[Alg] Waarom zuigt PAM?

[Gerco]

Naar aanleiding van dit topic in P&W: [rml][ PHP] php authentication via /etc/passwd[/rml]

Wilde ik graag eens meningen peilen wat de mensen hier van PAM denken. Ik vind het persoonlijk een mooie library om je authenticatie abstract te maken, maar daar denken andere mensen blijkbaar niet hetzelfde over.

Wat ik er aan mis is een authenticatie daemon zodat ook non-root processen het password van een gebruiker kunnen checken. Dit maakt het onder andere mogelijk om websites te maken met PAM authenticatie zonder dat je extreme risicos loopt en om (zoals in mijn situatie) bepaalde daemon processen die ik niet als root wil draaien (danted, een socks-proxy) te voorzien van PAM authenticatie.

Deze processen zullen nu nog een helper proces nodig hebben om de authenticatie voor ze te doen of zich moeten wagen aan replicatie van de password db (wat erg afhankelijk is van het gebruikte backend). Dit helper proces is niet gestandaardiseerd en dus vinden we wildgroei en onduidelijkheden.

De vraag: Waarom zuigt PAM en waarom is een authenticatie daemon een slecht idee? Hieraan gekoppeld de vraag: Als ik geen PAM wil gebruiken, wat dan wel?

[ Voor 3% gewijzigd door Gerco op 19-01-2005 14:48 ]

[Lancer]

Authenticatie daemon: SASL. Werkt perfect. SASL kan PAM (maar ook andere mechanismes) als backend gebruiken.

http://asg.web.cmu.edu/sasl/

[Gerco]

Lancer schreef op woensdag 19 januari 2005 @ 15:10:
Authenticatie daemon: SASL. Werkt perfect. SASL kan PAM (maar ook andere mechanismes) als backend gebruiken.

Ik gebruik SASL (zie gerelateerd topic), daar gaat mijn vraag ook niet over. Ik stelde het misschien wat verkeerd door de roepen dat PAM die standaard zou moeten hebben, maar het zou wel makkelijk zijn als er een standaard pamd zou zijn waar iedereen tegenaan kan proggen.

Wat je nu hebt is dat je dus inderdaad SASL, daemonX en daemonY hebt die allemaal authd voor PAM spelen. Ik heb niet zo'n zin om 20 verschillende authds te draaien voor evenzoveel apps.

[Wilke]

Ik vind het idee van PAM op zich prima, maar de implementatie schijnt nog wel eens wat te wensen over te laten

Zie deze post: [rml]Wilke in "[ slackware] Mogen su'en alleen met groep..."[/rml]

[Onno]

Wilke schreef op woensdag 19 januari 2005 @ 15:43:
Ik vind het idee van PAM op zich prima, maar de implementatie schijnt nog wel eens wat te wensen over te laten

Het jammere van al dat geklaag op PAM is alleen dat niemand van de klagers een volwaardig alternatief kan bieden. NetBSD schijnt bijvoorbeeld ook niet echt van PAM te houden. En dus is authenticatie naar bijvoorbeeld LDAP gewoon niet mogelijk. Op geen enkele manier. Maar aangezien NIS tegenwoordig toch echt geen serieuze optie meer is, valt zo'n OS dus gewoon meteen af voor een aantal dingen.

[igmar]

Wilke schreef op woensdag 19 januari 2005 @ 15:43:
Ik vind het idee van PAM op zich prima, maar de implementatie schijnt nog wel eens wat te wensen over te laten

Ik vind het een beetje bullshit eerlijk gezegd. Je hebt het echt over jaren geleden, en de meeste PAM problemen zijn te wijten aan mensen die PAM gewoonweg niet snappen. Ik wil een slackware gebruiker wel eens z'n authenticatie van /etc/shadow naar LDAP snel zien wijzigen zonder aanzienlijk recompile werk.

[AlterEgo]

Zuigt pam Geen idee.

Maar PAM is wel ingewikkeld, en te spartaans gedocumenteerd.
En daarmee is het per definitie voor de gemiddelde (thuis)gebruiker een veiligheidsrisico.

* AlterEgo is pam-free Gentoo

[Osiris]

Voor mij sucks PAM omdat sshd PAM alleen gebruikt om te authenticaten en niet om vars zoals homedirs etc mee te pakken die ik via pam_mysql wilde fetchen..

[avatar]

Onno schreef op woensdag 19 januari 2005 @ 15:49:
[...]

Het jammere van al dat geklaag op PAM is alleen dat niemand van de klagers een volwaardig alternatief kan bieden. NetBSD schijnt bijvoorbeeld ook niet echt van PAM te houden. En dus is authenticatie naar bijvoorbeeld LDAP gewoon niet mogelijk. Op geen enkele manier. Maar aangezien NIS tegenwoordig toch echt geen serieuze optie meer is, valt zo'n OS dus gewoon meteen af voor een aantal dingen.

Sinds ruim een maand heeft NetBSD zijn eigen PAM implementatie
http://mail-index.netbsd....nges/2004/12/12/0005.html

[Onno]

Dan hebben ze hun verzet kennelijk opgegeven, mooi.

Overigens is dat gewoon OpenPAM zo te zien, en geen eigen implementatie.

[igmar]

Osiris schreef op woensdag 19 januari 2005 @ 16:58:
Voor mij sucks PAM omdat sshd PAM alleen gebruikt om te authenticaten en niet om vars zoals homedirs etc mee te pakken die ik via pam_mysql wilde fetchen..

Ah, en sinds wanneer is dat een PAM probleem ? Dit is al tijdenlang een OpenSSH probleem.