🛡️ Hoofdstuk 19.1: Beveiliging van Gebruikers en Systemen in Linux
Linux-systemen bieden diverse tools en configuraties om authenticatie, toegang en systeemacties veilig te beheren. Dit hoofdstuk behandelt wachtwoordbeleid, multifactorauthenticatie, rootbeveiliging, bestandssysteembeveiliging en auditing.
────────────────────────────────────────────
🔐 Authenticatiemethoden
────────────────────────────────────────────
Standaardmethoden met ID/wachtwoord zijn kwetsbaar voor:
• Wachtwoorddeling
• Zwakke wachtwoorden
• Meerdere inlogs op verschillende servers
📌 Geavanceerde Authenticatiemethoden:
Methode | Beschrijving
-------------|---------------------------------------------
Kerberos | Single Sign-On (SSO) via ticketverificatie
LDAP | Centrale gebruikersdatabase met hiërarchische structuur
RADIUS | Veelgebruikt in netwerkomgevingen, o.a. VPN
TACACS+ | Versleutelde authenticatie, populair bij Cisco-systemen
MFA | Vereist iets wat je weet + iets wat je bezit (token/biometrie)
PKI | Gebruikt publieke en privésleutels voor verificatie
────────────────────────────────────────────
🔑 Wachtwoordbeleid en PAM-beveiliging
────────────────────────────────────────────
• Zorg voor unieke accounts om verantwoording (nonrepudiation) mogelijk te maken.
• Beheer centraal wachtwoordbeleid via `/etc/login.defs`:
- `PASS_MAX_DAYS`: Aantal dagen dat een wachtwoord geldig is.
- `PASS_MIN_LENGTH`: Minimale lengte van een wachtwoord.
📌 PAM-configuratiebestanden:
Distributie | Bestand
------------|-------------------------------
Red Hat | `/etc/pam.d/system-auth`
Debian | `/etc/pam.d/common-password`
📌 Belangrijke `pam_pwquality.so` parameters:
Directive | Beschrijving
------------------|-----------------------------------------
difok | Aantal tekens dat moet verschillen van het vorige wachtwoord
enforce_for_root | Past regels ook toe op root
dcredit | Aantal vereiste cijfers (negatief getal)
ocredit | Aantal vereiste speciale tekens
────────────────────────────────────────────
🧍♂️ Roottoegang en Systeembeveiliging
────────────────────────────────────────────
⚠️ Directe root-login vermijden:
• Maak root-shell ontoegankelijk via `/etc/passwd`:
- Wijzig shell naar `/usr/sbin/nologin`
• Blokkeer SSH-toegang via `/etc/ssh/sshd_config`:
- `PermitRootLogin no`
📦 Bestandssysteembeveiliging:
• Scheid systeem- en gebruikersdata (`/`, `/home`, enz.)
• Gebruik **LUKS-versleuteling** via `dm-crypt` voor disk encryptie
• **Chroot Jail** – Beperk de toegang van processen tot een sandbox-directory
🧯 Ongeautoriseerde reboot voorkomen:
Maatregel | Commando/Bestand
-------------------------------------|-----------------------------
BIOS/UEFI-wachtwoord instellen | Via firmwaremenu
GRUB beveiligen | `grub-mkpasswd-pbkdf2` + GRUB-config
Ctrl+Alt+Del uitschakelen | `sudo systemctl mask ctrl-alt-del.target`
────────────────────────────────────────────
📋 Restricties en Monitoring
────────────────────────────────────────────
⏱️ Cron/at-toegang beperken:
• Gebruik `/etc/cron.allow` of `/etc/cron.deny` om toegang tot geplande taken te controleren.
🚫 USB-opslag blokkeren:
• Voeg toe aan `/etc/modprobe.d/blacklist.conf`:
blacklist uas
blacklist usb-storage
🕵️ Auditd (Auditing Daemon):
• Registreert beveiligingsgebeurtenissen zoals:
- Bestandstoegang
- Netwerkactiviteit
- Systeemoproepen
Voorbeeldregel met `auditctl`:
auditctl -w /etc/passwd -p wa -k password_changes
➕ Maak regels permanent in:
/etc/audit/audit.rules
────────────────────────────────────────────
✅ Samenvatting
────────────────────────────────────────────
• Gebruik moderne authenticatiemethoden (Kerberos, MFA, PKI)
• Dwing wachtwoordcomplexiteit af via PAM
• Beperk roottoegang en monitor systeemactiviteit
• Beveilig USB’s, rebootmethoden en gevoelige bestanden via auditregels