PAM

在上一家公司的时候曾经有很多关于 cron(8) 的想法，但一直没有付诸实施，很多东西放在本地慢慢生锈了。

去年年底的时候我开始着手去修了一些 cron(8) 的 bug，其中包括为 cron 之前不够完整的 PAM 支持进行了改进。

背景：PAM

Pluggable Authentication Module (PAM) 为一系列身份验证相关的操作提供了一组通用的接口。在没有 PAM 之前，应用程序需要实现大量重复的代码来完成类似的操作，例如要求用户输入密码并进行验证等。这么做的问题在于缺乏灵活性，例如，管理员可能希望将用户数据保存到 LDAP 目录中，或是使用指纹等新式验证方式。PAM 使这些相关操作可以通过插件来完成，应用程序不再需要关心「如何验证用户身份」（用户名、密码等等是不是正确），而只需要向 PAM 询问「该用户的身份是否合法？」即可。这层抽象简化了应用程序开发者的工作，并且赋予了系统管理员更大的灵活性。

PAM 将系统的认证工作分成了四组基本操作：

• auth：验证用户身份（比如检查密码）。
• account：检查账户是否有效（比如是否过期、是否允许在此时间登录）。
• password：用于修改密码。
• session：会话管理，即用户「进门前」和「出门后」需要进行的环境搭建或清理工作。这是本次更新的核心。

今天和 Henry Hu 聊起 iichid 已经进了 FreeBSD 的主线，想起自己之前鼠标啥的还是都在用 sysmouse，觉得既然来都来了就索性都改成 evdev 的输入设备算了？改了 /boot/loader.conf 并增加了下列设置：

iichid_load="YES"
usbhid_load="YES"
hms_load="YES"
hw.usb.usbhid.enable="1"    # 防止uhid(4)接管

重启。等等，一闪而过的那是什么？

ntpd is not allowed to log in on /dev/console

📜 基于 TOTP 的做法不易备份，此外无法防止钓鱼。新部署时应考虑 FIDO 2

等更为现代化的解决方案。

Google Authenticator 是一个 TOTP（基于时间的一次性口令）实现，它采用了 RFC 4226 算法。

许多新的笔记本计算机系统配备了基于指纹的身份识别系统。与通常人们的认知不同，这类系统的安全性往往仅仅与使用口令相当，甚至要比基于口令的身份认证系统来的更差；这类系统的价值在于，它们简化了用户的身份验证过程，而不是其改善了系统的安全性。

我们今天发布了 FreeBSD SA-06:09.sshd，这是一个针对 sshd 的 DoS 攻击。如果您使用的是 FreeBSD 5.3、5.4或5.5-PRERELEASE(到昨天之前的版本)，请立即升级到最新的安全分支。

离这个Q结束还有1个月，来总结一下：

工作：

• 基本完成了内部版本的FreeBSD 6.0-RELEASE，并已开始用于生产服务器
• 替换了公司的一组基于qmail的转发服务器，采用FreeBSD 6.0和postfix
• 实现了一个验证服务
• 设计并实现了一组全新的反垃圾策略，有效地将垃圾邮件的数量降低了若干量级，并且用户无不良反映(最开始出现过一次问题，但并不是策略本身的问题)
• 设计了一组新的用户行为分析系统，并实现了其初级部分。该系统将进一步提高邮件系统的可用性
• 追和扑灭了邮件系统中的一批中等和严重程度的隐患
• 1314同学撤退后客串跑了若干次机房扑火
• 赶猪，逮老鼠，上大包……(暗语，内部人员偷着乐就行了，不要泄露国家机密;)
  (不过李逵却说……算了还是不说了)

开源软件方面的掺和：

• 为FreeBSD 6.0-RELEASE的发布进行了一些工作，总体而言得到了认可
• 翻译完了FreeBSD Architecture Handbook的SMP章节

mat@ has dropped maintainership… I was waiting for pam-pgsql to be fixed and now I have to do that by myself :-)

Actually I am not so interested in a GPL’ed PAM module, so maybe I will write one from scratch…

Today, Alex Dupre has updated ZendOptimizer and I have installed it for FreeBSDChina.