Modulo di autenticazione collegabile - Pluggable authentication module

Image
Struttura

Un modulo di autenticazione pluggable ( PAM ) è un meccanismo per integrare più schemi di autenticazione di basso livello in un'interfaccia di programmazione dell'applicazione (API) di alto livello . PAM consente di scrivere programmi che si basano sull'autenticazione indipendentemente dallo schema di autenticazione sottostante. È stato proposto per la prima volta da Sun Microsystems in una richiesta di commenti della Open Software Foundation (RFC) 86.0 dell'ottobre 1995. È stato adottato come framework di autenticazione del Common Desktop Environment . Come infrastruttura open-source stand-alone , PAM è apparso per la prima volta in Red Hat Linux 3.0.4 nell'agosto 1996 nel progetto Linux PAM . PAM è attualmente supportato nel sistema operativo AIX , DragonFly BSD , FreeBSD , HP-UX , Linux , macOS , NetBSD e Solaris .

Poiché non esiste uno standard centrale per il comportamento di PAM, c'è stato un tentativo successivo di standardizzare PAM come parte del processo di standardizzazione di X/Open UNIX, che ha portato allo standard X/Open Single Sign-on ( XSSO ). Questo standard non è stato ratificato, ma la bozza dello standard è servita come punto di riferimento per le successive implementazioni di PAM (ad esempio, OpenPAM ).

critiche

Poiché la maggior parte delle implementazioni di PAM non si interfaccia con i client remoti, PAM, da solo, non può implementare Kerberos , il tipo più comune di SSO utilizzato negli ambienti Unix. Ciò ha portato all'incorporazione di SSO come parte di "autenticazione primaria" dell'aspirante standard XSSO e all'avvento di tecnologie come SPNEGO e SASL . Questa mancanza di funzionalità è anche il motivo per cui SSH effettua la propria negoziazione del meccanismo di autenticazione.

Nella maggior parte delle implementazioni PAM, pam_krb5 recupera solo Ticket Granting Ticket , il che implica la richiesta di credenziali all'utente e viene utilizzato solo per l'accesso iniziale in un ambiente SSO. Per recuperare un ticket di servizio per una particolare applicazione e non richiedere all'utente di immettere nuovamente le credenziali, l'applicazione deve essere codificata in modo specifico per supportare Kerberos. Questo perché pam_krb5 non può ottenere i ticket di servizio, sebbene ci siano versioni di PAM-KRB5 che stanno tentando di aggirare il problema.

Guarda anche

Riferimenti

  1. ^ Pagina man di PAM di DragonFly BSD
  2. ^ PAM-KRB5

link esterno

Specifiche:

Guide:


Icona stub

Questo articolo sul software di sicurezza è solo un abbozzo . Puoi aiutare Wikipedia espandendola .