[mdk-re] pam_tcb и авторизация пользователей

[mdk-re] pam_tcb и авторизация пользователей

[Плужников М.А.]

Здраствуйте.
Появилась очень неприятная проблема с автоизацией пользователей через 
pam_tcb.
Сегодня при помощи apt-get upgrade и apt-get dist-upgrade обновил машину
Все прошло на надость без сучка и задоринки, поставился pam_tcb, 
завелось. Якобы...
После некоторого времени обнаруживается, что на машину не приходит 
почта. В логах сыпется:
Jan  5 21:49:32 ns postfix/smtpd[27459]: connect from 
linux.ru.net[62.118.250.6]
Jan  5 21:49:32 ns postfix/smtpd[27459]: 55D144EC30: 
client=linux.ru.net[62.118.250.6]
Jan  5 21:49:32 ns postfix/smtpd[27459]: reject: RCPT from 
linux.ru.net[62.118.250.6]: 550 <nazy@utc.stankin.ru>: User unknown; 
from=<mandrake-russian-admin@altlinux.ru> to=<nazy@utc.stankin.ru>
Jan  5 21:49:42 ns postfix/smtpd[27459]: disconnect from 
linux.ru.net[62.118.250.6]
Пользователь nazy существует. Почта также не приходит и остальным 
пользователям.
Так же замечано, что когда неприлигированый пользователь заходит с клавы 
  или через ssh, в приглашении коммандной строки, после авторизации 
выводится сообщение о невозможности найти имени пользователя:
[I have no name!@ns mike]$
Подумал, может это проделки нового pam_tcb и может вылечиься сменой 
пароля пользователю. Сменил рутом пароль на одного из пользователя.
Обнаружил, что локально (с клавы), через терминал и ftp залогинится этот 
пользователь уже не может. При попытке зайти в клавы в логи сыплется 
такое сообщение:
Jan  5 23:00:01 ns pam_tcb[28309]: login: Authentication failed for mike 
from (uid=0)
Jan  5 23:00:28 ns pam_tcb[28309]: login: Authentication failed for mike 
from (uid=0)
Jan  5 23:01:16 ns pam_securetty[28309]: cannot determine username
Jan  5 23:01:16 ns login[28309]: login_authenticate_user: Login failed
Сам пользователь существует и пароль верен.
Ладно думаю, что будет если создам нового пользователя. Создал под 
именем mike2. После того как "adduser mike2" прошёл, создалась его 
папочка, в /etc/tcb/mike2 появился его shadow (при этом в /etc/shadow 
записи о mike2 непоявилось), пытаюсь зделать "passwd mike2", на что мне 
выдается слудующее:
passwd mike2
Changing password for user mike2
passwd: Authentication service cannot retrieve authentication info.
Ладно. Может он создал юзера без пароля?
Откраваю соседнюю консоль, пишу:
Login: mike2
И меня опать поcлали. Лезу в лог и вижу:
Jan  5 22:53:30 ns pam_tcb[28192]: Credentials for user mike2 unknown
Jan  5 22:53:30 ns pam_tcb[22149]: login: Authentication failed for 
UNKNOWN USER from (uid=0)
Вот и всё...
В результате почта не приходит, новых пользователе не создаш, а со 
старыми акаунтами работать не возможно, а я все бьсь над этой проблемой.


В догонку, если зайти рутом и зделать su на такого польователя то увидим 
слудующее:
[root@ns root]# su mike2
Account management:- Insufficient credentials to access authentication data
(Ignored)
bash: /root/.bashrc: Permission denied
[I have no name!@ns root]$

Спасибо за внимание.

Re: [mdk-re] pam_tcb и авторизация пользователей

[Sergei]

Воскресенье 6 Январь 2002 00:28, Вы написали:

> [root@ns root]# su mike2
> Account management:- Insufficient credentials to access authentication data
> (Ignored)
> bash: /root/.bashrc: Permission denied
> [I have no name!@ns root]$

Было такое. Смотрите права у passwd. Должен быть SGID с группой shadow. Кроме 
того, права у /etc/passwd равны 644, а не 600 (скорее всего, у вас так и 
получилось). Права на /etc/tcb 610, группа shadow.

-- 
С уважением, Епифанов Сергей.

Re: [mdk-re] pam_tcb и авторизация пользователей

[Grigory Milev]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

>>>>> "mike" == mike  <.> writes:

Посмотри в файл /etc/pam.d/system.auth, он должен быть:

#%PAM-1.0
auth            required        /lib/security/pam_tcb.so shadow fork nullok
account         required        /lib/security/pam_tcb.so shadow fork
password        required        /lib/security/pam_passwdqc.so min=disabled,7,6,5,4 max=40 passphrase=3 match=4 similar=deny random=42 enforce=none retry=3
password        required        /lib/security/pam_tcb.so use_authtok shadow fork prefix=$2a$ count=8 write_to=tcb
session         required        /lib/security/pam_tcb.so
session         required        /lib/security/pam_limits.so

+-------------------------------------------------------+
Grigory Milev	mailto://week@altlinux.ru
ALT Linux Team	http://www.altlinux.ru
PC Club owner	mailto://pcclub@tut.by
+-------------------------------------------------------+
Life too beautiful and interest... Don't worry, be happy.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Processed by Mailcrypt 3.5.5 and Gnu Privacy Guard <http://www.gnupg.org/>

iD8DBQE8OsC2S14SMK5ZwWARAhbOAJ9SYteIBPKpNNJA3ZyahZFhRUEf/gCfatwF
Qc9MAzNw2a3igSOwI5M0lqM=
=rGRm
-----END PGP SIGNATURE-----

Re: [mdk-re] pam_tcb и авторизация пользователей

[Плужников М.А.]

Sergei wrote:

> Воскресенье 6 Январь 2002 00:28, Вы написали:
> 
> 
>>[root@ns root]# su mike2
>>Account management:- Insufficient credentials to access authentication data
>>(Ignored)
>>bash: /root/.bashrc: Permission denied
>>[I have no name!@ns root]$
>>
> 
> Было такое. Смотрите права у passwd. Должен быть SGID с группой shadow. Кроме 
> того, права у /etc/passwd равны 644, а не 600 (скорее всего, у вас так и 
> получилось). Права на /etc/tcb 610, группа shadow.
> 
> 

Спасибо, за ответ.
Всё на месте так как надо.
Все заработало само сабой сегодня.
Чудеса.