レガシーアプリケーションのPAM認証

Question

私は、ワイヤを通じて非同期にユーザー名/パスワード要求を受け取るレガシーアプリケーションを持っています。私はすでにユーザ名とパスワードを変数として保存しているので、Linux（Pian）のPAMで認証する最良の方法は何でしょうか？

私は自分の会話機能を書こうとしましたが、パスワードを取得する最善の方法がわかりません。私はappdataに格納し、それをpam_conv構造体から参照することを検討しましたが、それを行う方法に関するドキュメントはほとんどありません。

会話機能の過度な負荷がない状態でユーザーを認証する簡単な方法はありますか？私はpam_set_dataをうまく使用することができず、それが適切であるかどうかはわかりません。会話機能で

user = guiMessage->username; 
pass = guiMessage->password; 

pam_handle_t* pamh = NULL; 
int   pam_ret; 
struct pam_conv conv = { 
    my_conv, 
    NULL 
}; 

pam_start("nxs_login", user, &conv, &pamh); 
pam_ret = pam_authenticate(pamh, 0); 

if (pam_ret == PAM_SUCCESS) 
    permissions = 0xff; 

pam_end(pamh, pam_ret); 

そして、最初の試みは（パスワードはテストのためにハードコードされている）の結果：

int 
my_conv(int num_msg, const struct pam_message **msg, struct pam_response **resp, void *data) 
{ 
    struct pam_response *aresp; 

    if (num_msg <= 0 || num_msg > PAM_MAX_NUM_MSG) 
    return (PAM_CONV_ERR); 
    if ((aresp = (pam_response*)calloc(num_msg, sizeof *aresp)) == NULL) 
    return (PAM_BUF_ERR); 
    aresp[0].resp_retcode = 0; 
    aresp[0].resp = strdup("mypassword"); 

    *resp = aresp; 
    return (PAM_SUCCESS); 
} 

任意の助けをいただければ幸いです。ここ

は私がやっているものです。ありがとうございました！

Answer 1

これは私がやったことです。 3つのアスタリスクでマークされたコメントを参照してください。

#include <stdlib.h> 
#include <iostream> 
#include <fstream> 
#include <security/pam_appl.h> 
#include <unistd.h> 

// To build this: 
// g++ test.cpp -lpam -o test 

struct pam_response *reply; 

//function used to get user input 
int function_conversation(int num_msg, const struct pam_message **msg, struct pam_response **resp, void *appdata_ptr) 
{ 
    *resp = reply; 
    return PAM_SUCCESS; 
} 

int main(int argc, char** argv) 
{ 
    if(argc != 2) { 
     fprintf(stderr, "Usage: check_user <username>\n"); 
     exit(1); 
    } 
    const char *username; 
    username = argv[1]; 

    const struct pam_conv local_conversation = { function_conversation, NULL }; 
    pam_handle_t *local_auth_handle = NULL; // this gets set by pam_start 

    int retval; 

    // local_auth_handle gets set based on the service 
    retval = pam_start("common-auth", username, &local_conversation, &local_auth_handle); 

    if (retval != PAM_SUCCESS) 
    { 
    std::cout << "pam_start returned " << retval << std::endl; 
    exit(retval); 
    } 

    reply = (struct pam_response *)malloc(sizeof(struct pam_response)); 

    // *** Get the password by any method, or maybe it was passed into this function. 
    reply[0].resp = getpass("Password: "); 
    reply[0].resp_retcode = 0; 

    retval = pam_authenticate(local_auth_handle, 0); 

    if (retval != PAM_SUCCESS) 
    { 
    if (retval == PAM_AUTH_ERR) 
    { 
     std::cout << "Authentication failure." << std::endl; 
    } 
    else 
    { 
     std::cout << "pam_authenticate returned " << retval << std::endl; 
    } 
    exit(retval); 
    } 

    std::cout << "Authenticated." << std::endl; 

    retval = pam_end(local_auth_handle, retval); 

    if (retval != PAM_SUCCESS) 
    { 
    std::cout << "pam_end returned " << retval << std::endl; 
    exit(retval); 
    } 

    return retval; 
} 

Answer 2

（パスワードなど）の標準的な情報は、PAMのために渡される方法は、（は、pam_set_itemのmanページを参照してください）は、pam_set_itemとPAMハンドルに設定された変数を使用することです。

アプリケーションが後でpam_stackに使用する必要があるものを設定できます。

pam_handle_t* handle = NULL; 
pam_start("common-auth", username, NULL, &handle); 
pam_set_item(handle, PAM_AUTHTOK, password); 

これは、パスワードを行います：あなたはpam_stackにパスワードを入れたい場合は、すぐ下の擬似コードに似たスタックにPAM_AUTHTOK変数を設定することによりに、pam_start（）を呼び出した後にそれを行うことができるはずですそれを使用するモジュールにスタック上で利用可能ですが、通常は、サービスのpam_configurationで標準のuse_first_passまたはtry_first_passオプションを設定することによってモジュールに使用するように指示する必要があります（この場合は/etc/pam.d/共通認証）。

標準のpam_unixモジュールはtry_first_passをサポートしているため、システム上のpam設定（pam_unixの行末）にpam_unixモジュールを追加しても問題ありません。

common-authサービスから呼び出されたpam_authenticate（）のいずれかの呼び出しは、パスワードを選択して使用するだけで済みます。

use_first_passとtry_first_passの違いについてのちょっとした注意：pam_stackでパスワードを試すようにモジュール（この場合はpam_unix）に指示しますが、password/AUTHTOKが利用できないときは動作が異なります。欠落している場合、use_first_passは失敗し、try_first_passはモジュールにパスワードの入力を要求します。

Answer 3

ファンティウスの解決策は私のために働いていました。

私はもともとJohnの解決法を選択しました。それは、より洗練され、会話機能なしでPAM変数を使用していました（実際にはここでは必要ありません）。しかし、動作しなかったし、動作しません。 Adam Baduraが両方の記事で触れたように、PAMはPAM_AUTHTOKの直接設定を防ぐための内部チェックをいくつか行っています。

Johnのソリューションでは、hereと同様の動作が発生します（pam_conv変数を宣言しても、定義しなくてもログインできるようになります）。

mallocの配置を気にすることをお勧めします。これはアプリケーションによって異なる可能性があります（上記のコードはテスト/テン​​プレートのほうが多かったことに注意してください）。