PAM MySQL में प्रमाणीकरण

Habré पर यह पहले ही लिखा गया था कि MySQL में संबंधित प्लगइन डाउनलोड करके अंतर्निहित प्रमाणीकरण प्रक्रिया को बदलने का अवसर था। इस प्लगइन में, आप mysql.user तालिका में MySQL में पारंपरिक उपयोगकर्ता नाम / पासवर्ड योजना से पूरी तरह से हटकर पूरी तरह से मनमानी उपयोगकर्ता प्रमाणीकरण नीति को लागू कर सकते हैं।

हाल ही में, ओरेकल ने एक पीएएम प्रमाणीकरण प्लगइन जारी किया। इसका उपयोग करते समय, सर्वर mysql.user में पासवर्ड की खोज नहीं करता है, लेकिन प्रमाणीकरण कार्य को PAM में स्थानांतरित करता है, एक सबसिस्टम जिसे विशेष रूप से विभिन्न अनुप्रयोगों और संदर्भों में प्रमाणीकरण समस्याओं को हल करने के लिए डिज़ाइन किया गया है, जिसमें लचीले कस्टम नियम और मक्खी पर प्लग-इन हैं।

दुर्भाग्य से, इस प्लगइन में कई कमियां हैं। सबसे पहले, यह केवल MySQL के वाणिज्यिक संस्करण के साथ वितरित किया जाता है और इसके स्रोत बंद हो जाते हैं। दूसरे, यह उपयोगकर्ता और पाम-मॉड्यूल के बीच संचार का समर्थन नहीं करता है, और पासवर्ड प्रमाणीकरण केवल एक ही संभव है। जो, जैसा भी था, पूरे विचार को मारता है।

"लेकिन क्यों ..." मैंने सोचा। "मैं अपना पीएएम-प्लगइन लिखूंगा, लाठी और वेश्याओं के साथ!"

मुझे MySQL स्रोतों के साथ काम करने की अधिक आदत है, इसलिए मैं 5.5 डाउनलोड करता हूं और इसे अनपैक करता हूं। हालांकि यह इस तरह के प्लगइन के लिए आवश्यक नहीं है, केवल mysql-devel पैकेज पर्याप्त है।

अब मैं खुद को सैंडबॉक्स तैयार कर रहा हूं:

  mysql-5.5.17 $ mkdir प्लगइन / pam_auth
 mysql-5.5.17 $ cd plugin / pam_auth 

सच जेडी के रूप में, हम स्क्रैच से कुछ भी नहीं लिख रहे हैं - इसलिए मैंने Cort_socket.c लिया और पहली बार में अनावश्यक चीजों को हटा दिया। यह कहीं इस तरह निकला:

#include <mysql/plugin_auth.h> static int pam_auth(MYSQL_PLUGIN_VIO *vio, MYSQL_SERVER_AUTH_INFO *info) { } static struct st_mysql_auth pam_auth_handler = { MYSQL_AUTHENTICATION_INTERFACE_VERSION, /* auth API version */ "dialog", /* client plugin name */ pam_auth /* main auth function */ }; mysql_declare_plugin(pam_auth) { MYSQL_AUTHENTICATION_PLUGIN, /* plugin type */ &pam_auth_handler, /* auth plugin handler */ "pam_auth", /* plugin name */ "Sergei Golubchik", /* author */ "PAM based authentication", /* description */ PLUGIN_LICENSE_GPL, /* license */ NULL, /* init function */ NULL, /* deinit function */ 0x0100, /* version 1.0 */ NULL, /* for SHOW STATUS */ NULL, /* for SHOW VARIABLES */ NULL, /* unused */ 0, /* flags */ } mysql_declare_plugin_end; 

सबसे नीचे प्लगइन डिस्क्रिप्टर है, इसमें सभी प्लगइन्स के लिए समान संरचना है। थोड़ा अधिक ऑथेंटिकेशन प्लगइन का डिस्क्रिप्टर है, और इससे भी ज्यादा खाली फंक्शन है, जिसमें से मैं pam कहूंगा।

चूंकि इस पैम-प्लगइन का मुख्य विचार उपयोगकर्ता के साथ एक संवाद का संचालन करना है, आपको किसी तरह क्लाइंट को सर्वर से प्रश्न प्राप्त करने और उपयोगकर्ता द्वारा दर्ज किए गए उत्तर भेजने की आवश्यकता है। इसके लिए, MySQL में क्लाइंट प्लगइन्स हैं - जो क्लाइंट में लोड किए गए हैं (अधिक सटीक रूप से, वे सर्वर के निर्देशों के अनुसार libmysqlclient द्वारा लोड किए गए हैं)। मुझे क्लाइंट प्लगइन से किसी भी एक्सोटिक्स की आवश्यकता नहीं है - बस सर्वर पूरी तरह से संतुष्ट होने तक प्रश्न / उत्तर को दोहराएं। इस तरह के एक प्लगइन पहले से मौजूद है - "डायलॉग" कहा जाता है और यह, काफी अजीब तरह से, डायलॉग फ़ाइल में स्थित है।

इस प्लगइन को st_mysql_auth संरचना के दूसरे क्षेत्र में निर्दिष्ट किया जाना चाहिए, फिर सर्वर क्लाइंट को बताएगा कि उसे डायलॉग को लोड करना होगा और उसे वह सब कुछ भेजना होगा जो मेरा प्लगइन भेजना चाहता है।

की जाँच करें। मैं CMakeLists.txt बनाता हूं (ईमानदार होने के लिए - मैं दूसरे प्लगइन से कॉपी करता हूं और इसे थोड़ा ठीक करता हूं), केवल एक लाइन है:

 MYSQL_ADD_PLUGIN(pam_auth pam_auth.c LINK_LIBRARIES pam) 

और संकलन करें

  mysql-5.5.17 $ सेमी।  && मेक 

यह काम करता है, अब यह समय है कि आदमी पीएएम धूम्रपान करे। MySQL में, प्रमाणीकरण को काफी सरल बनाया गया है। प्लगइन उपयोगकर्ता के नाम को प्रमाणित करता है और vio हैंडलर को प्राप्त करता है। Vio में write_packet और read_packet विधियाँ हैं जिनका उपयोग क्लाइंट के साथ संवाद करने के लिए किया जा सकता है (इस मामले में, डायलॉग प्लगइन के साथ)। पैम में, सब कुछ थोड़ा और अधिक जटिल है, आपको कॉलबैक फ़ंक्शन का उपयोग करने की आवश्यकता है, जिसमें से मैं write_packet और read_packet कहूंगा । सामान्य तौर पर, पाम के साथ काम करना इस तरह दिखता है:

1. आरंभीकरण - pam_start (यहां हम कहते हैं कि कॉलबैक के रूप में किस फ़ंक्शन को कॉल करना है)
2. प्रमाणीकरण - pam_authent सर्टिफिकेट (कहीं अंदर और हमारे कॉलबैक कहा जा सकता है)
3. pam_acct_mgmt खाता सत्यापन
4. एक नया उपयोगकर्ता नाम चेक करना (यदि pam ने इसे बदल दिया है) - pam_get_item (PAM_USER)
5. pam_end पूरा करना

किसी भी स्तर पर किसी भी त्रुटि के साथ, आपको तुरंत अंतिम चरण - pam_end पर आगे बढ़ना होगा। मुझे यहां ऐसा समारोह मिला:

 #include <string.h> #include <security/pam_modules.h> #include <security/pam_appl.h> static int conv(int n, const struct pam_message **msg, struct pam_response **resp, void *data) { } #define DO_PAM(X) \ do { \ status = (X); \ if (status != PAM_SUCCESS) \ goto ret; \ } while(0) static int pam_auth(MYSQL_PLUGIN_VIO *vio, MYSQL_SERVER_AUTH_INFO *info) { pam_handle_t *pamh = NULL; int status; const char *new_username; struct param param; struct pam_conv c = { &conv, ¶m }; /* get the service name, as specified in CREATE USER ... IDENTIFIED WITH pam_auth AS "service" */ const char *service = info->auth_string ? info->auth_string : "mysql"; param.ptr = param.buf + 1; param.vio = vio; DO_PAM(pam_start(service, info->user_name, &c, &pamh)); DO_PAM(pam_authenticate (pamh, 0)); DO_PAM(pam_acct_mgmt(pamh, 0)); DO_PAM(pam_get_item(pamh, PAM_USER, (const void**)&new_username)); if (new_username) strncpy(info->authenticated_as, new_username, sizeof(info->authenticated_as)); ret: pam_end(pamh, status); return status == PAM_SUCCESS ? CR_OK : CR_ERROR; } 

यह एक वार्तालाप फ़ंक्शन लिखने के लिए रहता है - वह फ़ंक्शन जिसे पैम कॉल करेगा जब वह कुछ पूछना चाहता है। पम इस समारोह में प्रश्नों की एक सूची भेजेगा, और यह इसे उत्तरों की एक सूची देगा। इसके अलावा, एक पॉइंटर इसे पास किया जाता है, जैसा कि हमेशा कॉलबैक के साथ होता है, अतिरिक्त मापदंडों और स्थिति को संग्रहीत करने के लिए। चूंकि एक सूचक है और कई पैरामीटर हैं, इसलिए मैं एक संरचना बनाता हूं:

 struct param { unsigned char buf[10240], *ptr; MYSQL_PLUGIN_VIO *vio; }; 

समस्या यह है कि "संवाद" प्लग-इन को केवल कमांड के रूप में समझता है "इस पाठ को संकेत के रूप में प्रदर्शित करें, उपयोगकर्ता द्वारा दर्ज की गई लाइन पढ़ें, और इसे सर्वर पर भेजें"। लेकिन पैम के पास चार प्रकार के संदेश हैं, जिनमें से दो विशुद्ध रूप से सूचनात्मक हैं और "आउटपुट इसे, कुछ भी दर्ज न करें" के शब्दार्थ हैं। इसलिए, मेरे प्लगइन में, मैं उन्हें बफर में जमा करता हूं, जब तक मुझे कुछ दर्ज करने की आवश्यकता नहीं होती है। यह इस तरह से निकला:

 static int conv(int n, const struct pam_message **msg, struct pam_response **resp, void *data) { struct param *param = (struct param *)data; unsigned char *end = param->buf + sizeof(param->buf) - 1; int i; for (i= 0; i < n; i++) { /* if there's a message - append it to the buffer */ if (msg[i]->msg) { int len = strlen(msg[i]->msg); if (len > end - param->ptr) len = end - param->ptr; memcpy(param->ptr, msg[i]->msg, len); param->ptr+= len; *(param->ptr)++ = '\n'; } /* if the message style is *_PROMPT_*, meaning PAM asks a question, send the accumulated text to the client, read the reply */ if (msg[i]->msg_style == PAM_PROMPT_ECHO_OFF || msg[i]->msg_style == PAM_PROMPT_ECHO_ON) { int pkt_len; unsigned char *pkt; /* allocate the response array. freeing it is the responsibility of the caller */ if (*resp == 0) { *resp = calloc(sizeof(struct pam_response), n); if (*resp == 0) return PAM_BUF_ERR; } /* dialog plugin interprets the first byte of the packet as the magic number. 2 means "read the input with the echo enabled" 4 means "password-like input, echo disabled" C'est la vie. */ param->buf[0] = msg[i]->msg_style == PAM_PROMPT_ECHO_ON ? 2 : 4; if (param->vio->write_packet(param->vio, param->buf, param->ptr - param->buf - 1)) return PAM_CONV_ERR; pkt_len = param->vio->read_packet(param->vio, &pkt); if (pkt_len < 0) return PAM_CONV_ERR; /* allocate and copy the reply to the response array */ (*resp)[i].resp= strndup((char*)pkt, pkt_len); param->ptr = param->buf + 1; } } return PAM_SUCCESS; } 

वह, वास्तव में, सब है। मैं इकट्ठा करता हूं, स्थापित करता हूं - और यह काम नहीं करता है। यह पता चला है कि बग 60745 के कारण , क्लाइंट "संवाद" प्लगइन डाउनलोड नहीं कर सकते हैं। खैर, समाधान स्पष्ट है

  mv dif.so डायलॉग .so 

और आप उदाहरण के लिए, MySQL में S / Key का उपयोग करके प्रमाणित कर सकते हैं:

  $ mysql
 चुनौती otp-md5 99 th91334
 पासवर्ड:
 (गूंज चालू)
 pasword: OMEN US HORN OMIT BACK AHOY
 mysql>