Разработка совместимых с PAM приложений, часть 1

Аббревиатура PAM расшифровывается как Pluggable Authentication Modules (система подключаемых модулей аутентификации) и используется для обозначения системы, позволяющей приложениям осуществлять независимую аутентификацию.

Если приложение осуществляет работу с PAM, системный администратор ответственен за указание используемых методов аутентификации в то время, как система PAM ответственна за реализацию самого процесса аутентификации. Это обстоятельство позволяет разработчику приложения концентрировать внимание на разработке основного кода приложения и быть уверенным в том, что приложение не устареет всего лишь из-за использования устаревшей схемы аутентификации.

Обратитесь к статьям "Введение в PAM" и "Модули PAM" для более подробного описания системы PAM и методов ее использования.

Эта статья является первой частью серии из двух статей о разработке совместимых с PAM приложений. В данной части приводится необходимая информация и описания некоторых функций, необходимых пользователю для эффективной работы с библиотекой PAM. Следующая часть посвящена подробному описанию функций библиотеки PAM.

Приложения и модули

PAM является интерфейсом, а не отдельной службой. Эта система позволяет использовать прослойку совместимости для работы приложений с модулями и предоставляет механизм для настройки. Она самостоятельно не производит никакой аутентификации и не выполняет никакую работу вместо приложения (с точки зрения разработчика).

Из-за этого разработчик приложения должен рассмотреть вопросы вызова модулей каждого типа и продумать список неиспользуемых функций. Аналогично разработчик модулей должен предоставить интерфейс для всех функций, которые может запросить приложение, даже в том случае, когда некоторые функции состоят только из возврата статуса с помощью оператора return PAM_SUCCESS.

Типы модулей

Модули PAM классифицируются с использованием четырех типов, при этом каждый тип модуля предназначен для обработки одного аспекта аутентификации или управления учетной записью. От приложения не требуется использовать все четыре типа модулей, но рекомендуется предусмотреть такую возможность.

Пакеты и файлы

В данных статьях приводится описание приложения на языке C++, так как большинство масштабируемых приложений разрабатывается с использованием данного языка и его отличия от языка C, хотя они и существуют, не являются значительными. Вы можете разрабатывать приложения для работы с PAM с использованием любого языка программирования, позволяющего вызывать необходимые функции языка C.

Для начала вам понадобится установить заголовочные файлы для разработки: в системе Debian это делается с помощью команды: apt-get install libpam0g-dev. Данная команда позволяет установить соответствующие заголовочные файлы, разместив их в директориях поиска g++.

Вам будет необходимо включить в исходный код приложения заголовочный файл при помощи директивы #include <security/pam_appl.h> и в том случае, если вы захотите использовать дополнительные функции, также включить заголовочный файл #include <security/pam_misc.h>.

При компиляции вам будет необходимо использовать параметр командной строки для статического связывания программы с файлами библиотеки libpam. В моем файле makefile используется следующая строка g++ -oapp_name -lpam -lpam_misc sourcefile.

Структура обмена данными

Модуль аутентификации всегда должен обмениваться данными с пользователем. Однако, у автора модуля аутентификации нет возможности узнать у вас, использует ли ваше приложение графический интерфейс, сессию SMTP или командную оболочку.

Приложение использует функцию PAM для выполнения необходимых задач. Эта функция обращается к настройкам PAM для вызвавшего приложения и использует описанные там модули по очереди. Если модулю необходимо взаимодействовать с пользователем для получения пароля или другой информации, он вызывает предоставленную приложением функцию, которая называется функцией обмена данными (conversation function).

Приложение должно предоставить структуру, состоящую из указателя на функцию обмена данными и указателя на любые данные, которые приложение желает использовать в функции обмена данными. Модуль добавляет этот указатель в качестве параметра функции во время ее вызова.

static struct pam_conv conv = {
  misc_conv,
  NULL
};

Разработка собственной функции обмена данными

struct pam_conv {
    int (*conv)(int num_msg,
        const struct pam_message **msg,
        struct pam_response **resp,
        void *appdata_ptr);
    void *appdata_ptr;
};

Когда модуль вызывает функцию, указатель appdata_ptr передается в качестве параметра функции с идентичным именем.

Параметр msg является массивом указателей на структуры сообщений (pam_message). Структуры сообщений формируются модулем и содержат сообщения, которые предлагаются модулем приложению для их демонстрации пользователю. Параметр num_msg задает длину этого массива.

Модуль с помощью параметра функции resp предоставляет указатель, который должен указывать на массив структур pam_response. Приложение должно сформировать ответ на каждое сообщение (конечно же, если они существуют) и разместить его в соответствующем элементе массива ответов. Память, зарезервированная для этого массива может освобождаться с помощью функции free() и должна резервироваться с помощью одной из функций семейства malloc().

Код C++ выглядит следующим образом:

Память для структуры ответа должна динамически резервироваться и освобождаться модулем. Примечание для использующих C++: так как библиотека PAM разработана с применением языка C, для резервирования памяти должна использоваться функция malloc(), а не оператор new.

Следует учесть, что значение PAM_MAX_MSG_SIZE на данный момент не регламентируется системой Linux-PAM и должно регламентироваться приложениями (в целях безопасности).

Работа с окружением

Установка значений элементов PAM

Система PAM хранит значения восьми элементов, которые могут быть установлены или прочитаны и приложениями и модулями.

Установка значений параметров производится с помощью функции pam_set_item(), а получение их значений - с помощью функции pam_get_item(). При этом следует использовать хэндл PAM, возвращенный функцией pam_start(). В качестве значения аргумента item_type следует применять один из кодов элементов, описанных выше. Аргумент item является указателем на строку. Функции должны возвращать значение PAM_SUCCESS в случае успешного выполнения и другие коды в случае неудачи.

retval = pam_get_item(pamh, PAM_SERVICE, &static_cast<const void*> (item));

extern int pam_set_item(pam_handle_t *pamh, int item_type,
                        const void *item);
extern int pam_get_item(const pam_handle_t *pamh, int item_type,
                        const void **item);

Функция pam_get_item() возвращает указатель на используемые данные, при этом эти данные не могут быть перезаписаны и память, выделенная для их хранения, не может быть освобождена. Используйте функцию pam_set_item() если вы хотите изменить значение элемента.

Имя пользователя

Модуль вызывает функцию pam_get_user() для получения имени пользователя. Если вам известно, под каким именем следует аутентифицировать пользователя, вы можете указать это с помощью функции pam_start() или с помощью pam_set_item(), Если вы не сделаете этого, функция pam_get_user() будет использовать функцию обмена данными и элемент PAM_USER_PROMPT для запроса имени пользователя.

Функция pam_fail_delay

Если вы хотите ограничить частоту попыток аутентификации пользователей, вы можете установить задержку (в микросекундах) с помощью этой функции. Это действие позволяет снизить вероятность успешной реализации атак перебора паролей.

Когда значение задержки задано, неудачная попытка аутентификации с помощью pam_authenticate приведет к задержке возврата управления приложению. Период задержки выбирается случайным образом, ограничиваясь максимальным значением, заданным с помощью функции pam_fail_delay.

#ifdef PAM_FAIL_DELAY
        extern int pam_fail_delay(pam_handle_t *pamh, unsigned int micro_sec);
#endif

В некоторых случаях стандартная функция задержки не подходит для приложения. Информация о разработке собственной функции задержки доступна в руководстве разработчика приложений PAM (PAM Application Developer's Guide).

Заключительные слова

В следующей части серии статей будут описаны функции PAM для аутентификации, управления учетными записями, управления сессиями и смены паролей.

Дополнительные ресурсы

Продолжение статьи: Разработка совместимых с PAM приложений, часть 2