Autenticação em cascata do PAM

Question

Estou tentando configurar um esquema de autenticação para o Ubuntu usando os arquivos pam.

No entanto, não consigo descobrir como ter dois métodos separados de autenticação.

Configurei uma autenticação do Yubikey, no entanto, não importa o que, o console solicita senha e yubikey OTP.

Ambos têm que estar corretos, no entanto, o que eu quero é um prompt para o Yubikey, se for bem sucedido, faça o login.

Se a autenticação do Yubikey falhar, solicite uma senha.

Mas, não importa o que, recebo uma solicitação para o OTP e a senha do yubikey.

obrigatório, palavras-chave suficientes não parecem fazer diferença.

Estou com problemas para descobrir como empilhar configurações de autenticação como essa.

Para resumir:

Eu quero autenticar pelo método A.

Se A falhar, tente autenticar por B.

    

Answer 1

O primeiro método de autenticação precisa ser suficiente e o segundo requerido.

O Ubuntu usa o outro estilo de configuração. Tome /etc/pam.d/common-auth e altere-o assim:

auth    [success=2 default=ignore]      pam_yubikey.so
auth    [success=1 default=ignore]      pam_unix.so nullok_secure
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so
auth    optional                        pam_cap.so 

Assim, se o pam_yubikey for bem sucedido, ele irá pular as próximas duas linhas e você deverá obter o padrão que deseja.

Atenciosamente Cornelius