Newsgroup: it.comp.os.linux.sys
Titolo: Debian, NIS ed errore PAM

Ciao,
sto cercando di fare funzionare un client NIS per le autenticazioni su
una macchina Debian, ma pur contattando il server nis correttamente e
riuscendo ad interrogarlo, non riesco a far loggare gli utenti.
Ho seguito l'howto Debian "Standard" a questo indirizzo :
http://lyre.mit.edu/~powell/debian-howto/nis.html
Ciò che succede quando loggo un utente sulla macchina è questo :
Dec  6 16:14:12 <HOSTNAME> sshd[6847]: (pam_securetty) access denied:
tty 'ssh' is not secure !
Dec  6 16:14:22 <HOSTNAME> sshd[6847]: (pam_securetty) access denied:
tty 'ssh' is not secure !
Dec  6 16:14:22 <HOSTNAME> sshd[6847]: (pam_unix) authentication
failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=<IP-UTENTE>
user=<UTENTE>
Dec  6 16:14:25 <HOSTNAME> sshd[6847]: error: PAM: Authentication
failure for <UTENTE> from <IP-UTENTE>
Dec  6 16:14:25 <HOSTNAME> sshd[6847]: (pam_securetty) access denied:
tty 'ssh' is not secure !
E l'utente non si logga. Cosa vuol dire "access denied: tty 'ssh' is
not secure !" ?
Su RedHat, la configurazione verso lo stesso server funziona alla
perfezione, nel senso che <UTENTE> via ssh si logga.
Ciao,
--
RaSca
rasc...@tiscali.it

 not secure !" ?
Non e' che <UTENTE> e' root?
Se si', man securetty
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 not secure !" ?
man securetty. ;-P
pam_securetty non ti consente l'accesso se non da quei terminali che sono
listati in /etc/securetty.
In effetti, sembrerebbe esserci uno strano casino nello stack pam.
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 Se si', man securetty
No... E se no ?
--
RaSca
rasc...@tiscali.it

 tty 'ssh' is not secure !
in /etc/pam.d/
c'è un file per ssh ?

cits ha scritto:

Sì, ma ha un contenuto oltremodo incomprensibile.
--
RaSca
rasc...@tiscali.it

 No... E se no ?
man Linux-PAM
vi /etc/pam.conf (o analogo in /etc/pam.d)
oppure:
man Linux-PAM
man securetty
vi /etc/securetty


 vi /etc/securetty
Allora...Ho provato ad aggiungere ssh in /etc/securetty, ma il
risultato è stato quello di ottenere l'accesso via ssh SENZA alcuna
autenticazione.
Altro sinceramente non ho provato.
Idee ?
--
RaSca
rasc...@tiscali.it

 Idee ?
ti hanno gia` detto che hai lo stack pam incasinato, l'autenticazione
in ssh avviene prima dell'allocazione dello pseudoterminale e un "tty
ssh" non ha alcun senso, afair viene impostato x convenienza

 ssh" non ha alcun senso, afair viene impostato x convenienza
E su questo non ho dubbi.
Il dubbio è che il pacchetto sarge del nis abbia un baco, perchè
queste sono installazioni vergini in cui io non ho toccato nulla, a
parte ovviamente il settare il dominio del nis e l'indirizzo del
servente.
Quello che voglio dire è : sto stramaledetto stack può incasinarsi da
solo ? E quindi può essere corretto ?
Grazie e ciao,
--
RaSca
rasc...@tiscali.it

 solo ? E quindi può essere corretto ?
posta /etc/pam.d/ssh

frick ha scritto:

Ecco qua :
# PAM configuration for the Secure Shell service
# Disallow non-root logins when /etc/nologin exists.
auth       required     pam_nologin.so
# Read environment variables from /etc/environment and
# /etc/security/pam_env.conf.
auth       required     pam_env.so # [1]
# Standard Un*x authentication.
@include common-auth
# Standard Un*x authorization.
@include common-account
# Standard Un*x session setup and teardown.
@include common-session
# Print the message of the day upon successful login.
session    optional     pam_motd.so # [1]
# Print the status of the user's mailbox upon successful login.
session    optional     pam_mail.so standard noenv # [1]
# Set up user limits from /etc/security/limits.conf.
session    required     pam_limits.so
# Standard Un*x password updating.
@include common-password
Il file è quello installato dai pacchetti, io non l'ho toccato.
Grazie mille neh...
--
RaSca
rasc...@tiscali.it

 Il file è quello installato dai pacchetti, io non l'ho toccato.
a occhio mi pare quello standard, securetty del resto dovrebbe comparire
solo in login, controlla che magari non entri con qualcuno degli include
common-*
con ssh in securetty, c'e` il nullok_secure, che viene usato da debian e
ti fa entrare anche senza password (serve solo all'installazione direi),
per cui la cosa giusta e` togliere il riferimento a pam_securetty in ssh
e non aggiungere ssh a /etc/securetty
a meno che non sia un bug, per sicurezza che libpam0g hai?


 a meno che non sia un bug, per sicurezza che libpam0g hai?
# dpkg -l libpam0g
Desired=Unknown/Install/Remove/Purge/Hold
|
Status=Not/Installed/Config-files/Unpacked/Failed-config/Half-installed
|/ Err?=(none)/Hold/Reinst-required/X=both-problems (Status,Err:
uppercase=bad)
||/ Name                     Version                  Description
+++-========================-========================-================================================================
ii  libpam0g                 0.76-22                  Pluggable
Authentication Modules library
I pacchetti di questa Sarge sono aggiornati all'ultima release
disponibile.
Grazie di nuovo,
--
RaSca
rasc...@tiscali.it

 intendi che devo commentarla o di quale riferimento parli ?
tra parentesi ho perso per strada la questione nis (di cui il poco che
sapevo me lo sono dimenticato da un pezzo), gli utenti nis riescono ad
autenticarsi in ssh? hai qualche riga in /etc/security/access.conf che
non sia commentata?

 non sia commentata?
Allora :
No, gli utenti non si autenticano via ssh : è da lì che è nato tutto
il discorso, ho un utente "locale" con cui riesco a loggarmi e degli
utenti nis con cui non riesco e questo è il log che ottengo :
Dec 14 09:10:41 NOMEHOST sshd[18947]: (pam_securetty) access denied:
tty 'ssh' is not secure !
Dec 14 09:10:47 NOMEHOST sshd[18947]: (pam_securetty) access denied:
tty 'ssh' is not secure !
Dec 14 09:10:47 NOMEHOST sshd[18947]: (pam_unix) authentication
failure; logname= uid=0 euid=0 tty=ssh ruser= rhost=IPHOST
user=NOMEUTENTE
Dec 14 09:10:48 NOMEHOST sshd[18941]: error: PAM: Authentication
failure for NOMEUTENTE from IPHOST
Dec 14 09:10:48 NOMEHOST sshd[18969]: (pam_securetty) access denied:
tty 'ssh' is not secure !
Se aggiungo ssh in /etc/securetty riesco a far loggare gli utenti NIS,
ma senza password.
E...No, non ho nessuna riga non commentata in /etc/security/access.conf
Grazie ancora,
--
RaSca
rasc...@tiscali.it

 ma senza password.
mah, C'E`QualcosaDiStrano(tm), hai usepam yes in sshd_config?

frick ha scritto:

Esattamente all'ultima riga del file ho
UsePAM yes
Sempre più perplesso, ti ringrazio ;-)
--
RaSca
rasc...@tiscali.it

RaSca ha scritto:

Delirio totale : Da stamattina va tutto ed io non ho cambiato NULLA.
Mi sono informato dal gestore del server NIS il quale mi ha detto che
si era "dimenticato" di attivare le password shadow nella
configurazione del suo server.
Quindi non ci sono bachi o cose del genere.
Solo una dimenticanza. Grrrrrrrrrrrr
Ciao !
--
RaSca
rasc...@tiscali.it

 E l'utente non si logga. Cosa vuol dire "access denied: tty 'ssh' is not secure !" ?
Corretamente, root si può loggare solo dalla console, opppure dalle tty 
fisicamente attaccate alla macchina... (di default, poi lo cambi 
modificando il file /etc/securetty, ma ci devi pensare bene prima di farlo).