pam_panic

pam_panic

Propósito

pam_panic é um módulo PAM que protege dados confidenciais e fornece uma função de pânico para situações de emergência.

Como funciona

Você pode escolher uma das duas opções:

Usando duas mídias removíveis anteriores à sua própria senha

Existem duas mídias removíveis que funcionam como chaves: a chave de autenticação e a tecla de pânico. A chave de autenticação permitirá que você passe para o prompt de senha, enquanto a chave de pânico, se fornecida, apagará com segurança o cabeçalho LUKS, tornando os dados ilegíveis.

Usando duas senhas anteriores à sua própria senha

Existem duas senhas que você pode definir: a senha da chave e a senha do pânico. A senha da chave permitirá que você passe para o prompt de senha original, enquanto a senha de pânico, se fornecida, apagará com segurança o cabeçalho LUKS, tornando os dados ilegíveis.

Instalação

Arch Linux AUR

Há

• pam_panic - Lançamentos reais e
• pam_panic-git para este repositório git real.

Ubuntu

Há uma atualização do PPA para novos lançamentos.

Para instalar o pacote usando o PPA:

 sudo add-apt-repository ppa:bandie/pampanic
sudo apt-get update
sudo apt-get install pampanic

De fontes

Você precisará do GCC ou similar, bem como dos cabeçalhos PAM. Algumas distribuições empacotam os cabeçalhos PAM como libpam0g-dev . Além disso, você precisa dialog , autoconf e gettext . Alguns também precisam de autopoint .

Para compilar e instalar, faça o seguinte no diretório raiz do projeto:

$ [ ! -e ./configure ] && autoreconf -i
$ ./configure
$ make
$ sudo make install

Nota: os caminhos dos comandos reboot , poweroff e cryptsetup são passados ​​para o módulo em tempo de compilação.

Preparação

Se quiser usar mídia removível, você precisará de dois dispositivos de armazenamento removíveis formatados em GPT, e esses dispositivos devem ter pelo menos uma partição. Aqui está um exemplo de sessão fdisk , mostrando como isso pode ser feito:

$ sudo fdisk /dev/sdc

Welcome to fdisk (util-linux 2.31.1).
Changes will remain in memory only, until you decide to write them.
Be careful before using the write command.


Command (m for help): g
Created a new GPT disklabel (GUID: AAAAAAAA-AAAA-AAAA-AAAA-AAAAAAAAAAAA).

Command (m for help): n
Partition number (1-128, default 1): 
First sector (2048-15661022, default 2048): 
Last sector, +sectors or +size{K,M,G,T,P} (2048-15661022, default 15661022): 

Created a new partition 1 of type 'Linux filesystem' and of size 7.5 GiB.
Command (m for help): w

Você encontrará o UUID da sua partição em /dev/disk/by-partuuid/ . Você pode descobrir qual dispositivo é qual digitando ls -l /dev/disk/by-partuuid/ em seu shell favorito.

Configuração

A maneira mais fácil é executar pam_panic_config .

Da maneira mais difícil:
Para configurar o módulo, adicione o seguinte ao(s) arquivo(s) de configuração PAM apropriado(s): (consulte pam.conf(5) para obter detalhes sobre esses arquivos)

Usando a mídia removível:

 auth       requisite    /usr/local/lib/security/pam_panic.so auth=<UUID> reject=<UUID> reboot serious=<UUID>
account    requisite    /usr/local/lib/security/pam_panic.so

Usando as duas senhas:

 auth       requisite    /usr/local/lib/security/pam_panic.so password reboot serious=<UUID>
account    requisite    /usr/local/lib/security/pam_panic.so

Para definir suas senhas, execute pam_panic_pw como root em seu shell preferido.

Mais informações

Consulte man 8 pam_panic e man 1 pam_panic_pw para obter mais informações.

PENDÊNCIA

• Traduções

Adenda

Envenenando a memória ao emitir uma reinicialização ou desligamento

Se você quiser ter certeza de que sua memória está livre de todas as informações ao emitir uma reinicialização/desligamento, você pode querer adicionar as opções page_poison=on e slub_debug=P aos seus argumentos do kernel. Para o GRUB2, basta anexá-lo à entrada GRUB_CMDLINE_LINUX em /etc/default/grub e, em seguida, emitir uma reconstrução da configuração do GRUB2: grub-mkconfig -o /boot/grub/grub.cfg