Bug 39726
| Summary: | В логах строчка 'Authentication passed for test' при заблокированном аккаунте | ||||||
|---|---|---|---|---|---|---|---|
| Product: | Sisyphus | Reporter: | Vera Blagoveschenskaya <vercha> | ||||
| Component: | pam | Assignee: | placeholder <placeholder> | ||||
| Status: | NEW --- | QA Contact: | qa-sisyphus | ||||
| Severity: | enhancement | ||||||
| Priority: | P5 | CC: | glebfm, ldv, placeholder, rider | ||||
| Version: | unstable | ||||||
| Hardware: | x86_64 | ||||||
| OS: | Linux | ||||||
| URL: | https://github.com/linux-pam/linux-pam/issues/1017 | ||||||
| Attachments: |
|
||||||
(In reply to Vera Blagoveschenskaya from comment #0) > pam_tcb(login:auth): Authentication passed for test from (uid=0) > > Корректно ли это? Как минимум, вводит в заблуждение. Это сообщение pam_tcb о том, что authentication passed. Почему оно вводит в заблуждение? (Ответ для Dmitry V. Levin на комментарий #1) > Это сообщение pam_tcb о том, что authentication passed. > Почему оно вводит в заблуждение? Потому что аккаунт заблокирован и вход выполнить невозможно. Прошу закрыть ошибку как notabug, если данное поведение корректно. Вера, а в логах после pam_tcb(login:auth): Authentication passed for test from (uid=0) есть запись от pam_faillock ? (Ответ для Anton Farygin на комментарий #3) > Вера, а в логах после pam_tcb(login:auth): Authentication passed for test > from (uid=0) > есть запись от pam_faillock ? ПОСЛЕ - нет. ДО - есть. фев 24 18:35:08 workstation-91-x86-64-20210120.localdomain login[3140]: pam_faillock(login:auth): Consecutive login failures for user test account temporarily locked То есть, faillock честно сказал о блокировке, но последующие попытки входа логгируются как будто успешные. В аттачменте кусок лога. т.е. - ошибка в том, что по логам невоозможно обнаружить неуспешную попытку входа, заблокированную через faillock. Как же тяжело без телепатов. Сейчас pam_faillock.so authfail записывает в лог, когда создаёт блокировку, а pam_faillock.so preauth не записывает в лог, когда видит эту блокировку, созданную ранее. Может быть, вы предлагаете, чтобы pam_faillock.so preauth тоже записывал что-нибудь в лог? Спасибо за пояснения. Я ничего не предлагаю, а уточняю, корректно ли поведение. да, похоже что именно это я и предполагаю. Результат проверки актуальности Состояние: по коду linux-pam 1.7.2 (Sisyphus) pam_faillock в preauth при существующей блокировке возвращает PAM_AUTH_ERR без записи в syslog (только pam_info пользователю), а pam_tcb дальше по стеку логирует "Authentication passed" — заблокированный вход в логах по-прежнему неотличим от успешного. Рекомендация: оставить открытым (актуален). Повесил апстримный FR, иначе это здесь так и останется. |
Description
Vera Blagoveschenskaya 2021-02-24 18:57:00 MSKCreated attachment 9215 [details] journalctl.txt Стенды в тестировании: alt workstation 9.1 x86_64 / alt kworkstation 9.1 x86_64 1) В /etc/pam.d/system-auth добавить строки auth required pam_faillock.so preauth silent deny=3 even_deny_root fail_interval=900 unlock_time=30 auth required pam_faillock.so authfail deny=3 even_deny_root fail_interval=900 unlock_time=30 account required pam_faillock.so 2) Выполнить 3 попытки входа с неправильным паролем. 3) Выполнить попытку входа с правильным паролем. Результат: аккаунт заблокирован на 30 секуунд (это ОК). НО в логах пишется pam_tcb(login:auth): Authentication passed for test from (uid=0) Корректно ли это? Как минимум, вводит в заблуждение.