/etc/securetty 항목의 효과

Question 1

/etc/securettypam_securetty어느 가상 터미널( tty*) root에서 로그인이 허용되는지 결정하기 위해 모듈 이 참조합니다 .

예전에는 직접 /etc/securetty프로그램 같은 것을 통해 상담을 받았는데 login지금은 PAM이 그걸 처리하고 있어요. 따라서 변경 사항 /etc/securetty은 pam_securetty.so. 따라서 login기본적으로 프로그램만 영향을 받습니다.

/etc/pam.d/login로컬 로그인에 사용되며 /etc/pam.d/remote원격 로그인(텔넷 등)에 사용됩니다.

기본 항목 유형과 그 영향은 다음과 같습니다.

/etc/securetty존재하지 않는 경우 root모든 곳에서 로그인이 허용됩니다.tty
/etc/securetty존재하고 비어 있는 경우 단일 사용자 모드 또는 (예 : , , , ) root에 의해 제한되지 않는 프로그램으로 액세스가 제한됩니다.pam_securettysusudosshscpsftp
devfs(처리를 위해 더 이상 사용되지 않는 파일 시스템 ) 을 사용하는 경우 /dev양식의 항목을 추가하면 vc/[0-9]*지정된 가상 콘솔 번호에서 루트 로그인이 허용됩니다.
udev(동적 장치 관리 및 교체용 ) 을 사용하는 경우 devfs양식 항목을 추가하면 tty[0-9]*지정된 가상 콘솔 번호에서 루트 로그인이 허용됩니다.
현재 콘솔을 가리키기 때문에 일반적 console으로 나열은 /etc/securetty효과가 없으며 일반적으로 단일 사용자 모드의 파일 이름으로만 사용됩니다./dev/consoletty/etc/securetty
다음과 같은 항목을 추가하면 pts/[0-9]*의사 터미널( pty) 을 사용하는 프로그램이 허용되고 할당된 항목이 나열된 항목 중 하나라고 가정하여 pam_securetty로그인할 수 있습니다 . 보통은 좋은 생각이야rootpty~ 아니다보안 위험이 있으므로 이러한 항목을 포함합니다. 예를 들어 누군가가 일반 텍스트로 비밀번호를 보내는 텔넷을 통해 루트에 로그인할 수 있습니다(이 pts/[0-9]*형식은 RHEL 5.5에서 사용되는 형식입니다 . 장치 관리를 사용하거나 다른 형식으로 udev사용하는 경우에는 달라집니다 ).devfs

단일 사용자 모드의 경우 가 대신 사용되므로 /etc/securetty참조되지 않습니다 ( 자세한 내용은 매뉴얼 페이지 참조). 또한 각 런레벨에 사용되는 로그인 프로그램을 변경할 수 있습니다 .suloginloginsulogin/etc/inittab

를 통해 로그인을 /etc/securetty제어하는 데 를 사용해서는 안 됩니다 . 그렇게 하려면 in 의 값을 변경하십시오 . 기본적으로 은 (따라서 ) 문의하도록 구성되지 않습니다 . 이를 위해 라인을 추가할 수 있지만 스테이지가 끝날 때까지 실제를 설정하지 않으므로 예상대로 작동하지 않습니다. 및 단계 동안 (적어도 ) ( )는 으로 하드코딩됩니다 .rootsshPermitRootLogin/etc/ssh/sshd_config/etc/pam.d/sshdpam_securetty/etc/securettysshttyauthauthaccountopensshttyPAM_TTYssh

위 답변은 RHEL 5.5를 기반으로 합니다. 그 중 대부분은 다른 *nix 시스템의 현재 배포판과 관련이 있지만 차이점이 있습니다. 그 중 일부는 언급했지만 전부는 아닙니다.

다른 답변이 불완전하거나 부정확했기 때문에 제가 직접 답변했습니다. 온라인의 다른 많은 포럼, 블로그 등에도 이 주제에 대한 부정확하고 불완전한 정보가 있으므로 정확한 세부 정보를 얻기 위해 광범위한 연구와 테스트를 수행했습니다. 제가 말한 내용이 잘못된 경우에는 알려주시기 바랍니다.

출처:

Answer