Configurei uma imagem AWS e uma imagem Kubuntu, ambas com os princípios de benchmarking CIS descritos emhttps://www.cisecurity.org/cis-benchmarks/tendo sido aplicado.
Esporadicamente, durante esse período, encontrei problemas de autenticação que só podem ser descritos como estranhos.
A senha deixa de ser aceita pela máquina - e a senha é informada como incorreta.
Tentei então resolver o problema:
- Verificando permissões de arquivo na pasta de usuários. Sem sorte, a permissão está correta e a autenticação sem senha ainda funciona perfeitamente.
- Usando um root por meio de um segundo usuário na máquina, verificando as permissões de arquivo nos 8 arquivos de segurança em
/etc/(passwd,groups,shadow,gshadowe suas contrapartes). Sem sorte, as permissões estão corretas e todos os outros usuários funcionam - Usando root por meio de um segundo usuário, verifique a integridade das linhas nos arquivos listados acima. Sem sorte, as linhas são semelhantes às outras linhas
- Usando root por meio de um segundo usuário, redefina a senha do usuário com problema. Sem sorte, o usuário ainda não consegue fazer login, mesmo quando a senha foi definida para um usuário em branco
- Usando root por meio de um segundo usuário, crie um novo usuário eliminando o antigo. Funciona até que o problema se repita.
As imagens na Amazon são transformadas em novas caixas conforme necessário, e as máquinas Kubuntu não são usadas com frequência, mas isso permitiu alguns pontos interessantes:
- Isso parece acontecer após uma série de autenticações bem-sucedidas: se o spool de uma imagem da Amazon for adequado para algumas autenticações e falhar, o spool de outra imagem da Amazon falhará no mesmo ponto.
- Atualizar a partição raiz parece resolver isso, descartando /var e /home de serem parte do problema, pois estão em partições separadas nas caixas do Kubuntu
O que eu gostaria é saber exatamente o que está causando isso e resolver para não precisar criar novos usuários e reatribuir a propriedade de vez em quando.
Responder1
Acontece que o PAM estava contando logins bem-sucedidos como logins com falha e nunca redefinindo a contagem de falhas.
Parece que falta uma linha no PAM em sua configuração padrão que deve evitar esse problema. Especificamente, a seguinte linha deve estar /sbin/pam.d/common_accountcomo padrão
account required pam_tally2.so
Depois de incluir isso, pude ver que os logins bem-sucedidos estavam redefinindo os logins com falha para 0 corretamente.