security/.

or

[root@libpam_baro_authenticator-1.0]# cp pam_baro_authenticator.so /lib64/security/.

[root@libpam_baro_authenticator-1.0]# cp -rp pam_baro_authenticator.so /home/baropam/.

[root@libpam_baro_authenticator-1.0]# cp *.class /lib/security/.

or

[root@libpam_baro_authenticator-1.0]# cp *.class /lib64/security/.

baro-authenticator -r rate_limit -R rate_time -H hostname -i ip_addr -S secure_key -s finename

[root@libpam_baro_authenticator-1.0]# baro-authenticator -r 3 -R 30 -H qsh-0415.cafe24.com -i 1.234.83.169 -S 9Cy1VzAfxVqDKU37kmRgYpQZ5M9VoOTbMeIu8CKcM/o= -s /etc/ssh/.baro-authenticator

[bropam@libpam_baro_authenticator-1.0]# baro-authenticator -r 3 -R 30 -H qsh-0415.cafe24.com -i 1.234.83.169 -S 9Cy1VzAfxVqDKU37kmRgYpQZ5M9VoOTbMeIu8CKcM/o= -s /etc/ssh/.baro-authenticator

[root]# cat /etc/ssh/.baro-authenticator

JZ74AVEP2TQMX5OR

" RATE_LIMIT 3 30

" SECURE_KEY 9Cy1VzAfxVqDKU37kmRgYpQZ5M9VoOTbMeIu8CKcM/o=

" IP_ADDR 1.234.83.169

" HOSTNAME qsh-0415.cafe24.com

" WINDOW_SIZE 17

" DISALLOW_REUSE

" TOTP_AUTH

97856535

89591454

17487966

98116122

27182889

[root]# cat /etc/pam.d/sshd

#%PAM-1.0

auth       required     /lib64/security/pam_baro_authenticator.so nullok secret=/etc/ssh/.baro-authenticator

인자

기존

변경

비고

PasswordAuthentication

yes

no

ChallengeResponseAuthentication

no

yes

UsePAM

no

[root]# service sshd restart

sshd 를 정지 중: [  OK  ]

sshd (을)를 시작 중: [  OK  ]

#Time setting

11 4 * * * /usr/bin/rdate -s time.simplexi.com; /sbin/hwclock --systohc

or

11 4 * * * /usr/bin/rdate -s time.bora.net;