<commit_before>---
layout: post
date: 30-12-2006
author: <NAME>
title: Hasła i PAM (Pluggable Authentication Modules)
tags: freebsd unix security shell
disqus: true
---

W jaki sposób zapewnić skuteczną ochronę zasobów systemu komputerowego? Można ów system ogrodzić, oddzielić od „sieci” i postawić przy nim wartownika. Jednak rozwiązaniem mniej kosztownym niż strażnik, który udostępnia każdemu użytkownikowi systemu terminal dostępowy, jest ścisła i „niezawodna” identyfikacja. Identyfikacja ta ma zapewnić ochronę przed nieautoryzowanym dostępem, sprawdzić, czy są użytkownicy potrzebujący uzyskać zasoby systemu oraz w jaki sposób chcą je wykorzystać. W idealnej sytuacji jakakolwiek identyfikacja mająca ochraniać dane nie byłaby konieczna. Jednak, gdy administrator musi borykać się z problemami „złośliwych” programów, słabo wyszkolonych użytkowników, włamywaczy szukających cennych danych, jak i tych, którzy chcieliby zniszczyć system, powinien mieć narzędzia i metody pozwalające na kontrolę dostępu do zasobów systemu komputerowego.

- [Modele identyfikacji](#)
    - [Kategoria bycia](#)
    - [Kategoria posiadania](#)
    - [Kategoria wiedzy](#)
- [Hasła](#)
    - [Przyczyny stosowania haseł](#)
    - [Postać hasła](#)
- [Formaty plików „z hasłami”](#)
    - [Linux](#)
    - [FreeBSD](#)
    - [Windows NT](#)
    - [Zmiana hasła](#)
- [Ataki na systemy haseł](#)
- [Inne modele identyfikacji](#)
    - [Identyfikacja „wyzwanie – odpowiedź”](#)
    - [Wykorzystanie kluczy publicznych](#)
- [PAM - Wprowadzenie](#)
    - [PAM - Cele](#)
    - [PAM – Scenariusz wykorzystania](#)
    - [PAM - Moduły](#)
    - [PAM - Konfiguracja systemu](#)
    - [PAM - /etc/pam.conf](#)
    - [PAM - /etc/pam.d](#)
    - [PAM – Przykładowe wpisy konfiguracyjne](#)
    - [PAM - Narzędzia i moduły](#)

### Modele identyfikacji
Identyfikacja bytu jakim może być: `osoba`, `host`, `terminal` inteligentny oraz program, może być rozpatrywana jako weryfikacja tego bytu w 3 kategoriach:

+ bycia;
+ posiadania;
+ wiedzy.

#### Kategoria bycia

Pierwsza kategoria nazywana jest także `user identificaction`. Każdy użytkownik w systemie cechuje się pewnymi unikalnymi właściwościami. W literaturze nazywa się je indywidualnymi cechami osobniczymi. Czy takie niepowtarzalne cechy mogą być podstawą identyfikacji?

Otóż jak dobrze wiemy odciski palców uznane są za niepowtarzalną `własność`, zatem sąd uznaje je za dowód nie do podważenia. Wymyślono więc urządzenia do identyfikacji linii papilarnych (`AFIM` – automated fingerprint identification machines), jednak maszyny takie są drogie a możliwość ich wykorzystania dość ograniczona.

Na podobnej zasadzie działają wszelkie systemy stwierdzające inne niepowtarzalne cechy jak badanie struktury siatkówki i tęczówki oka. Jednak mimo tego, iż prawdopodobieństwo błędnej akceptacji jest w ich przypadku naprawdę małe, wysoka cena specjalistycznych urządzeń dyskwalifikuje tą metodę do masowych zastosowań . Kolejne nie mniej ciekawe metody identyfikacji to badanie topografii dłoni lub geometrii twarzy. Wspomniane wyżej metody mają ważną zaletę, nie wiążą się z dość nieprzyjemnym zabiegiem jak np.: skanowanie gałki ocznej, ale ich prawdopodobieństwo błędnej identyfikacji jest znacznie większe niż w przypadku badania siatkówki. Systemy sprawdzające geometrie twarzy mogą służyć nie tylko jako medium autoryzujące, lecz mogą pomagać np.: w wyszukiwaniu terrorystów wśród pasażerów na lotnisku. Podpis odręczny jest sam w sobie pewnym zbiorem cech człowieka wynikającym z nawyków takich jak nacisk i kierunek prowadzenia pióra, styl pisma, w tym nachylenie liter, szybkość pisania itp. Podobna do tej metody może być identyfikacja na podstawie rytmu i tempa naciskania klawiszy. Jednak wiąże się to z wyposażeniem klawiatury w dodatkowe czujniki rejestrujące „parametry stukania w klawisze”. Aby ten opis metod identyfikacji był kompletny należy wspomnieć o identyfikacji na podstawie kodu DNA. Teoretycznie prawdopodobieństwo błędu jest tu równe zeru, ale obecnie metodę tę stosować można jedynie w specjalistycznych laboratoriach.

#### Kategoria posiadania

Wracając do kategorii weryfikacji podmiotu to druga z wymienionych, kategoria posiadania odnosi się do pewnych unikalnych przedmiotów. Przykładem może być karta chipowa lub magnetyczna chroniona hasłem dostępu. Przedmiot taki jest pewnym świadectwem autentyczności posiadacza, zatem wniosek jest prosty - użytkownik posiadający ów przedmiot nie powinien go udostępniać lub utracić.

#### Kategoria wiedzy<commit_msg>[dev] TOC for post Hasla i PAM<commit_after>---
layout: post
date: 30-12-2006
author: <NAME>
title: Hasła i PAM (Pluggable Authentication Modules)
tags: freebsd unix security shell
disqus: true
---

W jaki sposób zapewnić skuteczną ochronę zasobów systemu komputerowego? Można ów system ogrodzić, oddzielić od „sieci” i postawić przy nim wartownika. Jednak rozwiązaniem mniej kosztownym niż strażnik, który udostępnia każdemu użytkownikowi systemu terminal dostępowy, jest ścisła i „niezawodna” identyfikacja.

Identyfikacja ta ma zapewnić ochronę przed nieautoryzowanym dostępem, sprawdzić, czy są użytkownicy potrzebujący uzyskać zasoby systemu oraz w jaki sposób chcą je wykorzystać. W idealnej sytuacji jakakolwiek identyfikacja mająca ochraniać dane nie byłaby konieczna. Jednak, gdy administrator musi borykać się z problemami „złośliwych” programów, słabo wyszkolonych użytkowników, włamywaczy szukających cennych danych, jak i tych, którzy chcieliby zniszczyć system, powinien mieć narzędzia i metody pozwalające na kontrolę dostępu do zasobów systemu komputerowego.

- [Modele identyfikacji](#modele-identyfikacji)
    - [Kategoria bycia](#kategoria-bycia)
    - [Kategoria posiadania](#kategoria-posiadania)
    - [Kategoria wiedzy](#kategoria-wiedzy)
- [Hasła](#hasla)
    - [Przyczyny stosowania haseł](#przyczyny-stosowania-hasel)
    - [Postać hasła](#postac-hasla)
- [Formaty plików „z hasłami”](#formaty-plikow-z-haslami)
    - [Linux](#linux)
    - [FreeBSD](#freebsd)
    - [Windows NT](#windowsnt)
    - [Zmiana hasła](#zmiana-hasla)
- [Ataki na systemy haseł](#ataki)
- [Inne modele identyfikacji](#inne-modele)
    - [Identyfikacja „wyzwanie – odpowiedź”](#wyzwanie-odpowiedz)
    - [Wykorzystanie kluczy publicznych](#klucze-publiczne)
- [PAM - Wprowadzenie](#pam-wprowadzenie)
    - [PAM - Cele](#pam-cele)
    - [PAM – Scenariusz wykorzystania](#pam-wykorzystanie)
    - [PAM - Moduły](#pam-moduly)
    - [PAM - Konfiguracja systemu](#pam-konfiguracja)
    - [PAM - /etc/pam.conf](#pam-plik-konfiguracyjny)
    - [PAM - /etc/pam.d](#pam-demon)
    - [PAM – Przykładowe wpisy konfiguracyjne](#pam-przyklady)
    - [PAM - Narzędzia i moduły](#pam-narzedzia-moduly)

### Modele identyfikacji
Identyfikacja bytu jakim może być: `osoba`, `host`, `terminal` inteligentny oraz program, może być rozpatrywana jako weryfikacja tego bytu w 3 kategoriach:

+ bycia;
+ posiadania;
+ wiedzy.

#### Kategoria bycia

Pierwsza kategoria nazywana jest także `user identificaction`. Każdy użytkownik w systemie cechuje się pewnymi unikalnymi właściwościami. W literaturze nazywa się je indywidualnymi cechami osobniczymi. Czy takie niepowtarzalne cechy mogą być podstawą identyfikacji?

Otóż jak dobrze wiemy odciski palców uznane są za niepowtarzalną `własność`, zatem sąd uznaje je za dowód nie do podważenia. Wymyślono więc urządzenia do identyfikacji linii papilarnych (`AFIM` – automated fingerprint identification machines), jednak maszyny takie są drogie a możliwość ich wykorzystania dość ograniczona.

Na podobnej zasadzie działają wszelkie systemy stwierdzające inne niepowtarzalne cechy jak badanie struktury siatkówki i tęczówki oka. Jednak mimo tego, iż prawdopodobieństwo błędnej akceptacji jest w ich przypadku naprawdę małe, wysoka cena specjalistycznych urządzeń dyskwalifikuje tą metodę do masowych zastosowań . Kolejne nie mniej ciekawe metody identyfikacji to badanie topografii dłoni lub geometrii twarzy. Wspomniane wyżej metody mają ważną zaletę, nie wiążą się z dość nieprzyjemnym zabiegiem jak np.: skanowanie gałki ocznej, ale ich prawdopodobieństwo błędnej identyfikacji jest znacznie większe niż w przypadku badania siatkówki. Systemy sprawdzające geometrie twarzy mogą służyć nie tylko jako medium autoryzujące, lecz mogą pomagać np.: w wyszukiwaniu terrorystów wśród pasażerów na lotnisku. Podpis odręczny jest sam w sobie pewnym zbiorem cech człowieka wynikającym z nawyków takich jak nacisk i kierunek prowadzenia pióra, styl pisma, w tym nachylenie liter, szybkość pisania itp. Podobna do tej metody może być identyfikacja na podstawie rytmu i tempa naciskania klawiszy. Jednak wiąże się to z wyposażeniem klawiatury w dodatkowe czujniki rejestrujące „parametry stukania w klawisze”. Aby ten opis metod identyfikacji był kompletny należy wspomnieć o identyfikacji na podstawie kodu DNA. Teoretycznie prawdopodobieństwo błędu jest tu równe zeru, ale obecnie metodę tę stosować można jedynie w specjalistycznych laboratoriach.

#### Kategoria posiadania

Wracając do kategorii weryfikacji podmiotu to druga z wymienionych, kategoria posiadania odnosi się do pewnych unikalnych przedmiotów. Przykładem może być karta chipowa lub magnetyczna chroniona hasłem dostępu. Przedmiot taki jest pewnym świadectwem autentyczności posiadacza, zatem wniosek jest prosty - użytkownik posiadający ów przedmiot nie powinien go udostępniać lub utracić.

#### Kategoria wiedzy
{'fraction_non_alphanumeric': 0.06527969429996816, 'fraction_numerical': 0.0019106251990234583, 'mean_word_length': 5.1621975147155, 'pattern_counts': {'":': 0, '<': 5, '<?xml version=': 0, '>': 5, 'https://': 0, 'lorem ipsum': 0, 'www.': 0, 'xml': 0}, 'pii_count': 0, 'substrings_counts': 0, 'word_list_counts': {'cursed_substrings.json': 0, 'profanity_word_list.json': 0, 'sexual_word_list.json': 0, 'zh_pornsignals.json': 0}}
{'dir': 'git-commits-cleaned', 'id': '1775621', 'n_tokens_mistral': 3881, 'n_tokens_neox': 3967, 'n_words': 1099}