🔐 Hoofdstuk 16.1: PAM (Pluggable Authentication Modules) in Linux
PAM (Pluggable Authentication Modules) biedt een flexibele en uitbreidbare authenticatiestructuur voor Linux. Het laat applicaties dynamisch authenticatiemodules gebruiken en beheren, waardoor systeembeheerders gedetailleerde controle krijgen over inlogprocedures, wachtwoordbeleid en sessiebeheer.
────────────────────────────────────────────
🧩 Wat is PAM?
────────────────────────────────────────────
PAM is een modulaire authenticatielaag waarmee Linux verschillende verificatiemethoden kan combineren. In plaats van hardcoded authenticatie, gebruiken toepassingen modulaire regels in `/etc/pam.d/`.
Voordelen:
• Flexibel beheer van inlogbeleid
• Ondersteunt brute-force bescherming
• Kan wachtwoordsterkte afdwingen
• Instelbaar per applicatie (bijv. SSH, sudo, login)
────────────────────────────────────────────
📦 Belangrijke PAM-modules
────────────────────────────────────────────
• `pam_unix.so` → Standaard authenticatie via `/etc/passwd` en `/etc/ shadow`
• `pam_pwhistory.so` → Voorkomt hergebruik van oude wachtwoorden
• `pam_pwquality.so` → Dwingt complexe wachtwoorden af
• `pam_tally2.so` / `pam_faillock.so` → Vergrendelen van accounts na mislukte pogingen
• `pam_nologin.so` → Blokkeert logins als `/etc/nologin` aanwezig is
────────────────────────────────────────────
⚙️ PAM-configuratie en beheer
────────────────────────────────────────────
Configuratiebestanden:
PAM-regels worden opgeslagen in `/etc/pam.d/`, met 1 bestand per toepassing.
📌 Syntaxis:
`type control_flag module [opties]`
Soorten type:
• **auth** – Verifieert de gebruiker (wachtwoord, biometrie, etc.)
• **account** – Controleert of toegang is toegestaan (bijv. tijd, groepslidmaatschap)
• **password** – Beheer van wachtwoordinstellingen en -veranderingen
• **session** – Regelt sessiestatus (bijv. logboeken, mappen mounten)
📌 Control flags:
• **required** – Module moet slagen, anders mislukt de authenticatie (maar andere modules blijven draaien)
• **requisite** – Als deze faalt, stopt de hele authenticatie meteen
• **sufficient** – Als deze slaagt, is authenticatie direct succesvol (mits geen eerdere failures)
• **optional** – Alleen relevant als het de enige module is van dat type
────────────────────────────────────────────
🔐 Sterke wachtwoorden afdwingen
────────────────────────────────────────────
Instellingen worden vaak beheerd via `/etc/security/pwquality.conf`:
• `minlen=N` → Minimale lengte
• `dcredit=-N` → Minimaal aantal cijfers
• `ucredit=-N` → Minimaal aantal hoofdletters
• `lcredit=-N` → Minimaal aantal kleine letters
• `difok=N` → Aantal tekens dat moet verschillen van vorige wachtwoord
Doel: voorkomen van zwakke of hergebruikte wachtwoorden
────────────────────────────────────────────
🚫 Brute-force bescherming & root-beperkingen
────────────────────────────────────────────
📌 Vergrendeling van accounts na mislukte pogingen (met `pam_faillock.so` of `pam_tally2.so`):
• `deny=N` → Vergrendelt account na N mislukte pogingen
• `unlock_time=N` → Ontgrendelt automatisch na N seconden
📌 Root-login beperken:
• `pam_securetty.so` → Staat root-login alleen toe vanaf specifieke terminals (gedefinieerd in `/etc/securetty`)
• `/etc/nologin` → Als dit bestand bestaat, mogen normale gebruikers niet inloggen
• In `/etc/ shadow` → Root-account kan geblokkeerd worden door het wachtwoordveld op `*` of `!` te zetten
────────────────────────────────────────────
✅ Samenvatting
────────────────────────────────────────────
• PAM maakt dynamisch en modulair authenticatiebeheer mogelijk
• Wachtwoordbeleid, brute-force bescherming en sessiebeheer worden via PAM-modules geregeld
• Beveiligingsniveaus zijn aanpasbaar per toepassing en gebruikersgroep
• Root- en servicebeperkingen verhogen de veiligheid van het systeem