pam_panic

pam_pánico

Objetivo

pam_panic es un módulo PAM que protege datos confidenciales y proporciona una función de pánico para situaciones de emergencia.

como funciona

Puedes elegir entre una de dos opciones:

Usando dos medios extraíbles antes de su propia contraseña

Hay dos medios extraíbles que funcionan como claves: la clave de autenticación y la clave de pánico. La clave de autenticación le permitirá pasar a la solicitud de contraseña, mientras que la clave de pánico, si se proporciona, borrará de forma segura el encabezado LUKS, haciendo que los datos sean ilegibles.

Usar dos contraseñas anteriores a su propia contraseña

Hay dos contraseñas que puede configurar: la contraseña clave y la contraseña de pánico. La contraseña clave le permitirá pasar a la solicitud de contraseña original, mientras que la contraseña de pánico, si se proporciona, borrará de forma segura el encabezado LUKS, haciendo que los datos sean ilegibles.

Instalación

Arch Linux AUR

Hay

• pam_panic - Lanzamientos reales y
• pam_panic-git para este repositorio de git real.

ubuntu

Hay una actualización de PPA para nuevos lanzamientos.

Para instalar el paquete usando el PPA:

 sudo add-apt-repository ppa:bandie/pampanic
sudo apt-get update
sudo apt-get install pampanic

De fuentes

Necesitará GCC o similar, así como los encabezados PAM. Algunas distribuciones empaquetan los encabezados PAM como libpam0g-dev . También necesitas dialog , autoconf y gettext . Algunos también necesitan autopoint .

Para compilarlo e instalarlo, haga lo siguiente dentro del directorio raíz del proyecto:

$ [ ! -e ./configure ] && autoreconf -i
$ ./configure
$ make
$ sudo make install

Nota: las rutas de los comandos reboot , poweroff y cryptsetup se pasan al módulo en tiempo de compilación.

Preparación

Si desea utilizar medios extraíbles, necesitará dos dispositivos de almacenamiento extraíbles con formato GPT y dichos dispositivos deben tener al menos una partición. A continuación se muestra un ejemplo de sesión fdisk que muestra cómo se puede lograr esto:

$ sudo fdisk /dev/sdc

Welcome to fdisk (util-linux 2.31.1).
Changes will remain in memory only, until you decide to write them.
Be careful before using the write command.


Command (m for help): g
Created a new GPT disklabel (GUID: AAAAAAAA-AAAA-AAAA-AAAA-AAAAAAAAAAAA).

Command (m for help): n
Partition number (1-128, default 1): 
First sector (2048-15661022, default 2048): 
Last sector, +sectors or +size{K,M,G,T,P} (2048-15661022, default 15661022): 

Created a new partition 1 of type 'Linux filesystem' and of size 7.5 GiB.
Command (m for help): w

Encontrarás el UUID de tu partición en /dev/disk/by-partuuid/ . Puede averiguar qué dispositivo es cuál escribiendo ls -l /dev/disk/by-partuuid/ en su shell favorito.

Configuración

La forma más sencilla es ejecutar pam_panic_config .

El camino difícil:
Para configurar el módulo, agregue lo siguiente a los archivos de configuración PAM apropiados: (consulte pam.conf(5) para obtener detalles sobre estos archivos)

Usando los medios extraíbles:

 auth       requisite    /usr/local/lib/security/pam_panic.so auth=<UUID> reject=<UUID> reboot serious=<UUID>
account    requisite    /usr/local/lib/security/pam_panic.so

Usando las dos contraseñas:

 auth       requisite    /usr/local/lib/security/pam_panic.so password reboot serious=<UUID>
account    requisite    /usr/local/lib/security/pam_panic.so

Para configurar sus contraseñas, ejecute pam_panic_pw como root en su shell preferido.

Más información

Consulte man 8 pam_panic y man 1 pam_panic_pw para obtener más información.

HACER

• Traducciones

Apéndice

Envenenamiento de la memoria al reiniciar o apagar

Si desea asegurarse de que su memoria esté libre de toda información al realizar un reinicio/apagado, es posible que desee agregar las opciones page_poison=on y slub_debug=P a los argumentos de su kernel. Para GRUB2, simplemente añádalo a su entrada GRUB_CMDLINE_LINUX en /etc/default/grub y luego emita una reconstrucción de la configuración de GRUB2: grub-mkconfig -o /boot/grub/grub.cfg