Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen der Seite angezeigt.

--- admin_grundlagen:pam-ssh-passwoerter-loggen [2021/10/13 06:36] – ingo_wichmann
+++ admin_grundlagen:pam-ssh-passwoerter-loggen [2026/10/10 08:05] (aktuell) – ingo_wichmann
@@ Zeile 1: / Zeile 1: @@
 ====== SSH Angriffsversuche - Passwörter loggen ======
-Achtung: führt dazu, dass __alle__ Passwörter geloggt werden. Das ist auf Maschinen, wo Nutzer Passwörter haben sicher nicht sinnvoll.
+Achtung: SSH übergibt nur die Passwörter bekannter Nutzer an PAM. Passwörter unbekannter Nutzer können so nicht geloggt werden :-(
-rudimentär getestet unter CentOS 8. Bekannter Bug: nur root-Passworte werden geloggt.
 <file txt /usr/local/sbin/log_password>
 #!/bin/bash
-read password
+read -r password
 echo "PAM_RHOST: $PAM_RHOST, PAM_RUSER: $PAM_RUSER, PAM_USER: $PAM_USER, password: $password"
 </file>
@@ Zeile 14: / Zeile 12: @@
   chmod +x /usr/local/sbin/log_password
-<file txt /etc/pam.d/password-auth>
+<file txt /etc/pam.d/sshd>
-auth       sufficient    pam_unix.so try_first_pass nullok
 auth       optional      pam_exec.so expose_authtok log=/tmp/passwords /usr/local/sbin/log_password
+…
 </file>
-(( ob ''/etc/pam.d/password-auth'' der ideale Ort dafür, ist fraglich. Und was passiert, wenn authselect o.ä. ausgeführt wird? ))
   tail -F /tmp/passwords
 warten ;-)
+Aufgabe: schreibe die PAM Konfiguration so um, dass nur fehlgeschlagenen Logins geloggt werden.