码迷,mamicode.com
首页 > 系统相关 > 详细

ubuntu关于pam_tally2计数器在每次sudo时都增加的bug

时间:2015-11-07 06:51:22      阅读:564      评论:0      收藏:0      [点我收藏+]

标签:ubuntu sudo pam_tally2.so

使用pam_tally2模块来实现用户多次输入密码错误后锁住账号的需求,在/etc/pam.d/common-auth中增加pam_tally2的rule

auth        required      pam_tally2.so deny=5

配置完成后先用login或者ssh的方式验证一下,当用户错误输入密码5次后,账户都会被锁住10秒钟;账户解锁后输入正确的密码,pam_tally2的计数器清零。
查看计数器的命令如下:

pam_tally2 -u admin 

显示结果如下:

 pam_tally2 -u  admin 
 Login           Failures Latest failure     From admin               2    04/10/14 11:21:16  /dev/pts/0

但是在使用sudo的时候发现计数器不能正常清零,只要执行sudo,计数器就一直累加,不清零,除非使用命令手工清零

pam_tally2 -u admin --reset

锁定的行为也变得无章可循,执行几次后账户就会被锁住。


[admin@space-000c29c16417 root]$ sudo bash -c "echo aaa" [sudo] password for admin:  Sorry, try again. [sudo] password for admin:  Sorry, try again. [sudo] password for admin:  Sorry, try again. [sudo] password for admin:  aaa [admin@space-000c29c16417 root]$ sudo bash -c "echo aaa" [sudo] password for admin:  Sorry, try again. Your account is locked. Maximum amount of failed attempts was reached. [sudo] password for admin:

可以看到我在第四次的时候已经正确输入了密码,屏幕打印出“aaa",但是当我再次输入错误密码时,我的账号还是被锁住了。查看计数器失败次数已经超过5次


#pam_tally2 -u admin 
Login           Failures Latest failure     From admin               6    04/10/14 11:27:14  /dev/pts/0


这个问题是redhat的一个bug,能够找到bug号,里面有一个临时解决方案,最新的sudo版本应该已经解决了这个问题

https://bugzilla.redhat.com/show_bug.cgi?id=707660

解决办法是在system-auth配置文件的account段增加下面一行配置

account     required      pam_tally2.so

这样可以让计数器在每次sudo输入正确密码后清零。pam_tally2的文档这样解释:


Account phase resets attempts counter if the user is not magic root.This phase can be used optionally for services which don‘t call pam_setcred(3) correctly or if the reset should be done regardless of the failure of the account phase of other modules." 

这个问题一个可能的原因是sudo模块在执行具体动作之前关闭了pam的session,没有正确调用pam_setcred(),导致返回失败的错误码,pam_tally2计数器累加。

这个问题是redhat的一个bug,能够找到bug号,里面有一个临时解决方案,最新的sudo版本应该已经解决了这个问题

https://bugzilla.redhat.com/show_bug.cgi?id=707660

解决办法

     在common-auth配置文件的

"auth        required      pam_tally2.so deny=5"行后面加

account段增加下面一行配置

   account     required      pam_tally2.so  


补充一下发现的另一个问题:

似乎sudo和pam_tally2配合有很多问题,最近有问题说在输入错误密码5次后,账户被锁,等待超时,超时结束后第一次即使输入了正确密码,也还是提示“sorry, try again",第二次输入才通过。实验了半天,没看pam_tally的代码, 感觉似乎还是有bug,但是有解决方案,就是将后面的pam_uinx提到pam_tally前,因为它是sufficient的,所以只要通过,就不会再走pam_tally,问题解决。但是交换位置后会导致pam_tally的计数器不会清零,可能有其他副作用。

还有,之前配置有一个错误,rhel5的pam_tally不支持"no_magic_root"参数,去掉了


本文出自 “瞬间而过” 博客,请务必保留此出处http://misliang.blog.51cto.com/6973084/1710403

ubuntu关于pam_tally2计数器在每次sudo时都增加的bug

标签:ubuntu sudo pam_tally2.so

原文地址:http://misliang.blog.51cto.com/6973084/1710403

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!