Note： 更改ssh相关配置后需要重启sshd服务 systemctl restart sshd
双因素身份验证 （2FA）是一种身份验证方法，需要输入多条信息才能成功登录帐户或设备。 除了输入用户名和密码组合之外，2FA还要求用户输入一条额外的信息，例如一次性密码 （OTP），如六位数的验证码。
pam_tally2模块可于用于在对系统进行一定次数的失败ssh登录尝试后锁定用户
规则描述：在给定时间段内已停用的用户帐户可以自动禁用。建议在密码到期后 30 天内处于非活动状态的帐户被禁用。
Unix machines depend on accurate timekeeping. The kernel maintains the system clock, which is the clock that is consulted when you run commands like date. You can also set the system clock using the date command, but it’s usually a bad idea to do so because you’ll never get the time exactly right. Your system clock should be as close to the correct time as possible.
二次验证是目前比较常用的安全手段，通过设置二次验证，我们可以有效的避免账户密码可能的泄露导致的账户信息泄露，因为每次登陆前我们都需要获取一个一次性验证码，没有验证码就无法成功登陆。二次验证也叫两步验证、两步验证等。本文中老唐将说明如何在 Ubuntu 20.04 上使用 Google Authenticator PAM 模块进行 SSH 和 sudo 身份验证。
对于用户账户的管理是系统管理员最重要的工作之一。尤其是，对于任何自称安全的linux系统，最受关心的应该是密码安全问题。在本教程中，我将介绍如何在linux上设置严密的密码策略。
在本教程中，您将学习如何在CentOS 7上使用一次性密码进行SSH上的双重身份验证。
本文要实现的功能：如果有人恶意尝试破解你的服务器密码，那么这个功能就能帮你起到一定的作用，当尝试密码错误超过设定的次数后，就会锁定该账户多长时间（自行设定），时间过后即可自行解锁，这样可以增加攻击者的成本。
本文为joshua317原创文章,转载请注明：转载自joshua317博客 https://www.joshua317.com/article/122
Linux身份鉴别机制是保护操作系统安全的重要机制之一，是防止恶意用户进入系统的一个重要环节。早期的身份鉴别机制就是传统的UNIX身份鉴别机制，它采用口令加密并与原密码进行对比的方式来对用户身份进行鉴别。但是这种加密方式过于单一，在一个服务中用户的帐号密码泄露会涉及到多个服务的安全性，所以为了增强系统的安全性，出现了许多其他的身份鉴别机制，如指纹认证、USB认证等。但是这样导致了一个问题，为了应用这些认证机制，就需要重新编写并编译应用程序（如系统登陆服务login）。为了解决这个问题，1995年Sun公司的Vipin Samar和 Charlie Lai提出了PAM(Pluggable Authentication Modules)身份鉴别机制，它采用模块化设计和插件功能，使得系统在更改认证机制时不再需要修改应用程序，极大的提高了认证机制的灵活性。本报告对Linux各用户帐号的权限区别进行了分析，对传统UNIX身份鉴别机制的实现过程进行了研究，重点对PAM身份鉴别机制的实现过程进行了研究与分析，最后通过一个具体的PAM策略演示场景实现了身份鉴别机制的执行过程，研究结果也发现Linux身份鉴别机制是在Linux用户态下实现的，并不涉及内核的具体实现。
近来很多知名企业都出现了密码泄露，业内对多重认证的呼声也越来越高。在这种多重认证的系统中，用户需要通过两种不同的认证程序：提供他们知道的信息（如 用户名/密码），再借助其他工具提供用户所不知道的信息（
我们都知道登录MySQL数据库时，连接层接入数据库需要经过mysql.user表中，用户名密码的验证才能登录数据库。
认证是用于证明您有权执行某项操作的信息，例如登录到系统。认证通道是身份验证系统向用户传递因素或要求用户回复的方式。通俗的来讲，密码和安全令牌就是身份验证证明，计算机和电话是就是身份验证的通道。
作为一种开放源代码的操作系统，Linux服务器以其安全，高效和稳定的显著优势得以广泛应用 可以从账号安全控制，系统引导和登录控制的角度控制Linux系统的安全优化
上面的错误日志非常清晰的指向了 open files 相关设置，于是查看 ulimit 信息
PAM 的全称为“可插拔认证模块（Pluggable Authentication Modules），是一套应用程序编程接口，它提供了一系列的验证机制，只要使用者将验证阶段的需求告知PAM后，PAM就能返回使用者验证的结果。
“胖猴，某大型企业高级运维，马哥教育原创作者联盟成员，热爱分享Linux应用技术和原创知识，有30万字以上的原创内容。” 说明：本次文档是根据某厂的主机合规分析报告内容进行整改的，整改后评分达到90分，本次试验环境为Centos6.7。 一、账号管理 1.1密码锁定策略 pam_tally2和pam_faillock PAM 模块都可以允许系统管理员锁定在指定次数内登录尝试失败的用户账户。并在尝试指定次数是进行锁定，防止暴力破解。 检查方法： 查看/etc/pam.d/syst
pam在linux系统中是非常常用，也是非常重要的一个子系统，然而对于pam,我们可能并没有太多的关注其man 帮助文件的说明，最近读了一下pam的man page, 许多不明白的豁然开朗，这里做一个简单的笔记： A. pam.d 是一个目录，一般情况下 关于pam的配置都在这个目录下，其实还有一个配置文件 pam.conf ，不过一般都不存在，而在pam.conf这个配置文件中，关于语法的格式，在man pam.conf 或者man pam.d 的时候，有这么一段：
操作系统安全布置的作业，搞了一周多，虽然做完了。 但还是对PAM不是很了解…
普通情况下的服务器登录，是 “服务器+密码” 这种直白的验证方式，但是这种方式太过简单，一旦密码泄露，服务器就有危险。 于是为了安全我们就要在登录上再加一把锁，那就是使用 Google Authenticator（谷歌身份验证器）这个工具，在登录的时候进行一次验证，只有 “验证通过了”+“密码正确” 才能登陆服务器。
1.进入/etc/pam.d/password-auth 文件 2.添加配置，以这条配置为例.我在这里只设置错误三次锁定当前用户（不包括root），锁定时间为60秒
Linux服务器通过ssh远程连接的时候，如果使用的是用户名+密码的验证方式，万一密码泄露或者密码过于简单被暴li破解，服务器的安全就得不到保障。由此，可以结合谷歌动态验证口令来为服务器再加一道安全防护门。此时，就算是用户密码被泄露，但没有动态验证口令也是无法登录服务器的。
而后，google的验证模块就会被复制到/lib64/security目录下，而用来生成密钥的可执行程序：google-authenticator，则复制到/usr/local/bin目录下，方便调用。
有别于市面上常见的jumpserver方案，使用本文所搭建的跳板机将不会存储任何Linux服务器的账号、密码、密钥等信息，杜绝了信息泄露的可能。本文最大的特点是借助Linux的PAM机制，通过修改Linux服务器系统层配置，部分接管了Linux系统的身份认证能力，关于这一点，下文将详细描述。
这种认证方法操作起来类似password， 只不过它使用 PAM （插入式验证模块）作为认证机制。默认的 PAM 服务名是postgresql。PAM 只被用于验证用户名/口令对并且可以有选择地验证已连接的远程主机名或 IP 地址。因此，在使用 PAM 进行认证之前，用户必须已经存在于数据库中。有关 PAM 的更多信息，请阅读 Linux-PAM 页面2 . 下列被支持的配置选项用于 PAM：
#安装chrony软件,chrony 是网络时间协议的（NTP）的另一种实现,因为动态口令再验证时用到了时间，所以要保持时间上的一致性
在Linux中执行有些程序时，这些程序在执行前首先要对启动它的用户进行认证，符合一定的要求之后才允许执行，例如login, su等。在Linux中进行身份或是状态的验证程序是由PAM来进行的，PAM（Pluggable Authentication Modules）可动态加载验证模块，因为可以按需要动态的对验证的内容进行变更，所以可以大大提高验证的灵活性。 一、PAM模块介绍 Linux-PAM（即linux可插入认证模块）是一套共享库,使本地系统管理员可以随意选择程序的认证方式。换句话说，不用(重新编写)
在本系列的前几篇文章《配置客户端以安全连接到Kafka集群- Kerberos》和《配置客户端以安全连接到Kafka集群- LDAP》中，我们讨论了Kafka的Kerberos和LDAP身份验证。在本文中，我们将研究如何配置Kafka集群以使用PAM后端而不是LDAP后端。
双因素认证就是通过 用户已知信息（用户名和密码）+用户预先未知信息 二要素组合到一起实现双因素身份认证。双因素认证是一种采用时间同步技术的系统，采用了基于时间、事件和密钥三变量而产生的一次性密码来代替传统的静态密码。每个动态密码卡都有一个唯一的密钥，该密钥同时存放在服务器端，每次认证时动态密码卡与服务器分别根据同样的密钥，同样的随机参数（时间、事件）和同样的算法计算了认证的动态密码，从而确保密码的一致性，从而实现了用户的身份认证。
[TOC] 0x00 前言介绍 Q:什么是PAM? 答:PAM 的全称为可插拔认证模块(Pluggable Authentication Modules:简称 PAM /pæm/ ),Linux中的一
RH413-RHEL6.4课程总结 Unit1 Tracking Security Updates 更新分以下三类 RHSA RHBA RHEA yum updateinfo list 查看所有更新 yum updateinfo list --cve=CVE-2013-0755查看某一更新 yum --security list updates 查看安全更新 yum updateinfo list | grep 'Critical'|cut -f1 -d''|sort -u|wc -l Unit2 Managing Software Updates rpm -qa >/root/pre-update-software.$(date +%Y%m%d) 把安装的所有的软件包导入到一个文件 yum updateinfo >/root/updateinfo-report.$(date +%Y%m%d) yum update --security -y 只更新安全的包,安装前gpgcheck=1要开启 yum update --cve=<CVE> 可以更新具体的 rpm --import <GPG-KEY-FILE> 导入安装包的key rpm -qa |grep gpg-pubkey 查看可信的GPG keys rpm -qi gpg-pubkey 查看安装包的详细信息 rpm -K rpm package 查看安装包的md5值是不是正确 rpm -vvK rpm package 给出调试信息 rpm -qp --scripts rpm package 查看安装包有没有脚本运行 Unit3 Creating File Systems lvcreate -l 100%FREE -n lvname vgname -l, --extents LogicalExtentsNumber[%{VG|PVS|FREE|ORIGIN}] cryptsetup luksFormat /dev/vgname/lvname 键入YES开始加密格式化，输入密码 cryptsetup luksOpen /dev/vgname/lvname luksname 打开并命名 mkfs -t ext4 /dev/mapper/luksname 设置文件系统 mkdir /secret mount /dev/mapper/luksname /secret umout /secret cryptsetup luksClose luksname 关闭加密 dd if=/dev/urandom of=/path/to/passsword/file bs=4096 count=1 加密文件也可以用明文 chmod 600 /path/to/password/file cryptsetup luksAddkey /dev/vdaN /path/to/password/file 这里也需要输入密码 touch /etc/crypttab luksname /dev/vgname/lvname /path/to/password/file 在/etc/fstab添加如下 /dev/mapper/luksname /secret ext4 defaults 1 2 这样就可以开机自动挂载加密分区了 Unit4 Managing File Systems nosuid,noexec 命令没有suid权限和执行权限 tune2fs -l /dev/vd1 |head -n 19 tune2fs -l /dev/vda1 |grep 'mount options' tune2fs -o user_xattr，acl /dev/vda1 给分区添加acl权限，也可以修改/etc/fstab文件 lsattr 查看文件特殊属性 chattr +、- 语法 a 只能追加 i 禁止修改 Unit5 Managing Special Permissions suid setUID guid setGID chmod u+s /path/to/procedure 所有人对程序有运行权限 chmod g+s /path/to/dir 文件夹下生成的文件的所属组不变 find /bin -perm /7000 查找/bin下所有特殊权限位 find /bin -perm 4000 精确查找 find /bin -perm -4000 setUID find /bin -perm -2000 setGID find /bin
我们都知道 Linux 下 Root 用户的权限是最大的，因此一般不推荐直接使用 Root 用户操作。通常都是使用普通用户，在必要时通过 Sudo 命令来提权。
今年的OFC会议上，Intel有多个报告，报道了其在硅光领域的核心器件进展以及未来的布局，小豆芽这里简单整理下，供大家参考。
主机安全的风险级别除了漏洞，另一个重要的参考值是安全基线的风险分值，本次介绍的主要是结合目前公司的业务实际情况制作的一份安全基线脚本，供大家进行参考。
在《等级测评师初级教程》里，对于密码长度的设置指向了/etc/login.defs里的PASS_MIN_LEN字段。
文件传输协议（File Transfer Protocol），是一套用于在网络上进行文件传输的标准协议，该协议位于网络传输协议的应用层；
以一个六阶的FIR为例，并行度为2，串行度为3（每个串行处理单元串行处理3个乘加操作），整体有以下数据流：
以 ssh 为例，每当有 ssh 的连接请求时，tcpd（Tcp Wrapper的守护进程）即会截获请求， 当请求满足配置文件中的规则，则放行，否则中断连接，配置文件中可设置匹配规则后执行命令
root账号 是 Linux 和其他类 Unix 操作系统上的超级帐户。此帐户可以访问系统上的所有命令和文件，并具有完全读取、写入和执行权限。它用于在系统上执行任何类型的任务；create/update/access/delete其他用户的帐户，install/remove/upgrade软件包。 root用户拥有绝对权力，执行的任何操作都对系统至关重要。在这方面，任何错误由root用户可能对系统的正常运行产生巨大影响。此外，该帐户也可能因意外、恶意或人为无视规则而被不当或不当使用而被滥用。 因此，建议禁用
root账号 是 Linux 和其他类 Unix 操作系统上的超级帐户。此帐户可以访问系统上的所有命令和文件，并具有完全读取、写入和执行权限。它用于在系统上执行任何类型的任务； create/update/access/delete其他用户的帐户，install/remove/upgrade软件包。 root用户拥有绝对权力，执行的任何操作都对系统至关重要。在这方面，任何错误由root用户可能对系统的正常运行产生巨大影响。此外，该帐户也可能因意外、恶意或人为无视规则而被不当或不当使用而被滥用。 因此，建议禁
CVM云服务器通过VNC输入正确的密码后无法正常登录，报错Module is unknown
通过上篇文章的学习，我们学会了如何查看当前 cgroup 的信息，如何通过操作 /sys/fs/cgroup 目录来动态设置 cgroup，也学会了如何设置 CPU shares 和 CPU quota 来控制 slice 内部以及不同 slice 之间的 CPU 使用时间。本文将把重心转移到内存上，通过具体的示例来演示如何通过 cgroup 来限制内存的使用。
最近也是服务器各种被入侵，所以在安全上，要万分注意，特此记录，借助Google的身份验证插件，获取动态验证码完成SSH登陆。
wazuh 默认的规则包含以上几种的监控，但是对于我们千奇百怪的主机环境显然是不够的。
随着光通信的高速发展，现在我们工作和生活中很多场景都已经实现了“光进铜退”。也就是说，以同轴电缆、网线为代表的金属介质通信，逐渐被光纤介质所取代。
使用新版的macbook或pro都是支持Touch ID。 Touch ID在工作生活中，有哪些妙用。 今天介绍一下我常用的touch id 1password6 新版的1password支持使用t
温馨提示：要看高清无码套图，请使用手机打开并单击图片放大查看。 Fayson的github：https://github.com/fayson/cdhproject 提示：代码块部分可以左右滑动查看噢 1.文档编写目的 ---- 前面Fayson文章讲《1.如何在RedHat7上安装OpenLDA并配置客户端》，安装及配置好OpenLDAP后，如何使用OpenLDAP上的用户登录集群服务器，本篇文章主要介绍如何在RedHat7中实现OpenLDAP集成SSH登录并使用sssd同步用户。 内容概述 1.安装O
作为一种开放源代码的操作系统，Linux服务器以其安全，高效和稳定的显著优势而得以广泛应用，但是，若不加以控制，也不见得安全到哪里，这篇博文主要从账号安全控制、系统引导和登录控制的角度，来进行Linux系统安全优化。并且使用辅助工具来查找安全隐患，以便我们及时采取相应的措施。 基本安全措施： 1、 系统各种冗余账号，如“games”等，可直接删除，包括一些程序账号，若卸载程序后，账号没能被删除，则需要我们手动进行删除。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
