Was ist der Nachteil beim Deaktivieren von PAM in OpenSSH, wenn nur die Anmeldung mit öffentlichem Schlüssel zulässig ist?

8

/etc/ssh/sshd_config Standardmäßig hat die folgende Zeile

UsePAM yes

Ich habe die verfügbare Dokumentation gelesen und bin zu dem Schluss gekommen, dass PAM nicht verwendet wird, wenn ich nur die Anmeldung mit öffentlichem Schlüssel verwende. Welche möglichen negativen Folgen könnte es haben, wenn ich PAM deaktiviere? z.B

UsePAM no
ssh pam Rio
quelle
Wie Matthew vorschlägt, ist Ihre Schlussfolgerung falsch. Bei der Authentifizierung mit öffentlichem Schlüssel werden nur die authEinträge Ihrer PAM-Konfiguration übersprungen. accountund session werden in diesem Fall noch von sshd verwendet . Das Deaktivieren würde zu einem inkonsistenten Verhalten zwischen Ihren TTY-Anmeldungen und Ihren SSH-Anmeldungen führen .
Andrew B

Antworten:

10

PAM führt nicht nur die Authentifizierung durch, sondern auch Autorisierungs- und Sitzungsdienste. Sie möchten es wahrscheinlich beibehalten, da es einiges an Flexibilität bietet.

PAM wird für eine erfolgreiche Pubkey-Authentifizierung aufgerufen, da die Sitzungs- und Kontodienste weiterhin überprüft werden.

PAM kann Dinge tun, die SSH nicht kann. Diese Liste ist nicht vollständig:

  • Verweigern Sie einem Benutzer den Zugriff, wenn sich SELinux nicht im Erzwingungsmodus befindet (falls dies Ihr Ding ist).
  • Legen Sie Ressourcenlimits wie maximal zulässige Prozesse und maximal zulässige Anmeldungen fest.
  • Verweigern Sie einem Benutzer flexibel basierend auf seiner Benutzer- und Remote-Quell-IP (auch in SSH möglich, in PAM jedoch ziemlich knapp).
  • Richten Sie eine Reihe von Umgebungsvariablen ein, die Sie möglicherweise übergeben möchten.
  • Erstellen Sie ein Basisverzeichnis für einen Benutzer, falls es nicht vorhanden war.
  • Verweigern Sie Benutzern basierend auf der Uhrzeit / dem Datum ihres Zugriffsversuchs.
  • Inaktive Benutzer verweigern.
  • Verweigern Sie Benutzern die Verwendung einer ungültigen Shell.
  • Richten Sie die Schlüsselprotokollierungsfunktionen für die Eingabe ein.
Matthew Ife
quelle