Seringkali persyaratan dalam lingkungan yang aman adalah mengunci pengguna setelah mereka memasukkan kata sandi yang salah untuk beberapa kali tertentu. Ini membuat sistem melindungi dari serangan seperti serangan kamus kata sandi. Postingan tersebut menjelaskan cara mengunci akun setelah N upaya masuk yang salah menggunakan file pam.d .
Kunci pengguna setelah N login salah
1. Pertama, ambil cadangan file /etc/pam.d/password-auth dan /etc/pam.d/system-auth . Kemudian tambahkan baris berikut ke file.
auth required pam_tally2.so file=/var/log/tallylog deny=N even_deny_root unlock_time=1200 account required pam_tally2.so
Di sini,
file=/var/log/tallylog – Upaya masuk yang gagal dicatat di sini.
tolak – memungkinkan kita untuk menyetel nilai N (jumlah percobaan) setelah itu akun pengguna harus dikunci.
even_deny_root – memastikan bahwa aturan yang sama juga berlaku untuk pengguna root. Untuk mengecualikan pengguna root dari kebijakan ini, cukup hapus parameter dari baris. [Opsional]
buka_waktu – adalah waktu di mana akun harus tetap terkunci [Opsional]
Contoh /etc/pam.d/system-auth akan terlihat sebagai berikut:
# cat /etc/pam.d/system-auth #%PAM-1.0 # This file is auto-generated. # User changes will be destroyed the next time authconfig is run. auth required pam_env.so auth sufficient pam_fprintd.so auth sufficient pam_unix.so nullok try_first_pass auth requisite pam_succeed_if.so uid >= 1000 quiet_success auth required pam_deny.so account required pam_unix.so account sufficient pam_localuser.so account sufficient pam_succeed_if.so uid < 1000 quiet account required pam_permit.so password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok password required pam_deny.so session optional pam_keyinit.so revoke session required pam_limits.so -session optional pam_systemd.so session [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid session required pam_unix.so
2. Edit file /etc/ssh/sshd_config untuk meningkatkan MaxAuthTries nilai ke nilai yang lebih tinggi dari angka di atas.
# vi /etc/ssh/sshd_config MaxAuthTries 10
3. Simpan file setelah memeriksa ChallengeResponseAuthentication no sudah diatur dalam file.
# vi /etc/ssh/sshd_config ChallengeResponseAuthentication no
4. Mulai ulang layanan sshd.
# service sshd restart
Setel ulang kunci
1. gagal log perintah melaporkan jumlah upaya login yang gagal untuk pengguna tertentu:
# faillog -u [username]
2. Jika pam_tally2.so sedang digunakan, perintah pam_tally2 dapat digunakan untuk memeriksa jumlah percobaan login yang gagal untuk pengguna tertentu:
# pam_tally2 -u [username]
3. Untuk menyetel ulang kunci bagi pengguna, pam_tally2 perintah dapat digunakan:
# pam_tally2 --user=[username] --reset