3

Идея в следующем. Позволить пользователям использовать свои системные логины и пароли для доступа к некоему вебсервису, запущенному на той же машине. При этом для большей безопасности по сети передавать только хэши от введённых паролей соединённых со случайными данными от сервера. Проверять пароли будет отдельный демон связанный с веб-сервисом по unix-сокету.

ОС Ubuntu.

Есть ли готовые решения? Возможно ли это запрограммировать с использованием библиотеки PAM? Создаст ли это ограничения на конфигурацию PAM?

На сколько я понял, все существующие плагины и патчи аутентификации для http-серверов через PAM получают пароли от пользователя только в открытом виде, видимо это вытекает из возможностей PAM.

Описание одного из похожих решений: https://davidben.net/thesis.pdf

12
  • Что бы по сети передать хеш вам надо на клиентской стороне получить хеш именно по тому алгоритму, который используется у вас на сервере. в HTTPS как то проще передать открытый пароль. Вообще как по мне, задумка странная. Обычно принято наоборот максимально отвязывать службы от системных паролей, что бы утечка пароля компрометировала только этого пользователя в этом сервисе, а не систему в целом
    – Mike
    29 авг 2016 в 15:31
  • @Mike, ну например samba по умолчанию синхронизирует свои пароли с системными
    – sercxjo
    29 авг 2016 в 15:40
  • 1
    Есть ли готовые решения? — ldap 29 авг 2016 в 15:41
  • @alexanderbarakin, непонятно как ldap относится в вопросу.
    – sercxjo
    29 авг 2016 в 15:52
  • 1
    @sercxjo, даёт возможность пользователям использовать свои единые логины и пароли для доступа к некоему сервису (в том числе для логина в операционной системе). 29 авг 2016 в 16:09

1 ответ 1

1

PAM получает пароли в открытом виде. Хотя теоретически можно написать PAM-модуль, заставляющий пользователя решать пример с данными и функцией известной только пользователю и вводить ответ вместо пароля. Хранятся пароли обычно в виде хэшей (это зависит от используемых модулей) с солью (дополнительной строкой делающей хэши одинаковых паролей уникальными), которая вычисляется в момент установки нового пароля в зависимости от времени и прочих случайных данных. Хэш это результат необратимого шифрования пароля, например когда ключом является сам пароль. В самом PAM не предусмотрена возможность для приложения работать с этими хэшами, они остаются внутри модулей.

Таким образом нужно либо перехватывать пароли через собственный PAM-модуль в момент их установки, либо использовать getspnam() для получения хэша из /etc/shadow.

В первом случае вычисленные в модуле хэши паролей (чтобы нельзя было узнать сам пароль) можно записать в файл доступный только проверяющему демону для веб-сервера. Веб-клиент должен будет хэшировать пароль дважды. Недостатки этого способа в том, что после установки пакета чтобы пользователь мог зайти на веб-сервис, он должен сначала сменить пароль. И если используется удалённое хранилище паролей, и пользователь сменит свой пароль с другого компьютера, в веб-сервисе будет действовать старый пароль.

Второй случай требует передавать веб-клиенту способ хэширования и соль из /etc/shadow, чтобы он мог таким же способом захэшировать пароль и потом захэшировать его ещё раз со случайными данными от сервера. Если PAM сконфигурирован с другими модулями кроме pam_unix, пользователь, чей пароль хранится в другом месте должен иметь пароль так же и в /etc/shadow, чтобы иметь возможность пользоваться веб-сервисом. Способ хэширования должен быть настроен так, чтобы веб-клиент его мог воспроизвести.

В самом проверяющем демоне нет нужды использовать PAM.

Данный способ аутентификации без SSL уязвим от перехвата пароля, если злоумышленник имеет возможность не только наблюдать за трафиком, но и вмешиваться в него. С помощью добавления своего кода в скрипт он может заставить браузер посылать пароль в открытом виде перед хэшированием.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.