Helyi felhasználók kezelése
minimális privilégiumok elve érvényesüljön
sudo
chmod
ACL rendszer bővítései (grsecurity, etc...)
bejelentkezés forrásának és idejének korlátozása
iptables
tcp wrappers
sshd konfiguráció
inaktív elérések törlése
last parancs
rendszernaplók
nem zárolt elérések keresése
egrep -v '.*:\*|:\!' /etc/shadow | awk -F: '{print $1}'
nem használt (egy fájlt sem birtokló) elérés keresése
find / -path /proc -prune -o -user <account> -ls
több gépen legyen azonos az UID
könnyebb adminisztráció
egyszerűbb eseménykövetés
fájlok másolása biztonságosabb
minden természetes személynek saját felhasználója legyen (számonkérhetőség)
jelszavak elévülésének engedélyezése
/etc/login.defs
PASS_MAX_DAYS
max ennyi napig érvényes
PASS_MIN_DAYS
min ennyi időt kell várni két változtatás között
PASS_WARN_AGE
ennyi nappal lejárat előtt figyelmeztet
/etc/default/useradd
INACTIVE
ennyi nappal lejárat után az elérés kikapcsol
EXPIRE
lejárat pontos dátuma YYYY-MM-DD
chage -l felhasználó
PAM - Pluggable Authentication Modules
X/Open Single Sign-on (XSSO) standard
jellemzők
moduláris
dinamikusan bővíthető
egymásra építhető (stackable)
szolgáltatások
authentication management
account mananagement
password management
session management
felhasználási lehetőségek
erős jelszavak kényszerítése
/etc/pam.d/common-password
password requisite pam_cracklib.so retry=3 minlen=8 difok=3
minlen=8
legalább 8 karakter hosszú jelszó
difok=3
legalább 3 karakter különbség legyen a régi és új jelszó közöt
pam_unix.so ... remember=26
az előző 26 jelszót ne engedje beállítani
http://sourceforge.net/projects/cracklib
sikertelen próbálkozások utáni kizárás
/etc/pam.d/common-account
account required pam_tally.so onerr=fail no_magic_root
onerr=fail
ha valami gond van, az alapértelmezett eredmény
no_magic_root
a root sem kivétel
/etc/pam.d/common-auth
auth required pam_tally.so per_user deny=5 no_magic_root reset
deny=5
5 próbálkozás után kitilt
reset
sikeres belépés nullázza a számlálót
faillog parancs
root belépés tiltása
/etc/pam.d/common-account
illetve a konkrét szolgáltatások
account required pam_access.so
/etc/security/access.conf
-:ALL EXCEPT users :ALL
csak az "users" csoport tagjai léphetnek be
http://www.kernel.org/pub/linux/libs/pam/
http://en.wikipedia.org/wiki/Pluggable_Authentication_Modules