![PAM conf 파일은 안전하지 않습니다! [폐쇄]](https://linux55.com/image/145157/PAM%20conf%20%ED%8C%8C%EC%9D%BC%EC%9D%80%20%EC%95%88%EC%A0%84%ED%95%98%EC%A7%80%20%EC%95%8A%EC%8A%B5%EB%8B%88%EB%8B%A4!%20%5B%ED%8F%90%EC%87%84%5D.png)
/etc/pam.d/에 위치한 PAM 구성 파일은 물리적 공격에 취약합니다. 즉, 외부 시스템(부팅 가능한 USB 또는 드라이브를 다른 시스템으로 전송)에서 수정할 수 있습니다.
전체 드라이브를 암호화하는 것 외에 이러한 PAM 프로필을 보호할 수 있는 다른 방법이 있습니까?
답변1
물리적 접근예루트 액세스. 부팅 프로세스의 일부를 변경할 수 있으면 시스템이 손상될 수 있습니다.
그것은 항상 당신에게 달려 있습니다공격 시나리오. 공격자가 PAM 구성을 변경할 수 있다고 판단되면 FDE(전체 디스크 암호화)를 통해 공격으로부터 보호할 수 있습니다. 공격자가 암호를 도용하기 위해 FDE 암호 프롬프트를 다른 도구로 교체했다고 생각한다면 잠긴 신뢰할 수 있는 부트 체인은 괜찮지만(LinuxBoot, HEADS 참조) 아마도 그 시점에서는 TPM을 다루고 있을 것입니다. HEADS가 이 작업을 수행합니다.진짜안전하지만, 제가 아는 한 아직 생산 준비가 되지 않았습니다.
그러나 이는 소프트웨어 완화입니다. ㅏ하드웨어 키로거키보드와 마더보드 사이에 놓으면 입력 내용을 다시 상대에게 보낼 수 있습니다. 그들이 적어도 알았더라면일부시스템(예: 배포 또는 WM)의 경우 입력이 잠시 중지된 후 키보드 매크로를 재생하여 데이터를 보낼 수도 있습니다. 또는 사전에 전체 하드 드라이브의 복사본을 만든 다음 기록된 입력을 사용하여 복사본을 해독합니다. TPM이나 다른 엔클레이브를 사용하지 않는 한 이러한 공격을 방지하는 것은 거의 불가능합니다.
첫 번째 문장을 다시 반복해 보겠습니다.물리적 액세스는 루트 액세스입니다.. 잠재적인 공격자의 속도를 늦추려면 적어도 GRUB 및 부팅 설정을 보호하고(예: UEFI 및/또는 부팅 순서 변경에 대한 비밀번호 필요) 항상 특정 하드 드라이브에서 부팅하고 FDE를 사용하십시오. 그러나 강화된 문과 추가 보안 잠금 장치로 인해 열쇠를 분실한 경우 자물쇠 제조공이 더 어려워지는 것처럼 이 모든 것이 문제 해결과 지원을 더 어렵게 만든다는 점을 기억하십시오.
하지만 상황에 따라 다르다는 점을 기억하세요당신의공격 장면. 단지 약간의 피해를 입히고 싶었다면 노트북에 물통을 떨어 뜨릴 것입니다.
질문으로 돌아가서: 구성 파일을 보호하는 방법은 다시 어딘가에 저장됩니다. 누군가가 파일을 수정하면 해당 메타파일도 계속 변경할 수 있습니다. 아래쪽에 파일이 있습니다.