CentOS 7: habilitando hashes blowfish para autenticação de senha

Question

Em nossa organização, estamos distribuindo valores de senha pré-hash para várias contas locais. Atualmente, as senhas dessas contas são criptografadas usando Blowfish ( $2a$[...] ) ou Blowfish-8-bit ( $2y$[...] ). Outras distros que estamos usando são capazes de lidar com isso, mas o RedHat / CentOS parece deliberadamente não ter suporte para o Blowfish na glibc como é.

Existe alguma maneira de fazer com que os sistemas CentOS / RedHat lidem com hashes de Blowfish sem quebrar profundamente sua capacidade de manutenção através dos canais de atualização padrão?

Estou implantando o CentOS 7.2 com uma configuração simplista do kickstart e uma seleção mínima de pacotes:

%packages --nobase --ignoremissing
@core
kexec-tools

%end

    

Answer 1

Depois que Ulrich Schwarz mencionou um módulo PAM personalizado nos comentários para a pergunta, percebi que poderia ir e ver o que o SLES, que faz do Blowfish o padrão, está usando.

Acontece que é um módulo separado chamado pam_unix2.so que não está em conflito com nada no sistema CentOS. Como prova de conceito, copiei /lib64/security/pam_unix2.so de um sistema SLES 11 SP4 para /usr/lib64/security/pam_unix2.so no host CentOS e baixei e instalei sua dependência libxcrypt que novamente é um pacote SuSE, mas funciona no CentOS 7 para este propósito limitado.

Adicionando

auth        sufficient    pam_unix2.so

para /etc/pam.d/system-auth me permite autenticar contra uma senha criptografada pelo Blowfish no console.

Para garantir que authconfig não irá quebrar a configuração na próxima chamada, o link simbólico /etc/pam.d/system-auth que aponta para /etc/pam.d/system-auth-ac deve ser substituído por uma cópia de /etc/pam.d/system-auth-ac .

Linha de fundo: O módulo pam_unix2 do SuSE parece ser o método menos invasivo para receber os hashes do Blowfish, embora isso também signifique que eu precisaria monitorar anúncios de segurança para pam_unix2 e libxcrypt separadamente.