Re: Anzahl der login Fehlversuche begrenzen

[Evangelos Giakoumatos <vgiak@otenet.gr>]

Στις 05-12-2015, ημέρα Σαβ, και ώρα 00:18 +0200, ο/η Evangelos
Giakoumatos έγραψε: 
> Ich habe keine praktische Erfahrung mit PAM, aber ich habe vor kurzem
> das Buch "Linux Bible Ninth Edition by Christofer Negus" gelesen. Das
> Buch handelt meistens mit Red Hat Linux Enterprise und Fedora, aber
> Unterschiede zu Ubuntu sind auch erwähnt.
> 
> 
> Στις 03-12-2015, ημέρα Πεμ, και ώρα 09:55 +0100, ο/η Andreas Tille
> έγραψε: 
> > Ich habe jedenfalls mal folgende Änderung gemacht:
> > 
> > :/etc/pam.d# git diff
> > diff --git a/pam.d/common-auth b/pam.d/common-auth
> > index 5265ebc..9a417ef 100644
> > --- a/pam.d/common-auth
> > +++ b/pam.d/common-auth
> > @@ -26,3 +26,8 @@ auth  required                        pam_permit.so
> >  # and here are more per-package modules (the "Additional" block)
> >  auth   optional        pam_mount.so 
> >  # end of pam-auth-update config
> > +#
> > +# 2015-12-03:at: Lock account for 6h after 5 failed login attemts
> > +#   see http://www.linuxforums.org/forum/security/632-number-login-attempts-linux.html
> > +#   and http://www.rackspace.com/knowledge_center/article/using-pam-to-manage-accounts#2
> > +append auth required pam_tally.so onerr=fail deny=5 unlock_time=21600
> 
> >   1. Ist die Änderung im Debian-Sinne sinnvoll?
> 
> Ja. Du musst auch "account required pam_tally.so"
> an /etc/pam.d/common-account anfügen. Sehe [1].
> 
> >   2. Ist es korrekt, daß ich nun pam-auth-update --force
> >      aufrufen muß oder kann man das eleganter machen?
> 
> Laut "man pam-auth-update", du kannst "--force" benutzen.
> 
> 
> In Jessie gibt es auch pam_tally2.so. Vielleicht kannst du das
> verwenden. 
> 
> [1] http://www.rackspace.com/knowledge_center/article/using-pam-to-manage-accounts#2
> 

Ich glaube auch dass du ein Fehler in /etc/pam.d/common-auth gemacht
hast. Du musst das Wort "append" streichen. 
"append" vom link [2] heisst in Deutsch "hinzufügen". 
Also ist "append" ein Befehl zu den Leser des links [2] und nicht ein
Teil der Konfiguration in common-auth.


MfG

Vangelis


[2]
http://www.linuxforums.org/forum/security/632-number-login-attempts-linux.html