Autenticazione a quattro occhi per l'esecuzione di comandi su Linux. (Livello SO) [chiuso]

Question

Autenticazione a quattro occhi per l'esecuzione di comandi su Linux. (Livello SO) [chiuso]

#1 da (3 voti)
#2 da (0 voti)

5

Ho raggiunto la fine di Internet senza successo, quindi ora mi rivolgo a voi ragazzi.

Quello che sto cercando è un modo per implementare il principio di quattro occhi a livello di sistema operativo per determinati comandi in Linux.

Esempio: Il gruppo admin ha 10 membri. Il comando di riavvio non dovrebbe essere autorizzato a essere eseguito da un solo amministratore, ma dovrebbe richiedere anche a un secondo amministratore di inserire le proprie credenziali.

Flusso di lavoro: L'amministratore A esegue "sudo reboot". Il terminale richiede una password per l'amministratore. Il terminale richiede il nome utente e la password di Admin B. Se entrambi gli utenti si trovano nel gruppo admin, il comando verrà eseguito.

Ho iniziato a cercare in PAM, ma non sono riuscito a trovare alcun modo immediato per farlo.

Qualcuno sa come fare?

linux authentication

posta Andreas 18.02.2015 - 11:23

fonte

2 risposte

Leggi altre domande sui tag linux authentication

DNSSec vs SSL e IPsec Nome utente / Email dimenticati - Le credenziali extra sono uguali per poter accedere all'utente?

score 3 · Answer 1

Non conosco una soluzione pacchettizzata per farlo. Mi aspetto che sarebbe abbastanza complicato da fare, in quanto hai bisogno di un sistema di richiesta / approvazione in due fasi, e non c'è nulla di simile nei sistemi Linux standard.

Una possibilità è usare un sistema a due mani fuori banda. Ad esempio, il comando di riavvio potrebbe richiedere una password aggiuntiva. Una metà degli amministratori conosce questa password; l'altra metà ha i diritti per eseguire il riavvio. Per eseguire realmente un riavvio, due amministratori dovrebbero collaborare. Anche questo è un po 'complicato - e imperfetto se il secondo amministratore annota la password.

Non l'ho mai visto in pratica però, e non sono sicuro che sia una cosa sensata da provare e fare. In generale è quasi impossibile bloccare amministratori, poiché hanno bisogno di diritti di alto livello per svolgere il proprio lavoro. Ciò che è più pratico è il blocco dell'accesso all'amministratore, ad es. l'account di un amministratore è normalmente disabilitato; è abilitato solo (da un team separato) quando l'amministratore ha a che fare con una modifica o un incidente autorizzati.

score 0 · Answer 2

Quello che vuoi è l'autenticazione a 2 fattori implementata tramite pam, un rapido Google mostra questo: link

Con una leggera modifica è possibile impostare un secondo telefono amministratore (e la prima password amministratore) per l'autenticazione in sudo config. Se questo non è abbastanza informazioni per rispondere direttamente alla tua domanda, posso fornire una guida passo passo quando non sono su un dispositivo mobile in poche ore.

Dovrebbe anche essere possibile applicare 2 token separati (ad esempio codici da 2 telefoni separati) con un timeout rigoroso.