Pam abl - 版の履歴

Kusanaginoturugi: Category:セキュアシェル

2024-08-16T09:37:21Z

← 古い版		2024年8月16日 (金) 18:37時点における版
1行目:		1行目:
	{{DISPLAYTITLE:pam_abl}}		{{DISPLAYTITLE:pam_abl}}
	[[Category:~~Secure Shell~~]]		[[Category:セキュアシェル]]
	[[Category:認証]]		[[Category:認証]]
	[[en:Pam abl]]		[[en:Pam abl]]

Kgx: /* PAM 認証スタックに pam_abl を追加 */ 情報を更新

2023-10-31T18:29:09Z

PAM 認証スタックに pam_abl を追加: 情報を更新

← 古い版		2023年11月1日 (水) 03:29時点における版
20行目:		20行目:
	=== PAM 認証スタックに pam_abl を追加 ===		=== PAM 認証スタックに pam_abl を追加 ===

			{{Note\|これにより、system-remote-login を使用するすべてのサービス (ssh、php など) で pam_abl が有効になります。}}
	お好きなエディタを使って {{ic\|1=/etc/pam.d/sshd}} を root で開いて下さい。一番上の行に以下を追加します:
⚫	auth required pam_abl.so config=/etc/security/pam_abl.conf

			選択したエディターで root として {{ic\|/etc/pam.d/system-remote-login}} を開きます。次の行を他のすべての行の上に追加します。
⚫	他に何も修正を加えていない場合、{{ic\|1=/etc/pam.d/~~sshd~~}} は以下のようになります:
⚫	#%PAM-1.0
⚫	auth required pam_abl.so config=/etc/security/pam_abl.conf
⚫	auth include system-login
⚫	account include system-login
⚫	password include system-login
⚫	session include system-login

			{{hc\|/etc/pam.d/system-remote-login\|2=
	上記の設定では ssh でのみ pam_abl が有効になります。他のサービスに影響はありません。
		⚫	auth required pam_abl.so config=/etc/security/pam_abl.conf
			}}

		⚫	他に何も変更を加えていないとすると、{{ic\|1=/etc/pam.d/system-remote-login}} は次のようになります。

			{{hc\|/etc/pam.d/system-remote-login\|2=
		⚫	#%PAM-1.0
		⚫	auth required pam_abl.so config=/etc/security/pam_abl.conf
		⚫	auth include system-login
		⚫	account include system-login
		⚫	password include system-login
		⚫	session include system-login
			}}

	=== pam_abl.conf の作成 ===		=== pam_abl.conf の作成 ===

Kgx: /* ブラックリストデータベースの管理 */ 古いユーザー/ホストのエントリを削除するを翻訳して追加

2023-10-31T18:24:57Z

ブラックリストデータベースの管理: 古いユーザー/ホストのエントリを削除するを翻訳して追加

← 古い版		2023年11月1日 (水) 03:24時点における版
60行目:		60行目:
	または:		または:
	# pam_abl -f -H <host>		# pam_abl -f -H <host>

			=== 古いユーザー/ホストのエントリを削除する ===

			pam_abl はデーモンとして実行されないため、ブラックリストの "遅延パージ" を実行します。つまり、認証が試行されるまで、古いユーザー/ホストのエントリはブラックリストから削除されません。これは機能には影響しませんが、ブラックリストに登録されたホスト/ユーザーをチェックするときに追加のエラーが表示されることがよくあります。強制的にパージを実行するには、次のコマンドを実行します。
			# pam_abl -p

	=== 他の pam_abl コマンド ===		=== 他の pam_abl コマンド ===

Kgx: /* ブラックリストのホスト/ユーザーの確認 */ 情報を更新

2023-10-31T18:22:16Z

ブラックリストのホスト/ユーザーの確認: 情報を更新

← 古い版		2023年11月1日 (水) 03:22時点における版
45行目:		45行目:
	root で、次のコマンドを実行:		root で、次のコマンドを実行:
	# pam_abl		# pam_abl

	{{Note\|pam_abl はデーモンとしては実行されないため、ブラックリストから削除されるのはすぐに行われるわけではありません。つまり、認証試行がされるまでブラックリストからユーザー/ホストが削除されることはありません。とくに機能に影響はありませんが、上記のコマンドでブラックリストを確認したときに多目にユーザーやホストが表示されることになります。強制的に削除させるには、次のコマンドを実行: {{ic\|# pam_abl -p}}}}

	=== 手動でブラックリストからホストやユーザーを削除 ===		=== 手動でブラックリストからホストやユーザーを削除 ===

Kgx: 項目を整理

2023-10-31T18:21:35Z

項目を整理

← 古い版		2023年11月1日 (水) 03:21時点における版
12行目:		12行目:
	[http://pam-abl.sourceforge.net/ pam_abl] は総当り攻撃による SSH パスワードの推測に対してセキュリティレイヤーを追加します。一定の時間内でログイン試行の失敗ができる限度を決めて、ホストやユーザーがその制限を越えた場合、ブラックリストに入れます。一度ブラックリストに入ったら、たとえ正しいパスワードが入力されたとしても認証は失敗します。一定期間ログインの試行を止めたホスト/ユーザーはブラックリストから削除されます。		[http://pam-abl.sourceforge.net/ pam_abl] は総当り攻撃による SSH パスワードの推測に対してセキュリティレイヤーを追加します。一定の時間内でログイン試行の失敗ができる限度を決めて、ホストやユーザーがその制限を越えた場合、ブラックリストに入れます。一度ブラックリストに入ったら、たとえ正しいパスワードが入力されたとしても認証は失敗します。一定期間ログインの試行を止めたホスト/ユーザーはブラックリストから削除されます。

	==インストール==		== インストール ==

	[[makepkg]] を使って [[AUR]] の {{AUR\|pam_abl}} の PKGBUILD をインストールしてください。		[[makepkg]] を使って [[AUR]] の {{AUR\|pam_abl}} の PKGBUILD をインストールしてください。

	==設定==		== 設定 ==

	===PAM 認証スタックに pam_abl を追加===		=== PAM 認証スタックに pam_abl を追加 ===

	お好きなエディタを使って {{ic\|1=/etc/pam.d/sshd}} を root で開いて下さい。一番上の行に以下を追加します:		お好きなエディタを使って {{ic\|1=/etc/pam.d/sshd}} を root で開いて下さい。一番上の行に以下を追加します:
	auth required pam_abl.so config=/etc/security/pam_abl.conf		auth required pam_abl.so config=/etc/security/pam_abl.conf
36行目:		39行目:
	詳細については、{{ic\|1=man pam_abl.conf}} を参照してください。		詳細については、{{ic\|1=man pam_abl.conf}} を参照してください。

	===ブラックリストデータベースの~~作成=~~==		== ブラックリストデータベースの管理 ==
	root で、データベースのディレクトリを作成 (上記で示したパスを指定した場合):
	# mkdir /var/lib/abl

		⚫	=== ブラックリストのホスト/ユーザーの確認 ===
	root で、pam_abl ユーティリティを実行してデータベースを初期化:
	# pam_abl

	これで Pam_abl が動作するようになります。PAM はデーモンではないため、変更を適用するために何かを再起動する必要はありません。故意にリモートホストをブラックリストに入れることで pam_abl がちゃんと動作しているか確認することを強く推奨します。手動でホストやユーザーをブラックリストに追加・削除する方法は下を見て下さい。

	==ブラックリストデータベースの管理==
⚫	===ブラックリストのホスト/ユーザーの確認===
	root で、次のコマンドを実行:		root で、次のコマンドを実行:
	# pam_abl		# pam_abl

	{{Note\|pam_abl はデーモンとしては実行されないため、ブラックリストから削除されるのはすぐに行われるわけではありません。つまり、認証試行がされるまでブラックリストからユーザー/ホストが削除されることはありません。とくに機能に影響はありませんが、上記のコマンドでブラックリストを確認したときに多目にユーザーやホストが表示されることになります。強制的に削除させるには、次のコマンドを実行: {{ic\|# pam_abl -p}}。}}		{{Note\|pam_abl はデーモンとしては実行されないため、ブラックリストから削除されるのはすぐに行われるわけではありません。つまり、認証試行がされるまでブラックリストからユーザー/ホストが削除されることはありません。とくに機能に影響はありませんが、上記のコマンドでブラックリストを確認したときに多目にユーザーやホストが表示されることになります。強制的に削除させるには、次のコマンドを実行: {{ic\|# pam_abl -p}}}}

		⚫	=== 手動でブラックリストからホストやユーザーを削除 ===

⚫	===手動でブラックリストからホストやユーザーを削除===
	root で、次を実行:		root で、次を実行:
	# pam_abl -w -U <user>		# pam_abl -w -U <user>
58行目:		55行目:
	# pam_abl -w -H <host>		# pam_abl -w -H <host>
	上記のどちらのコマンドでも * をワイルドカードとして使って複数のホスト/ユーザーにマッチさせることができます。		上記のどちらのコマンドでも * をワイルドカードとして使って複数のホスト/ユーザーにマッチさせることができます。

	===手動でブラックリストにホストやユーザーを追加===		=== 手動でブラックリストにホストやユーザーを追加 ===

	root で、次を実行:		root で、次を実行:
	# pam_abl -f -U <user>		# pam_abl -f -U <user>
	または:		または:
	# pam_abl -f -H <host>		# pam_abl -f -H <host>
	===他の pam_abl コマンド===		=== 他の pam_abl コマンド ===

	Linux のほぼ全てのユーティリティと同様に、[[man ページ]]を使って全てのオプションを確認できます:		Linux のほぼ全てのユーティリティと同様に、[[man ページ]]を使って全てのオプションを確認できます:
	$ man pam_abl		$ man pam_abl

	== 既知の問題 ==		== 既知の問題 ==

Kgx: /* pam_abl.conf の作成 */ 情報を更新

2023-10-31T18:19:45Z

pam_abl.conf の作成: 情報を更新

@@ 30行目: / 30行目: @@
 上記の設定では ssh でのみ pam_abl が有効になります。他のサービスに影響はありません。
-===pam_abl.conf の作成===
+=== pam_abl.conf の作成 ===
-ルールなどをカスタマイズする方法は {{ic|1=man pam_abl.conf}} を見て下さい。
+詳細については、{{ic|1=man pam_abl.conf}} を参照してください。
 ===ブラックリストデータベースの作成===

Kgx: /* 既知の問題 */ 情報を更新

2023-10-31T18:17:57Z

既知の問題: 情報を更新

← 古い版		2023年11月1日 (水) 03:17時点における版
82行目:		82行目:
	Linux のほぼ全てのユーティリティと同様に、[[man ページ]]を使って全てのオプションを確認できます:		Linux のほぼ全てのユーティリティと同様に、[[man ページ]]を使って全てのオプションを確認できます:
	$ man pam_abl		$ man pam_abl
	==既知の問題==		== 既知の問題 ==
⚫	~~pam_abl の~~現在のバージョン (~~0.6~~.0) には特定の状況下でブラックリストに~~問題が発生~~することがあります。

		⚫	現在のバージョン (1.0) の時点で、pam_abl には特定の条件下でブラックリストに登録する機能に影響を与える可能性がある問題があります。
⚫	sshd の挙動と pam モジュールへの情報の渡し方に~~問題があるため~~、~~ログインに~~失敗~~しても二~~回目の試行が行われたり接続が切られるまで記録~~が行わ~~れません。~~そのため~~攻撃者が~~一回の~~接続で一回~~しかログイン~~試行~~をせず~~、接続を切らな~~かった場合~~、~~その試行~~失敗は記録されないこと~~になり~~ます。

		⚫	sshd の動作方法と pam モジュールに情報が渡される方法により、特定の試行の失敗は、2 回目の試行が行われるか、接続が閉じられるまでログに記録されません。これは、攻撃者が接続ごとに 1 回のみ試行し、接続を閉じない限り、失敗はログに記録されないことを意味します。
	In practice, the sshd_config settings "MaxStartups" (default 10) and to a lesser degree "LoginGraceTime" (default 120s) limit the viability of this approach, but it still could be used to squeeze out more attempts then you specify.

			実際には、sshd_config 設定の "MaxStartups" (デフォルト 10) と、程度は低いですが "LoginGraceTime" (デフォルト 120 秒) により、このアプローチの実行可能性は制限されますが、それでも、指定したよりも多くの試行を絞り出すために使用できる可能性があります。
	In the meantime, the workaround is to set "MaxAuthTries" to 1 (or expect that an additional "MaxStartups" number of attempts could be made above and beyond what you specify in your pam_abl config).

			それまでの回避策は、"MaxAuthTries" を 1 に設定することです (または、pam_abl 構成で指定した値を超えて追加の "MaxStartups" 試行が行われる可能性があることを期待します)

Kusanaginoturugi: アーカイブされた記事へのリンクを削除

2023-01-27T01:22:23Z

アーカイブされた記事へのリンクを削除

← 古い版		2023年1月27日 (金) 10:22時点における版
5行目:		5行目:
	{{Related articles start}}		{{Related articles start}}
	{{Related\|One Time PassWord}}		{{Related\|One Time PassWord}}
	{{Related\|S/KEY 認証}}
	{{Related\|Secure Shell}}		{{Related\|Secure Shell}}
	{{Related\|SSH 鍵}}		{{Related\|SSH 鍵}}

Kusakata: カテゴリ変更

2019-02-28T15:55:20Z

カテゴリ変更

← 古い版		2019年3月1日 (金) 00:55時点における版
1行目:		1行目:
	{{DISPLAYTITLE:pam_abl}}		{{DISPLAYTITLE:pam_abl}}
	[[Category:Secure Shell]]		[[Category:Secure Shell]]
	[[Category:~~セキュリティ~~]]		[[Category:認証]]
	[[en:Pam abl]]		[[en:Pam abl]]
	{{Related articles start}}		{{Related articles start}}

Kusakata: 同期

2016-05-28T13:39:22Z

同期

← 古い版		2016年5月28日 (土) 22:39時点における版
1行目:		1行目:
			{{DISPLAYTITLE:pam_abl}}
	[[Category:Secure Shell]]		[[Category:Secure Shell]]
	[[Category:セキュリティ]]		[[Category:セキュリティ]]
8行目:		9行目:
	{{Related\|SSH 鍵}}		{{Related\|SSH 鍵}}
	{{Related\|ポートノッキング}}		{{Related\|ポートノッキング}}
			{{Related\|PAM}}
	{{Related articles end}}		{{Related articles end}}
	~~'''Pam_abl'''~~ は総当り攻撃による SSH パスワードの推測に対してセキュリティレイヤーを追加します。一定の時間内でログイン試行の失敗ができる限度を決めて、ホストやユーザーがその制限を越えた場合、ブラックリストに入れます。一度ブラックリストに入ったら、たとえ正しいパスワードが入力されたとしても認証は失敗します。一定期間ログインの試行を止めたホスト/ユーザーはブラックリストから削除されます。		[http://pam-abl.sourceforge.net/ pam_abl] は総当り攻撃による SSH パスワードの推測に対してセキュリティレイヤーを追加します。一定の時間内でログイン試行の失敗ができる限度を決めて、ホストやユーザーがその制限を越えた場合、ブラックリストに入れます。一度ブラックリストに入ったら、たとえ正しいパスワードが入力されたとしても認証は失敗します。一定期間ログインの試行を止めたホスト/ユーザーはブラックリストから削除されます。

	==インストール==		==インストール==
	[[makepkg]] を使って [[AUR]] の {{AUR\|pam_abl}} PKGBUILD をインストールしてください。		[[makepkg]] を使って [[AUR]] の {{AUR\|pam_abl}} の PKGBUILD をインストールしてください。

	==設定==		==設定==

← 古い版		2023年1月27日 (金) 10:22時点における版
5行目:		5行目:
	{{Related articles start}}		{{Related articles start}}
	{{Related\|One Time PassWord}}		{{Related\|One Time PassWord}}
	{{Related\|S/KEY 認証}}
	{{Related\|Secure Shell}}		{{Related\|Secure Shell}}
	{{Related\|SSH 鍵}}		{{Related\|SSH 鍵}}