Created attachment 9215 [details] journalctl.txt Стенды в тестировании: alt workstation 9.1 x86_64 / alt kworkstation 9.1 x86_64 1) В /etc/pam.d/system-auth добавить строки auth required pam_faillock.so preauth silent deny=3 even_deny_root fail_interval=900 unlock_time=30 auth required pam_faillock.so authfail deny=3 even_deny_root fail_interval=900 unlock_time=30 account required pam_faillock.so 2) Выполнить 3 попытки входа с неправильным паролем. 3) Выполнить попытку входа с правильным паролем. Результат: аккаунт заблокирован на 30 секуунд (это ОК). НО в логах пишется pam_tcb(login:auth): Authentication passed for test from (uid=0) Корректно ли это? Как минимум, вводит в заблуждение.
(In reply to Vera Blagoveschenskaya from comment #0) > pam_tcb(login:auth): Authentication passed for test from (uid=0) > > Корректно ли это? Как минимум, вводит в заблуждение. Это сообщение pam_tcb о том, что authentication passed. Почему оно вводит в заблуждение?
(Ответ для Dmitry V. Levin на комментарий #1) > Это сообщение pam_tcb о том, что authentication passed. > Почему оно вводит в заблуждение? Потому что аккаунт заблокирован и вход выполнить невозможно. Прошу закрыть ошибку как notabug, если данное поведение корректно.
Вера, а в логах после pam_tcb(login:auth): Authentication passed for test from (uid=0) есть запись от pam_faillock ?
(Ответ для Anton Farygin на комментарий #3) > Вера, а в логах после pam_tcb(login:auth): Authentication passed for test > from (uid=0) > есть запись от pam_faillock ? ПОСЛЕ - нет. ДО - есть. фев 24 18:35:08 workstation-91-x86-64-20210120.localdomain login[3140]: pam_faillock(login:auth): Consecutive login failures for user test account temporarily locked То есть, faillock честно сказал о блокировке, но последующие попытки входа логгируются как будто успешные. В аттачменте кусок лога.
т.е. - ошибка в том, что по логам невоозможно обнаружить неуспешную попытку входа, заблокированную через faillock.
Как же тяжело без телепатов. Сейчас pam_faillock.so authfail записывает в лог, когда создаёт блокировку, а pam_faillock.so preauth не записывает в лог, когда видит эту блокировку, созданную ранее. Может быть, вы предлагаете, чтобы pam_faillock.so preauth тоже записывал что-нибудь в лог?
Спасибо за пояснения. Я ничего не предлагаю, а уточняю, корректно ли поведение.
да, похоже что именно это я и предполагаю.
Результат проверки актуальности Состояние: по коду linux-pam 1.7.2 (Sisyphus) pam_faillock в preauth при существующей блокировке возвращает PAM_AUTH_ERR без записи в syslog (только pam_info пользователю), а pam_tcb дальше по стеку логирует "Authentication passed" — заблокированный вход в логах по-прежнему неотличим от успешного. Рекомендация: оставить открытым (актуален).
Повесил апстримный FR, иначе это здесь так и останется.
