Capitolo 4. Autenticazione

Indice

4.1. Autenticazione Unix normale
4.2. Gestire le informazioni su account e password
4.3. Password buone
4.4. Creare password cifrate
4.5. PAM e NSS
4.5.1. File di configurazione letti da PAM e NSS
4.5.2. La moderna gestione centralizzata del sistema
4.5.3. "Perché GNU su non supporta il gruppo wheel"
4.5.4. Regole più stringenti per le password
4.6. Altri controlli sugli accessi
4.6.1. sudo
4.6.2. SELinux
4.6.3. Limitare l'accesso ad alcuni servizi server
4.7. Sicurezza dell'autenticazione
4.7.1. Password sicure in Internet
4.7.2. Secure Shell, shell sicura
4.7.3. Misure aggiuntive di sicurezza per Internet
4.7.4. Rendere sicura la password di root

Quando una persona (o un programma) richiede l'accesso al sistema, l'autenticazione verifica che l'identità sia fidata.

[Avvertimento] Avvertimento

Errori di configurazione di PAM possono lasciare l'utente fuori dal proprio sistema. Si deve avere un CD di ripristino a portata di mano o impostare una partizione di avvio alternativa. Per fare il ripristino, avviare il sistema con uno di essi e correggere le cose da lì.

4.1. Autenticazione Unix normale

L'autenticazione Unix normale è fornita dal modulo pam_unix(8) sotto PAM (Pluggable Authentication Modules). I suoi 3 importanti file di configurazione, con voci separate da ":", sono i seguenti.

Tabella 4.1. I 3 importanti file di configurazione per pam_unix(8)

file permessi utente gruppo descrizione
/etc/passwd -rw-r--r-- root root informazioni sugli account utente (ripulite)
/etc/shadow -rw-r----- root shadow informazioni sicure sugli account utente
/etc/group -rw-r--r-- root root informazioni sui gruppi

"/etc/passwd" contiene righe come le seguenti.

 ...
utente1:x:1000:1000:Utente1 Nome,,,:/home/utente1:/bin/bash
utente2:x:1001:1001:Utente2 Nome,,,:/home/utente2:/bin/bash
 ...

Come spiegato in "passwd(5), le voci separate da ": in questo file hanno il significato seguente.

  • Nome di login

  • Voce di specificazione della password

  • ID numerico dell'utente

  • ID numerico del gruppo

  • Nome dell'utente o campo di commento

  • Directory home dell'utente

  • Voce opzionale per l'interprete di comandi utente

La seconda voce del file "/etc/passwd" era usata per la password cifrata. Dopo l'introduzione di "/etc/shadow", questa voce è usata per la specificazione della password.

Tabella 4.2. Il contenuto della seconda voce di "/etc/passwd"

contenuto significato
(vuoto) account senza password
x la password cifrata è in "/etc/shadow"
* nessun login per questo account
! nessun login per questo account

"/etc/shadow" contiene righe come le seguenti.

 ...
utente1:$1$Xop0FYH9$IfxyQwBe9b8tiyIkt2P4F/:13262:0:99999:7:::
utente2:$1$vXGZLVbS$ElyErNf/agUDsm1DehJMS/:13261:0:99999:7:::
 ...

Come spiegato in "shadow(5), le voci separate da ": in questo file hanno il significato seguente.

  • Nome di login

  • Password cifrata (I caratteri "$1$" iniziali indicano l'uso della cifratura MD5. "*" indica nessun login.)

  • La data, espressa in giorni trascorsi dall'1 gennaio 1970, in cui la password è stata modificata l'ultima volta

  • Giorni che devono trascorrere prima che la password possa essere cambiata

  • Giorni trascorsi i quali la password deve essere cambiata

  • Giorni di preavviso per avvisare l'utente che la password è in scadenza

"/etc/group" contiene righe come le seguenti.

gruppo1:x:20:utente1,utente2

Come spiegato in "group(5), le voci separate da ": in questo file hanno il significato seguente.

  • Nome del gruppo

  • Password cifrata (non realmente usato)

  • ID numerico del gruppo

  • Elenco di nomi utente separati da ","

[Nota] Nota

"/etc/gshadow" fornisce funzioni simili a "/etc/shadow" per "/etc/group", ma non è realmente usato.

[Nota] Nota

Può essere dinamicamente aggiunta la reale appartenenza di un utente ad un gruppo se viene aggiunta la riga "auth optional pam_group.so al file "/etc/pam.d/common-auth" e se viene impostata in "/etc/security/group.conf". Vedere pam_group(8).

[Nota] Nota

Il pacchetto base-passwd contiene una lista autorevole di utenti e gruppi: "/usr/share/doc/base-passwd/users-and-groups.html".

4.2. Gestire le informazioni su account e password

Quelli che seguono sono alcuni comandi degni di nota per gestire le informazioni sugli account

Tabella 4.3. Elenco di comandi per gestire informazioni su account

comando funzione
getent passwd <nome_utente> sfoglia le informazioni sull'account di "<nome_utente>"
getent shadow <nome_utente> sfoglia le informazioni shadow sull'account di "<nome_utente>"
getent group <nome_gruppo> sfoglia le informazioni sul gruppo "<nome_gruppo>"
passwd gestisce la password per l'account
passwd -e imposta una password usa e getta per l'attivazione dell'account
chage gestisce le informazioni sulla scadenza della password

Può essere necessario avere i privilegi di root per far funzionare alcune di queste funzioni. Vedere crypt(3) per la cifratura di password e dati.

[Nota] Nota

Nei sistemi configurati con PAM e NSS, come la macchina alioth Debian, il contenuto dei file locali "/etc/passwd", "/etc/group" e "/etc/shadow" può non essere attivamente usato dal sistema. I comandi sopra descritti sono validi anche in un ambiente di questo tipo.

4.3. Password buone

Quando si crea un account, durante l'installazione del sistema o con il comando passwd(1), si dovrebbe scegliere una buona password che consiste, secondo passwd(1), di un numero di caratteri da 6 a 8, incluso uno o più caratteri da ciascuno dei seguenti insiemi.

  • Lettere dell'alfabeto minuscole

  • Cifre da 0 a 9

  • Segni di punteggiatura

[Avvertimento] Avvertimento

Non scegliere come password parole indovinabili.

4.4. Creare password cifrate

Ci sono strumenti indipendenti per generare password cifrate con salt

Tabella 4.4. Elenco di strumenti per generare password

pacchetto popcon dimensione comando funzione
whois * V:11, I:89 154 mkpasswd frontend ricco di funzionalità per la libreria crypt(3)
openssl * V:69, I:95 1053 openssl passwd calcola hash di password (OpenSSL). passwd(1ssl)

4.5. PAM e NSS

I moderni sistemi *nix come il sistema Debian, forniscono all'amministratore di sistema i meccanismi PAM (Pluggable Authentication Modules) e NSS (Name Service Switch) per configurare il sistema. Il ruolo di questi meccanismi può essere riassunto nel modo seguente.

  • PAM offre un meccanismo di autenticazione flessibile usato dal software applicativi e comporta pertanto scambio di dati sulle password

  • NSS offre un meccanismo di servizio dei nomi flessibile che è usato di frequente dalla libreria standard C per ottenere i nomi di utenti e gruppi per programmi come ls(1) e id(1).

Questi sistemi PAM e NSS devono essere configurati in modo coerente.

I pacchetti degni di nota relativi ai sistemi PAM e NSS sono i seguenti.

Tabella 4.5. Elenco dei pacchetti degni di nota per i sistemi PAM e NSS

pacchetto popcon dimensione descrizione
libpam-modules * V:88, I:99 813 Pluggable Authentication Modules, moduli di autenticazione inseribili (servizio base)
libpam-ldap * V:2, I:3 408 Pluggable Authentication Module, modulo di autenticazione inseribile, che permette interfacce LDAP
libpam-cracklib * V:2, I:2 138 Pluggable Authentication Module, modulo di autenticazione inseribile, che permette il supporto di cracklib
libpam-doc * I:0.4 986 Pluggable Authentication Modules, moduli di autenticazione inseribili (documentazione in html e testo semplice)
libc6 * V:96, I:99 10060 Libreria GNU C: librerie condivise che forniscono anche il servizio "Name Service Switch"
glibc-doc * I:2 1992 Libreria GNU C: pagine man
glibc-doc-reference * I:1.0 11816 Libreria GNU C: manuale di riferimento nei formati info, pdf e html (non-free)
libnss-mdns * I:52 144 Modulo NSS per la risoluzione dei nomi DNS Multicast
libnss-ldap * I:3 268 Modulo NSS per l'uso di LDAP come servizio per i nomi
libnss-ldapd * V:0.14, I:0.9 124 Modulo NSS per l'uso di LDAP come servizio per i nomi (nuovo fork di libnss-ldap)

  • La guida per l'amministratore di sistema di Linux-PAM, "The Linux-PAM System Administrators' Guide", in libpam-doc è essenziale per imparare la configurazione di PAM.

  • La sezione "System Databases and Name Service Switch" in glibc-doc-reference è essenziale per imparare la configurazione di NSS.

[Nota] Nota

Si può ottenere un elenco più esteso ed aggiornato usando il comando "aptitude search 'libpam-|libnss-'". L'acronimo NSS può anche significare "Network Security Service" che è una cosa diversa da "Name Service Switch".

[Nota] Nota

PAM è il metodo più basilare per inizializzare le variabili d'ambiente per ciascun programma con valori predefiniti a livello di sistema.

4.5.1. File di configurazione letti da PAM e NSS

Quelli che seguono sono alcuni file degni di nota letti da PAM.

Tabella 4.6. Elenco di file di configurazione letti da PAM

file di configurazione funzione
/etc/pam.d/<nome_programma> imposta la configurazione PAM per il programma "<nome_programma>"; vedere pam(7) e pam.d(5)
/etc/nsswitch.conf imposta la configurazione NSS con la voce per ciascun servizio. Vedere nsswitch.conf(5)
/etc/nologin limita il login utente con il modulo pam_nologin(8)
/etc/securetty limita la tty per l'accesso root con il modulo pam_securetty(8)
/etc/security/access.conf imposta il limite di accesso con il modulo pam_access(8)
/etc/security/group.conf imposta restrizioni basate su gruppi con il modulo pam_group(8)
/etc/security/pam_env.conf imposta le variabili d'ambiente con il modulo pam_env(8)
/etc/environment imposta variabili d'ambiente aggiuntive con il modulo pam_env(8) con l'argomento "readenv=1"
/etc/default/locale imposta la localizzazione con il modulo pam_env(8) con l'argomento "readenv=1 envfile=/etc/default/locale" (Debian)
/etc/security/limits.conf imposta limitazioni alle risorse (ulimit, core, …) con il modulo pam_limits(8)
/etc/security/time.conf imposta limitazioni temporali con il modulo pam_time(8)

Le restrizioni sulla scelta delle password sono implementate dai moduli PAM pam_unix(8) e pam_cracklib(8). Possono essere configurati tramite i loro argomenti.

[Suggerimento] Suggerimento

I moduli PAM usano il suffisso ".so" nei loro nomi file.

4.5.2. La moderna gestione centralizzata del sistema

La moderna gestione centralizzata del sistema può essere messa in atto usando il server del Protocollo LDAP (Lightweight Directory Access Protocol) per amministrare molti sistemi *nix e non *nix in rete. L'implementazione open source del protocollo LDAP è il software OpenLDAP.

Il server LDAP fornisce le informazioni sugli account attraverso l'uso di PAM e NSS con i pacchetti per il sistema Debian libpam-ldap e libnss-ldap. Per abilitare ciò sono necessarie diverse azioni. (Non ho mai usato questa configurazione e le informazioni che seguono sono di seconda mano. Tenerlo a mente quando si legge quanto segue.)

  • Si configura un server LDAP centralizzato eseguendo programmi come il demone LDAP autonomo slapd(8).

  • Si modificano i file di configurazione di PAM nella directory "/etc/pam.d/" per usare "pam_ldap.so" invece del predefinito "pam_unix.so".

    • Debian usa "/etc/pam_ldap.conf" come file di configurazione per libpam-ldap e "/etc/pam_ldap.secret" come file per archiviare la password di root.

  • Si modifica la configurazione di NSS nel file "/etc/nsswitch.conf" per usare "ldap" invece della scelta predefinita ("compat" o "file").

    • Debian usa "/etc/libnss-ldap.conf" come file di configurazione per libnss-ldap.

  • Per la sicurezza delle password è necessario far sì che libpam-ldap usi una connessione SSL (o TLS).

  • Per assicurare l'integrità dei dati, si può far sì che libnss-ldap usi una connessione SSL (o TLS) a prezzo di un maggiore carico sulla rete LDAP.

  • Si dovrebbe eseguire nscd(8) localmente per mettere nella cache ogni risultato di ricerche LDAP in modo da ridurre il traffico di rete LDAP.

Vedere la documentazione in pam_ldap.conf(5) e "/usr/share/doc/libpam-doc/html/" fornita dal pacchetto libpam-doc e in "info libc 'Name Service Switch'" fornita dal pacchetto glibc-doc.

In modo simile si possono impostare sistemi centralizzati alternativi con altri metodi.

4.5.3. "Perché GNU su non supporta il gruppo wheel"

Questa è la famosa sezione scritta da Richard M. Stallman, alla fine della vecchia pagina "info su. Non c'è da preoccuparsi: l'attuale comando su in Debian usa PAM, perciò questo può limitare la possibilità di usare su verso il gruppo root abilitando la riga con "pam_wheel.so" in "/etc/pam.d/su".

4.5.4. Regole più stringenti per le password

L'installazione del pacchetto libpam-cracklib permette di imporre regole più stringenti sulle password, per esempio usando righe attive nel file "/etc/pam.d/common-password" come le seguenti.

Per squeeze:

password required pam_cracklib.so retry=3 minlen=9 difok=3
password [success=1 default=ignore] pam_unix.so use_authtok nullok md5
password requisite pam_deny.so
password required pam_permit.so

4.6. Altri controlli sugli accessi

[Nota] Nota

Vedere Sezione 9.5.15, «Tasto Alt-SysRq» per limitare la funzionalità SAK (Secure Attention Key) del kernel.

4.6.1. sudo

sudo(8) è un programma progettato per permettere ad un sysadmin di dare privilegi di root limitati ad utenti e di registrare l'attività come root. sudo richiede solo la password di un utente regolare. Installare il pacchetto sudo e attivarlo impostando le opzioni in "/etc/sudoers". Vedere un esempio di configurazione in "/usr/share/doc/sudo/examples/sudoers".

Il mio uso di sudo per un sistema con un singolo utente (vedere Sezione 1.1.12, «Configurazione di sudo») è mirato a proteggere me stesso dalla mia stupidità. Personalmente condidero l'uso di sudo come un'alternativa migliore all'uso costante del sistema dall'account root. Per esempio, il comando seguente cambia il proprietario di "<un_certo_file>" in "<mio_nome>".

$ sudo chown <mio_nome> <un_certo_file>

Naturalmente se si conosce la password di root (come accade per ogni utente Debian che ha installato il proprio sistema), qualsiasi comando può essere eseguito come utente root da qualsiasi account utente usando "su -c".

4.6.2. SELinux

SELinux (Security-Enhanced Linux) è un'infrastruttura per rendere il modello basato su privilegi più restrittivo del modello ordinario di sicurezza in stile Unix, usando politiche di controllo obbligatorio degli accessi (MAC, mandatory access control). I poteri di root possono essere limitati in determinate condizioni.

4.6.3. Limitare l'accesso ad alcuni servizi server

Per la sicurezza del sistema è una buona idea disabilitare il maggior numero di programmi server possibile. Questo aspetto diventa critico per i server di rete. Avere server inutilizzati, attivati direttamente come demoni o attraverso un programma super-server, è considerato un rischio per la sicurezza.

Molti programmi, come sshd(8), usano un controllo degli accessi basato su PAM. Ci sono molti modi per limitare gli accessi ad un qualche servizio server.

Vedere Sezione 3.5.3, «Esempio di gestione dei runlevel», Sezione 3.5.4, «Il parametro predefinito per ciascuno script init», Sezione 4.5.1, «File di configurazione letti da PAM e NSS», Sezione 3.5.8, «Inizializzazione dei servizi di rete» e Sezione 5.9, «Infrastruttura netfilter».

[Suggerimento] Suggerimento

I servizi Sun RPC devono essere attivi per i programmi NFS ed altri programmi basati su RPC.

[Suggerimento] Suggerimento

Se si hanno problemi con l'accesso remoto in sistemi Debian recenti, commentare la configurazione responsabile come "ALL: PARANOID" in "/etc/hosts.deny", se esiste. (Essere però consapevoli dei rischi per la sicurezza che questo tipo di azione comporta.)

4.7. Sicurezza dell'autenticazione

Le informazioni fornite in questo documento potrebbe non essere sufficienti per le proprie necessità di sicurezza ma dovrebbero essere un buon punto di partenza.

4.7.1. Password sicure in Internet

Molti servizi per livello di trasporto popolari comunicano i loro messaggi, compresa l'autenticazione con password, in puro testo. È una pessima idea trasmettere password in puro testo attraverso l'Internet selvaggia dove possono essere intercettate. Si possono eseguire questi servizi attraverso "TLS" (Transport Layer Security, sicurezza del livello di trasporto), o il suo predecessore "SSL" (Secure Sockets Layer, livello per socket sicuri), per rendere sicura tramite cifratura tutta la comunicazione, compresa la password.

Tabella 4.7. Elenco di servizi e porte sicuri e non sicuri

nome del servizio non sicuro porta nome del servizio sicuro porta
www (http) 80 https 443
smtp (posta) 25 ssmtp (smtps) 465
ftp-data 20 ftps-data 989
ftp 21 ftps 990
telnet 23 telnets 992
imap2 143 imaps 993
pop3 110 pop3s 995
ldap 389 ldaps 636

La cifratura ha un costo in termini di tempo CPU. Come alterativa leggera per la CPU, si può mantenere la comunicazione in testo semplice, rendendo allo stesso tempo sicura la sola password con un protocollo di autenticazione sicura come "APOP" (Authenticated Post Office Protocol) per POP e "CRAMD-MD5" (Challenge-Response Authentication Mechanism MD5) per SMTP e IMAP. (Per inviare messaggi di posta elettronica via Internet dal proprio programma di posta al proprio server di posta è diventato popolare recentemente l'uso per SMTP della porta 587 invece della porta tradizionale 25, per evitare il blocco da parte del fornitore del servizio Internet della porta 25 autenticandosi allo stesso tempo con CRAM-MD5.)

4.7.2. Secure Shell, shell sicura

Il programma Secure Shell (SSH fornisce comunicazioni sicure cifrate tra due host non fidati attraverso una rete non sicura, grazie ad un'autenticazione sicura. Consiste del client OpenSSH, ssh(1) e del demone OpenSSH, sshd(8). SSH può essere usato per fare da tunnel sicuro attraverso Internet per le comunicazioni con protocollo non sicuro come POP ed X, con la funzionalità di inoltro delle porte.

Il client cerca di autenticarsi usando un'autenticazione basata sull'host, su una chiave pubblica, challenge-response o con password. L'uso di un'autenticazione con chiave pubblica permette il login remoto senza password. Vedere Sezione 6.9, «Il server e le utilità per l'accesso remoto (SSH)».

4.7.3. Misure aggiuntive di sicurezza per Internet

Anche quando si eseguono servizi sicuri, come server SSH (Secure shell) e PPTP (Point-to-Point Tunneling Protocol), esiste sempre la possibilità di un'intrusione da Internet con attacchi basati sull'indovinare la password usando metodi con forza bruta, ecc. L'uso di una politica di firewall (vedere Sezione 5.9, «Infrastruttura netfilter») insieme agli strumenti di sicurezza elencati in seguito, può migliorare la sicurezza generale.

Tabella 4.8. Elenco di strumenti per fornire misure aggiuntive di sicurezza

pacchetto popcon dimensione descrizione
knockd * V:0.12, I:0.3 164 piccoli demone, knockd(1), e client, knock(1) per bussare alle porte
denyhosts * V:2, I:2 368 utilità per aiutare gli amministratori di sistema a contrastare hacker ssh
fail2ban * V:5, I:6 672 strumento per interdire IP che causano errori di autenticazione multipli
libpam-shield * V:0.01, I:0.05 104 blocca all'esterno gli attacchi remoti che cercano di indovinare le password

4.7.4. Rendere sicura la password di root

Per impedire che qualcuno possa accedere alla propria macchina con privilegi di root, è necessario compiere le azioni seguenti.

  • Impedire l'accesso fisico al disco fisso

  • Bloccare il BIOS ed impedire l'avvio da supporti removibili

  • Impostare una password per la sessione interattiva di GRUB

  • Bloccare il menu di GRUB impedendo i cambiamenti

Avendo accesso fisico al disco fisso, reimpostare la password di root è relativamente semplice seguendo i passi seguenti.

  1. Spostare il disco fisso in un PC con un BIOS che permette l'avvio da CD

  2. Avviare il sistema con un supporto di ripristino (disco di avvio di Debian, CD Knoppix, CD GRUB, …).

  3. Montare la partizione root con accesso in lettura e scrittura

  4. Modificare il file "/etc/passwd" nella partizione root e rendere la seconda voce per l'account di root vuota.

Se si ha l'accesso in modifica alle voci di menu di GRUB (vedere Sezione 3.3, «Stadio 2: il bootloader») per grub-rescue-pc all'avvio, è ancora più semplice, seguendo i passi seguenti.

  1. Avviare il sistema con i parametri del kernel modificati in qualcosa del tipo "root=/dev/hda6 rw init=/bin/sh".

  2. Modificare il file "/etc/passwd" e rendere la seconda voce per l'account di root vuota.

  3. Riavviare il sistema.

Si può ora accedere alla shell di root del sistema senza password.

[Nota] Nota

Una volta ottenuto l'accesso alla shell di root, si ha l'accesso a qualsiasi cosa sul sistema e si può reimpostare qualsiasi password. Inoltre, si possono compromettere le password per tutti gli account utente usando strumenti di violazione delle password con attacchi a forza bruta, come quelli nei pacchetti john e crack (vedere Sezione 9.6.11, «Verifica della sicurezza e dell'integrità del sistema»). Queste password violate possono portare alla compromissione di altri sistemi.

L'unica soluzione software ragionevole per evitare tutte queste preoccupazioni è l'uso di una partizione root (o partizione "/etc") cifrata, usando dm-crypt e initramfs (vedere Sezione 9.4, «Suggerimenti per la cifratura dei dati»). Tuttavia è sempre necessaria la password per avviare il sistema.