Voici quelques fichiers de configuration importants auxquels PAM peut accéder :

Les limitations dans la sélection des mots de passe est implémentée par les modules PAM pam_unix(8) et pam_cracklib(8). Ils peuvent être configurés à l’aide de leurs paramètres.

	Astuce
	Les noms de fichiers des modules PAM ont le suffixe « .so ».

La gestion centralisée du système peut être mis en œuvre en utilisant le serveur centralisé LDAP Protocole léger d'accès aux répertoires (« Lightweight Directory Access Protocol ») pour administrer de nombreux systèmes semblables à UNIX ou autres sur le réseau. Le logiciel OpenLDAP est l’implémentation à sources ouvertes du protocole LDAP

Sur un système Debian, le serveur LDAP fournit les informations de compte en utilisant PAM et de NSS avec les paquets libpam-ldap et libnss-ldap. Un certain nombre d'actions sont nécessaires pour l’activer (je n'ai pas utilisé cette configuration et ce qui suit est une information secondaire. Veuillez la lire dans ce contexte) :

Consultez les documentations dans pam_ldap.conf(5) et « /usr/share/doc/libpam-doc/html/ » qui sont fournies par le paquet libpam-doc et « info libc 'Name Service Switch' fournie par le paquet glibc-doc.

De manière similaire, vous pouvez mettre en œuvre des systèmes centralisés de remplacement avec d'autres méthodes.

C'est la célèbre phrase de Richard M. Stallman en bas de l’ancienne page info su. Ne pas s'inquiéter : la commande su actuelle de http://www.debian.org utilise PAM, on peut donc restreindre l’accès de su au groupe root en activant la ligne de « /etc/pam.d/su »comportant « pam_wheel.so ».

L’installation du paquet libpam-cracklib vous permet de forcer des règles plus strictes concernant les mots de passe en mettant, par exemple, les lignes suivantes dans « /etc/pam.d/common-password » :

Pour squeeze :

password required pam_cracklib.so retry=3 minlen=9 difok=3
password [success=1 default=ignore] pam_unix.so use_authtok nullok md5
password requisite pam_deny.so
password required pam_permit.so

sudo(8) est un programme conçu pour permettre à un administrateur système de donner des privilèges d'administration limités aux utilisateurs et d'enregistrer dans un journal les actions de l’administrateur (« root ». sudo ne demande que le mot de passe d'un utilisateur normal. Installez le paquet sudo et activez-le en définissant les options dans « /etc/sudoers ». Consultez l’exemple de configuration dans « /usr/share/doc/sudo/examples/sudoers » et Section 1.1.12, « Configuration de sudo ».

Mon utilisation de sudo sur un système avec un seul utilisateur (consultez Section 1.1.12, « Configuration de sudo ») est destinée à me protéger moi-même contre ma propre stupidité. Personnellement, je considère que l’utilisation de sudo est une meilleure alternative que l’utilisation permanente du système depuis le compte de l’administrateur. Par exemple, les modifications suivantes du propriétaire de « <un_fichier> » par « <mon_nom> » :

$ sudo chown <mon_nom> <un_fichier>

Bien sûr, si vous connaissez le mot de passe de root (comme beaucoup d'utilisateurs de Debian qui ont installé eux-mêmes leur système), n'importe quelle commande peut être lancée en tant qu'administrateur depuis un compte utilisateur par « su -c ».

PolicyKit est un composant du système d'exploitation permettant de contrôler les droits globaux sur les systèmes de type UNIX.

Les applications graphiques les plus récentes ne sont pas conçues pour fonctionner comme des processus privilégiés. Elles échangent avec les processus privilégiés par l'intermédiaire de PolicyKit pour réaliser les opérations d'administration.

PolicyKit limite de telles opérations aux comptes d'utilisateurs appartenant au groupe sudo sur le système Debian.

Consultez polkit(8).

Security-Enhanced Linux (SELinux) est une infrastructure pour resserrer davantage le modèle des privilèges que le modèle de sécurité ordinaire des systèmes semblables à UNIX avec les règles de contrôle d'accès obligatoire (MAC) (« mandatory access control »). La puissance de l’administrateur peut être restreinte sous certaines conditions.

Pour la sécurité du système, il est préférable de désactiver autant de programmes de serveurs que possible. Cela devient critique pour les services par l’intermédiaire du réseau. Avoir des services réseau inutilisés, qu'ils soient activés directement en tant que démon ou par l’intermédiaire du programme super-serveur, est considéré comme un risque de sécurité.

De nombreux programmes, tels que sshd(8), utilisent un contrôle d'accès basé sur PAM. Il y a de nombreuses manières de restreindre l’accès à certains serveurs de services :

Consultez Section 3.5.3, « Exemple de gestion de niveau de fonctionnement », Section 3.5.4, « Paramètre par défaut de chaque script init », Section 4.5.1, « Fichiers de configuration auxquels accèdent PAM et NSS », Section 3.5.8, « Initialisation des services réseau » et Section 5.9, « Infrastructure de netfilter ».

	Astuce
	Les services Sun RPC doivent être actif pour NFS et les autres programmes basés sur RPC.

	Astuce
	Si vous avez des problèmes pour les accès à distance sur un système Debian récent, commentez la ligne de configuration posant problème, comme « ALL: PARANOID » de « /etc/hosts.deny » si elle existe. (Mais vous devrez faire attention au risque de sécurité induit par ce type d'action).

La couche de transport de nombreux services populaires communique les messages, y compris les mots de passe d'authentification, en texte clair. C'est une très mauvaise idée de transmettre un mot de passe en texte clair dans la jungle d'Internet où il peut être intercepté. Vous pouvez faire tourner des services sur une couche de transport sécurisée « Sécurité de la couche de transport (« Transport Layer Security ») » (TLS) ou son prédécesseur « Secure Sockets Layer » (SSL) pour sécuriser par chiffrement la communication dans son ensemble, y compris le mot de passe.

Le chiffrement coûte du temps processeur. Comme solution de remplacement pour économiser du temps processeur, vous pouvez continuer à effectuer les communications en texte clair tout en ne sécurisant que le mot de passe avec un protocole d'authentification sécurisé comme « Authenticated Post Office Protocol » (APOP) pour POP et « Challenge-Response Authentication Mechanism MD5 » (CRAM-MD5) pour SMTP et IMAP. (Depuis peu, pour envoyer des messages de courrier électronique au travers d'internet à votre serveur de courrier depuis votre client de courrier, il est devenu habituel d'utiliser le port 587 en remplacement du port SMTP 25 habituel pour soumettre le courrier afin d'éviter le blocage du port 25 par le fournisseur d'accès au réseau tout en vous authentifiant avec CRAM-MD5).

Le programme SSH, Shell sûr (« Secure Shell ») permet une communication chiffrée sûre entre deux machines qui ne soient pas « de confiance » au travers d'un réseau non sûr avec une authentification sûre. Il est constitué du client OpenSSH, de ssh(1), et du démon OpenSSH, sshd (8). SSH peut être utilisé pour « tunneler » de manière sécurisée un protocole de communications non sûr tel que POP et X au travers d'Internet à l’aide de la fonctionnalité de transfert de port.

Le client essaie de s'authentifier en utilisant l’authentification basée sur l’hôte, une clé publique d'authentification, une authentification par question-réponse ou une authentification par mot de passe. L’utilisation d'une authentification par clé publique permet la connexion à distance sans mot de passe. Consultez Section 6.9, « Le serveur et les utilitaires d'accès à distance (SSH) ».

Même si vous tournez avec des services sécurisés comme des serveurs Secure Shell (SSH) et Point-to-point tunneling protocol (PPTP), il reste des chance de break-ins en utilisant depuis Internet une attaque de force brute pour trouver le mot de passe, etc. L’utilisation d'une politique de pare-feu (consultez Section 5.9, « Infrastructure de netfilter ») conjointement avec les outils sûrs qui suivent peut améliorer la sécurité :

Afin d'éviter que des personnes accèdent à votre machine avec les privilèges de l’administrateur, vous devez prendre les mesures suivante :

Avec un accès physique au disque, réinitialiser le mot de passe est relativement facile en suivant les étapes suivantes :

Si vous avez l’accès en édition au menu GRUB (consultez Section 3.3, « Étage 2 : le chargeur initial »), avec grub-rescue-pc, il est encore plus simple d'effectuer les étapes suivantes au moment du démarrage :

L’interpréteur de commandes de l’administrateur est maintenant accessible sans mot de passe.

Note

Une fois que quelqu'un a accès à l’interpréteur de commandes de l’administrateur, il peut accéder à l’ensemble du système et en réinitialiser tous les mots de passe. De plus, il peut compromettre le mot de passe de n'importe quel utilisateur en utilisant des outils de cassage de mots de passe par force brute tels que les paquets john et crack (consultez Section 9.6.11, « Vérification de la sécurité et de l’intégrité du système »). Ces mots de passes cassés peuvent permettre de compromettre d'autres systèmes.

La seule solution logicielle raisonnable pour éviter tout ça est d'utiliser une partition racine (ou une partition « /etc ») chiffrée par logiciel en utilisant dm-crypt et initramfs (consultez Section 9.4, « Astuces de chiffrement des données »). Vous aurez alors toujours besoin d'un mot de passe pour vous connecter au système.