账号、认证与 SSH 加固：把好第一道门

0. 元信息

• 主题路径：docs/topics/linux-hardening/subtopics/identity-and-ssh/
• 父主题：linux-hardening
• 主分类：安全与可靠性
• 辅助分类：工程技术
• 适合对象：会用 usermod / usermod / passwd，知道 ssh user@host，能读简单配置文件的运维 / 后端 / 安全工程师
• 建议周期：1～1.5 周（每周 8～10 小时，含本地 sshd 实验）
• 前置知识：linux-dev-env；network 基础
• 最终目标：能对一台 Linux 服务器完成账号清理（root 禁登、wheel sudo 限定）、密码策略（minlen=14 + 复杂度 + 失败锁定）、SSH 全面加固（仅密钥 + AllowUsers + MaxAuthTries + Banner + ChrootDirectory + ForceCommand）+ 一次可选 MFA 接入；改后能自查 CIS 1.x / 5.x 控制项

1. 学习路线

账号生命周期（usermod/usermod/usermod、UID 范围、shell、nologin）
  → /etc/passwd 与 /etc/shadow 结构（7+9 字段）
  → PAM 框架（auth/account/session/password 四类）
  → pam_pwquality（密码复杂度）+ pam_faillock（失败锁定）
  → wheel + sudoers（受限提权）
  → SSH 协议与密钥（ed25519 / RSA 4096 / ssh-agent）
  → sshd_config 关键指令（认证、登录、转发、Tunnel）
  → SSH 高级（Banner / ChrootDirectory / ForceCommand / Match）
  → MFA：Google Authenticator / YubiKey（可选）

按”先关闭弱门，再限制强门”的顺序：先关 root 直登、密码登录、telnet；再限制能用 SSH 进的人、能做的事、能转发的端口。

2. 阶段周数分配（1～1.5 周，建议 1.5 周）

每天 1.5 小时；1 周速通每天 2 小时能跑完，但容易漏 sshd -T 验证与持久化步骤。建议 1.5 周：把 MFA 接入与故障排查（MFA 卡 OTP、AllowUsers 漏掉自己）留时间。

3. 九阶段表

关键陷阱：PAM 改了不重启 sshd；sshd_config 多块覆盖顺序错；关密码登录前没配密钥锁死自己；AllowUsers 把当前用户漏掉；MFA 与 ForceCommand 冲突时记错误日志。

4. 第一周任务（每天 1.5～2 小时）

Day 1 约定：用一台 Ubuntu 22.04 或 RHEL 9.x 虚机/容器，先建快照；记录发行版、内核、sshd 版本：cat /etc/os-release、uname -r、sshd -V。所有改动必须以非 root 用户 + sudo 执行；保留 console 或第二 SSH 会话，避免锁外。

Day 7 拆解

步骤 A —— 最小可用（90 分钟）

1. 备份：sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config.bak.$(date +%F)；
2. 新建 /etc/ssh/sshd_config.d/99-hardening.conf，先放 5 条核心：PermitRootLogin no、PasswordAuthentication no、MaxAuthTries 3、AllowUsers opsuser、Banner /etc/issue.net；
3. 写 /etc/issue.net：Authorized access only. All activity is monitored and recorded. Violations will be prosecuted.;
4. sudo sshd -t && sudo systemctl restart sshd，保另一会线；
5. ssh opsuser@localhost 用密钥登录应成功；ssh -o PreferredAuthentications=password opsuser@localhost 应得 Permission denied (publickey)；
6. sudo sshd -T | grep -Ei 'permitrootlogin|passwordauthentication|allowusers|maxauthtries|banner' 验证生效。

步骤 B —— 强化 + 边界（30～45 分钟）

1. 加 KbdInteractiveAuthentication no ChallengeResponseAuthentication no，与 MFA 协同时不卡 OTP；
2. 加 LoginGraceTime 30 ClientAliveInterval 300 ClientAliveCountMax 2，挡慢攻击与死连接；
3. 加 X11Forwarding no AllowTcpForwarding no PermitTunnel no PermitUserEnvironment no UsePAM yes IgnoreRhosts yes；
4. sudo sshd -t && sudo systemctl restart sshd；
5. sudo sshd -T | grep -Ei 'x11forwarding|allowtcpforwarding|permittunnel|permiteenvironment|usepam|ignorerhosts|clientalive' 看每条生效；
6. ssh -v opsuser@localhost 2>&1 | grep -E 'auth|method' 验证只走 publickey；
7. 把 AllowUsers 临时删掉 opsuser 重启 sshd，验证自己被拒；再加回去恢复。

5. 阶段通用验收（每一阶段都通过）

1. 能用 1 张表说出 CIS Benchmark 1.x（账号）与 5.x（SSH）核心控制项；
2. 改完配置用 visudo -c、sshd -t、faillock --user、passwd -S、grep /etc/shadow 看证据，存进 notes/；
3. 制造 1 个对照实验：留 PasswordAuthentication yes → 用 sshpass -p wrongpass ssh opsuser@localhost 攻击可见；改 no → 攻击被 Permission denied (publickey)；
4. 至少 3 组自定义数据：故意输错密码被锁、非 opsuser 试 sudo -l 被拒、私钥 600 vs 644 在 ssh 时表现差异；
5. 记录变更：每改一个文件在 notes/changes.md 写 1 条（who/when/what/why/CIS 控制项号）；
6. 能修改已有加固清单（删/加一条 sshd 指令并解释影响），而不是只照搬。

6. 最终验收（学完 9 阶段后）

• 独立完成：账号与 PAM 改完符合 CIS 1.x 至少 8 项；sshd 改完符合 CIS 5.x 至少 15 项；能区分 pam_faillock 与 fail2ban 的作用范围；
• 完成至少 30 条 CIS 1.x/5.x 控制项的对照测试：在 notes/cis-1x5x-gap.md 写 gap matrix；用 sshd -T、faillock --user、awk -F: '($3==0)' /etc/passwd、sudo -l -U <user>、stat -c '%a %U %G' /etc/shadow 命令验证；
• 完成 1 个综合项目：在一台新机器上按 CIS 1.x/5.x 加固并 30 分钟内能恢复默认 / 或在已加固机上演练”密钥 + MFA + 应急密码”三选一回退流程；
• 用 15 分钟讲清”账号 → PAM → sudoers → sshd → MFA”五层防御各堵哪类威胁、为什么关密码登录前必须先配密钥、AllowUsers 漏掉自己为什么会锁外。

7. 综合项目

首选：写一份 cis-account-ssh.md —— 跑基线（sshd -T、awk -F: '($3==0)' /etc/passwd、grep -L nologin /etc/passwd、stat -c '%a' /etc/shadow、sudo -l -U opsuser），按 CIS 1.x/5.x 改完，用同一组命令对比前后结果，输出 diff 报告。

要求：

• 准备 notes/baseline-before.md 与 notes/baseline-after.md；
• 逐项改配置（账号 → shadow → PAM → sudoers → sshd → MFA），每改一项就重跑对应命令；
• 关键配置持久化：/etc/ssh/sshd_config.d/99-hardening.conf、/etc/security/pwquality.conf、/etc/pam.d/common-auth、/etc/sudoers.d/opsuser（如需单独规则）；
• 验证：故意输错 5 次 → faillock --user opsuser 显示锁定；非 wheel 用户 sudo 失败；root SSH 被拒；密码 SSH 被拒；ssh -o PreferredAuthentications=password opsuser@localhost 拒绝；
• 输出 notes/retrospective.md：哪些被坑过（AllowUsers 漏用户、MFA 卡 OTP、sshd_config 块覆盖）、下一步。

备选：在一台故意”老配置”的机器（如 /etc/ssh/sshd_config 默认 PermitRootLogin prohibit-password、PasswordAuthentication yes）上接入 Google Authenticator MFA，验证 OTP 第二次验证生效。

任何综合项目都必须包含：

1. 需求与成功标准（含 CIS 1.x / 5.x 控制项号 + 期望证据命令）；
2. 基线（前）vs 目标（后）差距表；
3. 配置按层（账号 / PAM / sudoers / sshd / MFA）；
4. 脚本化（scripts/harden-account-ssh.sh + scripts/verify-account-ssh.sh），幂等可重跑；
5. 正常 + 异常验证（关掉加固 → sshpass 攻击成功；打开 → Permission denied (publickey)）；
6. 报告：基线 / 目标 / 结果 / 复盘；
7. README；
8. 复盘记录。

本主题贡献（Loop 6-D · linux-hardening / identity-and-ssh）

本主题交付一套”账号 + PAM + sudoers + sshd + MFA”五层加固脚本化包，能直接灌到 RHEL / Ubuntu 双发行版并验证 sshpass 攻击被拦。

3 项核心职责

• 账号 + PAM 加固：禁用 root 直登 / 弱口令 / 长期不活动账号，配 PAM 的 pam_pwquality（密码复杂度）+ pam_faillock（登录失败锁定）+ pam_lastlog（长期不活动检查），按 CIS 5.x 控制项对账。
• sshd + 密钥策略：/etc/ssh/sshd_config 强制 PermitRootLogin no / PasswordAuthentication no / KbdInteractiveAuthentication no / AllowGroups sshusers，配 ed25519 / ecdsa 密钥（禁 DSA / RSA < 3072），用 sshd -T 校验生效。
• MFA + sudoers：用 Google Authenticator 配 TOTP（/etc/pam.d/sshd + pam_google_authenticator.so），配合 sudoers 仅放行 wheel 组 + 单命令 + Defaults log_output。

4 项交付物

1. 基线 vs 目标差距表：对照 CIS 1.x / 5.x 控制项号，每项配期望证据命令（passwd -S / faillock --user / sshd -T / sudo -ll）。
2. 账号 / PAM / sudoers 配置三层落档：/etc/pam.d/login + /etc/pam.d/sshd + /etc/security/pwquality.conf + /etc/security/faillock.conf + /etc/sudoers + /etc/sudoers.d/。
3. sshd_config + 密钥策略：/etc/ssh/sshd_config（含 Match 块）+ 客户端 ed25519 / ecdsa 密钥生成脚本 + 旧 DSA / RSA < 3072 密钥拒绝规则，配 sshd -T 校验。
4. MFA + 攻击验证脚本：scripts/harden-account-ssh.sh（幂等）+ scripts/verify-account-ssh.sh（用 sshpass 暴力验证被拦，Permission denied (publickey)），含 TOTP 第二次验证演示。

3 个验收指标

• passwd -S 全账号无 NP / L 标记，faillock --user <u> 失败 ≥ 5 次后锁定。
• sshd -T 输出符合加固清单（permitrootlogin no / passwordauthentication no / pubkeyacceptedalgorithms.*ssh-ed25519 在列），sshpass 攻击失败率 100%。
• MFA：开 TOTP 后首次 SSH 走 publickey + keyboard-interactive，OTP 错误立即断连；sudo 仅 wheel + log_output 命中。

8. 推荐开源资料（按角色分工，避免堆链接）

许可证提示：CIS Benchmarks 注册免费账号下载；Google Authenticator Apache-2.0 可直接用；OpenSSH 是 BSD 风格（保留版权即可）；Linux-PAM 是 BSD/GPL 双许可。复制 CIS 控制点脚本到生产前先在 staging 跑一遍 —— 默认读思路后自己写。

默认使用顺序：man page → Arch Wiki / Red Hat Security Guide → CIS Linux Benchmark（注册下载）→ OpenSSH 官方 Manual → MFA 实现（Google Authenticator / YubiKey ssh-keygen -O webauthn）→ 复盘到 notes/retrospective.md。

9. 学习资料汇聚（v0.3 自包含）

本节由本计划生成。

9.1 背景与动机

Linux 服务器 90% 的初始攻击面都从”远程登录”开始：SSH 爆破、弱密码、root 直登、空密码账号、泄露的密钥。账号与 SSH 加固是回报率最高的一层：把 80% 的脚本小子挡在门外。

账号层的核心是最小化：root 不直登、密码够长够杂、失败会锁、sudo 受限、用户唯一 UID、可审计的登录历史。SSH 层的核心是拒绝弱认证：只接受密钥、限制来源、限制动作、可见法律告示。

9.2 概念地图

flowchart TB
  PAM[PAM 框架]
  PwQual[pam_pwquality]
  Faillock[pam_faillock]
  Unix[pam_unix]
  Limits[pam_limits]
  Nologin[pam_nologin]
  Sudo[sudoers / wheel]
  Passwd[/etc/passwd / shadow/]
  UserMgr[usermod / usermod / usermod]
  SSH[sshd]
  Key[authorized_keys / ssh-agent]
  Config[sshd_config]
  MFA[Google Authenticator / YubiKey]
  Banner[Banner / Match]

  PAM --> PwQual
  PAM --> Faillock
  PAM --> Unix
  PAM --> Limits
  PAM --> Nologin
  UserMgr --> Passwd
  Sudo --> PAM
  SSH --> Config
  SSH --> Key
  SSH --> MFA
  SSH --> Banner
  Banner --> Chroot[ChrootDirectory / ForceCommand]

关系：账号 → PAM → sshd → 密钥 / MFA。ChrootDirectory 和 ForceCommand 都在 sshd 层作用，把用户活动范围压缩到最小。

9.3 基础知识讲解

9.3.1 主推资料

9.3.2 备查

9.3.3 必查 man pages

• passwd(5) / shadow(5) / passwd(1)
• usermod(8) / usermod(8) / usermod(8) / chage(1)
• pam.d(5) / pam_pwquality(8) / pam_faillock(8) / pam_unix(8)
• sudoers(5) / visudo(8) / sudo(8)
• sshd(8) / sshd_config(5) / ssh(1) / ssh-keygen(1) / ssh-agent(1)
• faillock(8) / pwquality.conf(5)

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• OpenSSH：SSH 协议实现 + 客户端 + 工具。
• PAM：可插拔认证模块框架；服务通过它调用后端。
• sudo / sudoers：受限提权。
• pwquality / faillock：具体策略模块。
• CIS 1.x：账号 / 配置；CIS 5.x：SSH 配置。
• 这些标准不替代定期审计（lynis / oscap）。

9.6.3 Structure

• sshd_config 关键指令（见 §0/§3）。
• PAM 文件结构：/etc/pam.d/<service> 顺序敏感。
• sudoers 关键指令：User_Alias Runas_Alias Cmnd_Alias Host_Alias NOPASSWD PASSWD。
• /etc/shadow 字段：username:password:lastchg:min:max:warn:inactive:expire:reserved。

9.6.4 Ecosystem

• 配置管理：Ansible（含 ansible.builtin.lineinfile / community.general.sudoers）。
• 密钥管理：HashiCorp Vault、SSH Bastion（Teleport / Boundary / Tailscale SSH）。
• MFA：Google Authenticator、YubiKey、PrivacyIDEA、FreeIPA。
• 集中认证：LDAP、FreeIPA、Active Directory、SSSD。
• 集中日志：rsyslog / syslog-ng → SIEM。

9.6.5 Depth Tiers

本计划目标：L3。

9.6.6 Source

• OpenSSH：https://www.openssh.com/
• Linux-PAM：https://github.com/linux-pam/linux-pam
• sudo：https://www.sudo.ws/
• CIS Benchmarks：https://www.cisecurity.org/
• Arch Wiki：https://wiki.archlinux.org/
• 引用版本快照日期：2026-07-30。

10. 常见误区

• 只改 PermitRootLogin 不改 PasswordAuthentication；密码还在用；
• AllowUsers 没把自己算进去；改完 sshd 重启后失联；
• MaxAuthTries 3 后忘了配 LoginGraceTime，慢连接拖死；
• pam_faillock 装上不写到 pam.d/common-auth；
• faillock --reset 在攻击路径上：root 不可信时不能盲 reset；
• sudoers 不用 visudo；改坏直接失联；
• 把私钥 600 改为 644 让 web 进程读，私钥被多用户访问；
• 私钥免密 (passphrase 空) 仍放仓库，等于没设密钥；
• MFA 配完没备份 secret；手机丢了进不去；
• Banner 当成装饰，写 “Welcome to My Server”；CIS / 法律要求是”未经授权禁止访问”；
• 用 PermitUserEnvironment yes 给 CI 跑工具，给攻击者也开门；
• sshd 没重启只 reload，新配置没生效；
• chroot 目录权限 755 但属主非 root，sshd 拒绝；
• Match 块放错位置或与全局冲突；
• UsePAM no 后看似更”安全”，实际绕过 PAM 策略。

11. 所有知识点分类（统一规则）

1. 编程语言
2. 数据结构与算法
3. 计算机基础
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力
9. 安全与可靠性

本计划归属：安全与可靠性 主 + 工程技术 辅。