3 Fehllogins = user 1stunde blockieren

[Vispo]

Es gab schon threads in diesem forum zu diesem thema. Aber keiner enthielt eine antwort.

Wie macht man dass nach 3 fehllogins zb.

auth required pam_tally deny=3

Ein timer aktiviert wird der die blockade des users nach 1stunde aufhebt.
ich möchte nicht das auf einmal ein unschuldiger user blockiert ist.
(besonders wenn ich den ssh root access aus distanz brauche und es dieser ist)

Vielen dank für eure hilfe
Vispo

P.S.: In diesem fall kann ich aus gründen welche auch immer keinen schlüssel mitnehmen. somit kein no password authentification.

[kth]

Wie macht man dass nach 3 fehllogins zb.

auth required pam_tally deny=3

Ein timer aktiviert wird der die blockade des users nach 1stunde aufhebt.Diese Wirkung solltest du erreichen können, indem du dieses Skript (http://www.baverstock.org.uk/tim/pam/pam_tally/pam_tally_autoreset.pl) von einem "root"-Cronjob regelmäßig starten lässt.

ich möchte nicht das auf einmal ein unschuldiger user blockiert ist.
(besonders wenn ich den ssh root access aus distanz brauche und es dieser ist)Was "root" betrifft, kann das laut der Modul-Referenz (http://www.kernel.org/pub/linux/libs/pam/Linux-PAM-html/pam-6.html#ss6.24) nur passieren, wenn du die Moduloptionen no_magic_root oder even_deny_root_account verwendest.

[Blackhawk]

...
P.S.: In diesem fall kann ich aus gründen welche auch immer keinen schlüssel mitnehmen. somit kein no password authentification.
Bei ssh solltest Du Publickeys verwenden, dann gibt es auch keine falschen Passworte...

[cane]

@Blackhawk


Bei ssh solltest Du Publickeys verwenden, dann gibt es auch keine falschen Passworte...

Du solltest erstmal lesen:



P.S.: In diesem fall kann ich aus gründen welche auch immer keinen schlüssel mitnehmen. somit kein no password authentification.

@Vispo


(besonders wenn ich den ssh root access aus distanz brauche und es dieser ist)

ist zu sagen dass der sofortige root-Login der Sicherheit wegen deaktiviert werden sollte.
Log dich aus der Ferne als User ein und werde dann per su - root!

mfg
cane

[dragi]

kannman das nicht auch in der /etc/shadow angeben? In dem Feld nach dem Datum der Erstellung?

Dragi

[Blackhawk]

so ein mechanismus ist natuerlich auch der Schluessel zu einem sehr einfachen DOS-Angriff...