книги хакеры / журнал хакер / 128_Optimized

>>

настройкинеобходимовыполнитьвсегодвашага. Первый

— создатьслепокпальцаспомощьюследующейкоманды:

$ pam_fprint_enroll --enroll-finger 6

Цифра6 означаетбольшойпалецправойруки. Система fprint нумеруетпальцыобеихрукслеванаправо, отодного додесяти, такчто1 — этомизинецлевойруки, а8 — средний палецправой.

Второйшаг. Добавитьpam_fprint встекauth необходимых приложений. Дляэтогооткрываемужезнакомыйнам/etc/ pam.d/common-auth (или/etc/pam.d/system воFreeBSD) ивставляемвначалостроку«auth sufficient pam_fprint. so». Принеобходимостиуказываемфлагrequired вместо sufficient, чтобыбезотпечаткавообщенельзябыловойти

(нонерекомендуюэтогоделать; современныепотребительскиесистемыраспознаванияотпечатковпальцевдалекиот совершенства).

ЧЕРНЫЕСПИСКИ, БЕСПАРОЛЬНЫЕ ПОЛЬЗОВАТЕЛИИАЛЬТЕРНАТИВНЫЕБАЗЫПАРОЛЕЙ

Процесспомещенияпользователейвчерныеибелые спискидопоявленияPAM обычнопревращалсявкакое-то шаманство, сопровождаемоемногочисленнымиэкспериментами, аконечнаяцельдостигаласьзасчетиспользованиякостылей. Сегодняпользователямисистемнымадми-

нистраторамживетсянамноголегче: существуетнесколько PAM-модулей, позволяющихреализоватьблэклистинги автоматизациювходапользователявсистему.

Возьмем, кпримеру, модульpam_listfile (доступныйтолько впакетеLinux-PAM). Сегопомощьюлегконастроитьсистемубеспарольноговходапользователей. Простодобавь следующуюстрокувконфигурационныйPAM-файлнужного приложенияизапишибеспарольныхпользователейвфайл

/etc/users.allow:

auth sufficient pam_listfile.so item=user sense=allow file=/etc/users.allow onerr=fail

Немногоизменивстроку, можнодобитьсязапрещения входапользователей:

auth sufficient pam_listfile.so item=user sense=deny file=/etc/users.deny onerr=fail

Причем, вкачествезначенияопцииitem можноисполь-

зоватьтакжеtty, user, rhost, ruser, group, shell. Этодает возможностьзапрещать/позволятьвходнетольконаосновеименпользователей, ноиименитерминала, скоторого происходитвход, имениудаленногохоста/пользователя, группыит.д.

Другойпохожиймодульназываетсяpam_access. Он используетболеегибкийисложныйформатконфигураци-

info

•ВOpenBSD под-

держкаPAM полностьюотсутствует.

•СпомощьюPAM невозможнореализо-

ватьKerberos.

онногофайлаипредназначендляпомещениявстекaccount (проверка, можетлипользовательвойти, осуществляетсяужепослетого, какон представился, тоестьввелправильные логин и пароль). Модуль удобно использовать в связке с ssh для выставления за дверь неугодных. Для этого надо поместить модуль в стек account: «account required pam_access.so» и создать файл /etc/security/access.conf примерно с таким содержимым:

# vi /etc/security/access.conf

+: ALL : 192.168.1

+: good_guy : ALL - : ALL : ALL

Возвращаяськспискампользователей, нельзянеупомянутьодовольно интересноммодулеpam_pwdfile (cpbotha.net/software/pam_pwdfile).

Егозадача— предоставитьприложениямальтернативнуюбазупользователейипаролей, которуюонисмогутиспользоватьвместосистемного файла/etc/passwd. Этосвоегородаплагиндлятехприложенийидемонов, которыенеспособнывестиподобнуюбазусамостоятельно. Яркий пример: минималистичныйFTP-серверvsftpd. Запустиегоотнепривилегированногопользователя, иклиентынесмогутполучитьдоступксерверу. Выход: использоватьpam_pwdfile, которыйбудетвестиотдельный файллогиновипаролейспециальнодляvsftpd. Дляиспользования достаточнодобавитьследующиедвестрокивначало/etc/pam.d/vsftpd:

auth required pam_pwdfile.so pwdfile /usr/local/etc/

>>

телей, которые попытаются войти в систему сразу после проведения безуспешной попытки «взлома». В обычной ситуации для борьбы со скрипт-кидди лучше настроить блокировку на основе имени вызывающего хоста. Поэтому открываем файл /etc/security/pam_abl.conf и пишем в него:

# vi /etc/security/pam_abl.conf

// Черный список host_db=/var/lib/abl/hosts.db

//Блокировка сроком на два дня host_purge=2d

//Блокировка любого хоста после 10 неудачных попыток çà 1 ÷àñ

host_rule=*:10/1h

ПРОСТРАНСТВАИМЕН, АВТОМОНТИРОВАНИЕ, CHROOT

Как было сказано выше, стек PAM-модулей session предназначен для модулей, подготавливающих окружение для только что вошедшего пользователя. Это может быть любое действие, связанное с выделением или ограничением доступных пользователям ресурсов. Наиболее показательный пример — модуль pam_limits из пакета Linux-PAM (но не OpenPAM). Он ограничивает ресурсы приложений вошедшего пользователя на основе конфигурационного файла /etc/ security/limits.conf.

Если говорить о сторонних разработках, то в первую очередь следует упомянуть полезнейший модуль pam_chroot (sourceforge.net/ projects/pam-chroot), единственная задача которого — помещать вошедших пользователей в песочницу. Модуль незаменим, когда требуется организация shell-, ftpили какого-либо другого хостинга и любых конфигураций, предусматривающих вход в систему сомнительных лиц. Модуль очень прост в использовании. Для настройки достаточно выполнить две команды:

#echo 'session required pam_chroot.so' >> /etc/pam.d/ ssh

#echo 'vasya /usr/chroot' >> /etc/security/chroot. conf

Все, теперь vasya, вошедший с помощью ssh-клиента, будет помещен в каталог /usr/chroot и не сможет из него выбраться.

На втором месте в рейтинге — модуль pam_mkhomedir из пакета Linux-PAM, просто создающий домашний каталог для прошедшего аутентификацию пользователя.

Поначалу полезность модуля может показаться сомнительной, но администраторы гетерогенных сетей, состоящих вперемешку из машин Windows/UNIX, ценят его дороже своих потертых джинсов. Дело в том, что в таких сетях принято использовать Active Directory для хранения учетных данных пользователей, коих может быть не одна сотня. Вместо того чтобы создавать многочисленные каталоги для каждого пользователя, зарегистрированного в AD, они просто выполняют приведенную ниже команду на всех UNIX-машинах и удаляются в серверную порезаться в «контру»:

# echo 'session required pam_mkhomedir.so skel=/etc/ skel/ umask=027' >> /etc/pam.d/common-session

Модуль обычно используется в связке с модулем pam_winbind, осуществляющим аутентификацию в AD, или с pam_ldap, аутентифицирующим пользователей, используя сервер LDAP.

Почетное третье место занимает завязанный на возможностях Linuxядра модуль pam_namespace. Его задача — незаметное создание изолированной копии общедоступного каталога (/tmp, например) для каждого пользователя. Другими словами, вошедший пользователь получает доступ только к своей версии каталога /tmp и не видит

XÀÊÅÐ 08 /128/ 09

файлов других пользователей. Нужно это для борьбы с методами взлома, основанными на использовании состояний гонок (race condition), символических ссылок и просто для ограждения возможного нарушителя от любых файлов легальных пользователей. Модульиспользуетпростойконфигурационныйфайл/etc/security/ namespace.conf дляпринятиярешенияотом, какиекаталогидолжныбыть подменены. Вотпростаяинструкциядляизолированиякаталога/tmp:

#mkdir /tmp-inst

#chmod 0 /tmp-inst

#echo "/tmp /tmp-inst/ user root" >> /etc/security/ namespace.conf

#echo "session required pam_namespace.so" >> /etc/ pam.d/common-session

Результат: индивидуальный каталог /tmp для каждого пользователя, за исключением root’а (на самом деле файлы будут храниться в ката- логе /tmp-inst/юзер). Конфигурационная строка для изолирования каталога /home (чтобы злоумышленник не смог увидеть и получить доступ к каталогам пользователей) должна выглядеть так:

$HOME $HOME/$USER.inst/ user root

АВТОМАТИЗИРОВАННАЯПРОВЕРКА ПАРОЛЕЙНАСТОЙКОСТЬ

Плагины PAM-стека password вызываются каждый раз, когда пользователь меняет реквизиты своей учетной записи. Поэтому туда принято помещать любые модули, так или иначе связанные с проверкой введенных пользователем данных. Один из немногих таких модулей называется pam_cracklib и предназначен для проверки паролей на стойкость с помощью следующих техник:

•Отброс слишком коротких паролей;

•Запрещение пароля, совпадающего или очень похожего на предыдущий;

•Запрещение пароля, отличающегося от предыдущего только регис-

тром символов (UnixOid, UnIxOiD);

•Запрещение «паролей-перевертышей» (старый пароль: unixoid,

новый: dioxinu);

•Принуждение пользователя включать в пароль символы верхнего регистра, числа и другие знаки.

Практически единственное место, куда можно включить вызов pam_ cracklib — файл /etc/pam.d/passwd, используемый командой passwd.

Вот его содержимое после внесения изменений:

password required pam_cracklib.so retry=3 minlen=8 dcredit=-2 ucredit=-1 ocredit=-1 lcredit=0 password required pam_unix.so use_authtok

Аргументы модуля говорят о следующем: длина пароля должна составлять минимум 6 символов, из которых два должны быть числами, один — символом верхнего регистра и еще один — неалфавитным знаком (тире, например).

ВЫВОДЫ

Благодаря PAM и большому количеству его сторонних модулей, жизнь пользователей, системных администраторов и создателей дистрибутивов стала намного проще.

Практически для любой задачи, требующей аутентификации и настройки окружения пользователя, можно найти готовый модуль PAM, а при необходимости — написать его самому (это просто). Для дальнейшего изучения рекомендую обратиться к страничке www. kernel.org/pub/linux/libs/pam/modules.html. Она содержит ссылки на все доступные на данный момент модули PAM, способные работать в связке с Linux-PAM. z

081

ЕВГЕНИЙ ЗОБНИН / ZOBNIN@GMAIL.CO /, СЕРГЕЙ ЯРЕМЧУК / GRINDER@UA.FM/, ДЕНИС КОЛИСНИЧЕНКО / DHSILABS@MAIL.RU/

САПОГИ-СКОРОХОДЫ ДЛЯТУКСА

MegaFAQ поразгонуLinux надесктопе

ПрожорливостьсовременныхLinux-дистрибутивовлегкоощутить, запустиводинизнихнакомпес512 МбОЗУиликупивASUS EeePC. Нерасторопнаязагрузкадесктопа, борьбаприложенийзаресурсы, тонущийподсобственнымвесомFirefox ипостоянношуршащий жесткийдиск— зрелищепугающееиобескураживающее. Гдеже тотLinux, которыйспособенработатьнамашинахс16 Мбоперативкиипроцессоромсемействаi486? Аведьондосихпортам, внутри, задавленныйгрузоммногочисленныхбиблиотек, бесполезных демонов, жирныхприложенийикрасивостейрабочегостола.

>> unixoid

Тогдапереключениемеждуприложениями будетмедленное, затоосновноеприложение будетработатьбыстро. Изменитьзначение коэффициентаподкачкиможноспомощью команды:

# echo "20" > /proc/sys/vm/ swappiness

Иличерез/etc/sysctl.conf:

vm.swappiness = 20

Поэкспериментируйсразличнымипараметрами— толькотакможноподобратьдлясебя оптимальноезначение.

Крометого, немешаетограничитьразмер файловогокэша, чтобыонзанималменьшеОЗУ(такмыпредотвращаемсвопинг), и активироватьпринудительныйсбросбуфера вслучае, еслиприложениясуммарнозаймут болееполовиныпамяти:

vm.pagecache = 90 vm.dirty_ratio = 50

Q.Какоптимизироватьработужесткого диска?

A.Вбольшинствеслучаевсистемасама подбираетоптимальныепараметрыработыс жесткимдиском. Используяутилитуhdparm, естьвозможностьдополнительноповысить производительность. Чтобыполучитьинформациюотекущихнастройкаххарда, запустим команды:

$ hdparm /dev/sda

$ hdparm -i /dev/sda

Параметровбудетполученомного, нона производительностьнапрямуювлияютлишь некоторые:

•MaxMultSect/MultSect — максимальное/

текущеечислосекторов, которыедискможет считатьзаодинпроход(длямаксимальной производительностионидолжнысовпадать);

•PIO modes/DMA modes — режимы, которые поддерживаетжесткийдиск(режим, помеченныйзвездочкой, являетсятекущим);

•multcount — числоодновременносчитываемыхсекторов;

•I/O support — режимработыжесткогодиска (16-битныйрежим, 32-битныйрежимили32- битныйсинхронныйрежим);

•using_dma — использоватьDMA илинет;

•readahead — количествосекторовдляупреждающегочтения.

Переопределитьустановкидляконкретного дискаможновкоманднойстроке(вступаютв силунемедленно) или— указавихвконфигу-

рационномфайле/etc/hdparm.conf или/etc/ default/hdparm (потребуетсяперезагрузка). Влияниеизмененийможнопротестировать припомощикоманды«hdparm -tT /dev/sda».

ДляпримеравключимDMA (-d1), 32-битный

ПЛАНИРОВЩИКИВВОДА/

ВЫВОДАИПРОЦЕССОВ, РЕАЛТАЙМЯДРА

ЯдроLinuxподдерживаетнесколькоразличныхалгоритмовпланировщиковввода/вывода (I/Oscheduler)ипроцессов.СписокI/Oschedulerможнополучить,прочитавфайл/sys/ block/sda/queue/scheduler:

#cat/sys/block/sda/queue/scheduler noopanticipatorydeadline[cfq]

АлгоритмCFQ(CompletelyFairQueuing),используемыйпоумолчаниювсовременныхядрах, идеальноподходитдляслучаев,когдамножествопрограмммогутпотребоватьдоступк диску,атакжедлямногопроцессорныхсистем,которымтребуетсясбалансированнаяработа I/Oподсистемысразличнымиустройствами.ПрибольшихоперацияхсчитыванияегоможнопереключитьнаDeadlineилиAnticipatory:

#echoanticipatory>/sys/block/sda/queue/scheduler

Аналогичнаситуацияиспланировщикомпроцессов:здесьможновыбиратьмеждустарич- комO(1),CFS(CompletelyFairScheduler,абсолютносправедливыйпланировщик,включенв 2.6.23)илидругимипланировщиками,но,правда,дляэтогопридетсяпересобиратьядро.

Подробнееопланировщикахчитайвстатье«Позовипингвинанапланерку»,опубликованнойвz_12_2007.

КОМАНДАFREE ВДЕЙСТВИИ

КОНФИГУРАТОР

SYSTEM-CONFIG-SERVICES

режимI/O (c1); multicount выкручиваемпомак- симуму(-m64), аупреждающеечтениеставим равнымmulticount (-a64). Установкапараметра ‘-u1’ разрешаетдрайверупараллельнообрабатыватьнесколькопрерываний, чтоповышает производительность:

# hdparm -u1c1d1m64a64 /dev/sda

Дополнительноможнопоигратьсяспарамет- ром‘-W’ (0/1), отключающим/включающим кэширование. Егозначениезависитотпроиз-

>>