跳到主要内容

Ubuntu 用户认证

介绍​

在Ubuntu系统中，用户认证是确保系统安全的重要环节。用户认证是指系统验证用户身份的过程，通常通过用户名和密码进行。然而，现代系统还支持更复杂的认证方式，如多因素认证（MFA）和基于PAM（Pluggable Authentication Modules）的认证机制。本文将详细介绍Ubuntu中的用户认证机制，帮助初学者理解并掌握相关知识。

用户认证的基础​

1. 用户名和密码​

在Ubuntu中，每个用户都有一个唯一的用户名和对应的密码。系统通过检查用户名和密码的组合来验证用户身份。用户的密码通常存储在 /etc/shadow 文件中，该文件只有超级用户（root）可以访问。

bash
$ cat /etc/shadow
root:$6$randomstring$hashedpassword:18295:0:99999:7:::
备注

/etc/shadow 文件中的密码是经过哈希处理的，因此即使文件被泄露，攻击者也无法直接获取用户的明文密码。

2. 密码策略​

为了增强安全性，Ubuntu允许管理员设置密码策略，例如密码的最小长度、复杂性要求和过期时间。这些策略可以通过编辑 /etc/login.defs 文件来配置。

bash
$ sudo nano /etc/login.defs

在文件中，你可以找到以下配置项：

bash
PASS_MAX_DAYS   90
PASS_MIN_DAYS   7
PASS_WARN_AGE   14
提示

建议将 PASS_MAX_DAYS 设置为较短的时间（如90天），以强制用户定期更换密码。

PAM（Pluggable Authentication Modules）​

PAM 是Linux系统中用于处理用户认证的模块化框架。它允许系统管理员通过配置文件来定义认证流程。PAM 的配置文件通常位于 /etc/pam.d/ 目录下。

1. PAM 配置文件示例​

以下是一个简单的 PAM 配置文件示例，用于控制用户登录时的认证流程：

bash
$ cat /etc/pam.d/login
auth       required     pam_unix.so
account    required     pam_unix.so
password   required     pam_unix.so
session    required     pam_unix.so
警告

修改 PAM 配置文件时要非常小心，错误的配置可能导致系统无法登录。

2. 使用 PAM 实现多因素认证​

PAM 支持多因素认证（MFA），即要求用户提供两种或以上的认证方式。例如，用户可能需要输入密码并通过手机短信验证码进行二次验证。

bash
$ sudo apt-get install libpam-google-authenticator

安装完成后，可以通过以下命令为当前用户配置 Google Authenticator：

bash
$ google-authenticator
注意

多因素认证虽然提高了安全性，但也增加了用户的使用复杂度。建议在关键系统上启用。

实际案例：配置 SSH 双因素认证​

假设你希望通过 SSH 远程登录到 Ubuntu 服务器，并且希望启用双因素认证。以下是具体步骤：

  1. 安装 Google Authenticator PAM 模块：
bash
$ sudo apt-get install libpam-google-authenticator
  1. 为当前用户生成 Google Authenticator 密钥：
bash
$ google-authenticator
  1. 编辑 SSH 的 PAM 配置文件 /etc/pam.d/sshd，添加以下内容：
bash
auth required pam_google_authenticator.so
  1. 编辑 SSH 配置文件 /etc/ssh/sshd_config，确保以下配置项已启用：
bash
ChallengeResponseAuthentication yes
  1. 重启 SSH 服务：
bash
$ sudo systemctl restart sshd

现在，当你通过 SSH 登录时，系统会要求你输入密码和 Google Authenticator 生成的验证码。

总结​

Ubuntu 用户认证是系统安全的重要组成部分。通过合理配置密码策略、使用 PAM 模块以及启用多因素认证，可以显著提高系统的安全性。希望本文能帮助你理解并掌握 Ubuntu 用户认证的基础知识。

附加资源​

练习​

  1. 尝试修改 /etc/login.defs 文件中的密码策略，并观察系统行为。
  2. 为你的 Ubuntu 系统配置 SSH 双因素认证，并测试登录过程。
  3. 研究其他 PAM 模块，尝试实现更复杂的认证流程。