Autenticación de cuatro ojos para la ejecución de comandos en Linux. (Nivel de SO) [cerrado]

Question

Autenticación de cuatro ojos para la ejecución de comandos en Linux. (Nivel de SO) [cerrado]

#1 de paj28 (3 votos)
#2 de Damian Nikodem (0 votos)

5

Llegué al final de Internet sin éxito, así que ahora me dirijo a ustedes.

Lo que busco es una manera de implementar el principio de cuatro ojos en el nivel del sistema operativo para ciertos comandos en Linux.

Ejemplo: El grupo de administración tiene 10 miembros. El comando de reinicio no debe permitir que lo ejecute ningún administrador, sino que debe requerir que un segundo administrador ingrese sus credenciales también.

flujo de trabajo: Admin A ejecuta "sudo reboot". El terminal solicita una contraseña de administrador. El terminal solicita el nombre de usuario y la contraseña del administrador B. Si ambos usuarios están en el grupo de administración, el comando se ejecutará.

Empecé a buscar en PAM, pero no pude encontrar ninguna forma inmediata de hacer esto.

¿Alguien sabe cómo hacer esto?

authentication linux

pregunta Andreas 18.02.2015 - 11:23

fuente

2 respuestas

Lea otras preguntas en las etiquetas authentication linux

¿Claves secretas, públicas y privadas? ¿Qué configuración de Firefox debe cambiarse de los valores predeterminados de fábrica para garantizar la privacidad con respecto a Mozilla?

score 3 · Answer 1

No sé de una solución empaquetada para hacer esto. Supongo que sería bastante complicado hacerlo, ya que necesita un sistema de solicitud / aprobación de dos pasos, y no hay nada de eso en los sistemas Linux estándar.

Una posibilidad es usar un sistema de dos hombres fuera de banda. Por ejemplo, el comando de reinicio podría requerir una contraseña adicional. La mitad de los administradores conocen esa contraseña; allí la otra mitad tiene los derechos para ejecutar el reinicio. Para hacer un reinicio, dos administradores tendrían que trabajar juntos. Incluso esto es un poco complicado y defectuoso si el segundo administrador anota la contraseña.

Sin embargo, nunca he visto hacer esto en la práctica, y no estoy seguro de que sea algo sensato intentarlo. En general, es casi imposible bloquear a los administradores, ya que necesitan derechos de alto nivel para hacer su trabajo. Lo que es más práctico es bloquear el acceso del administrador, por ejemplo, la cuenta de un administrador normalmente está deshabilitada; solo se habilita (por un equipo separado) cuando el administrador está lidiando con un cambio o incidente autorizado.

score 0 · Answer 2

Lo que desea es una autenticación de 2 factores implementada a través de pam, un rápido Google muestra esto: enlace

Con una ligera modificación, puedes configurar un segundo teléfono de administración (y la primera contraseña de administrador) para la autenticación en la configuración sudo. Si esta información no es suficiente para responder directamente a su pregunta, puedo proporcionarle una guía paso a paso cuando no estoy en un dispositivo móvil en unas pocas horas.

También debería ser posible imponer 2 tokens separados (por ejemplo, códigos de 2 teléfonos separados) con un tiempo de espera estricto.