终极防护：在Arch Linux上构建基于pam-duress的胁迫密码应急响应系统

终极防护：在Arch Linux上构建基于pam-duress的胁迫密码应急响应系统

【免费下载链接】pam-duress A Pluggable Authentication Module (PAM) which allows the establishment of alternate passwords that can be used to perform actions to clear sensitive data, notify IT/Security staff, close off sensitive network connections, etc if a user is coerced into giving a threat actor a password. 项目地址: https://gitcode.com/gh_mirrors/pa/pam-duress

为什么胁迫密码是现代安全防御的最后一道防线？

当恶意攻击者胁迫您泄露系统密码时，您是否希望有一种方法既能表面上配合攻击者，又能在暗中触发安全响应？pam-duress（Pluggable Authentication Module，可插拔认证模块）正是为解决这一痛点而生。它允许用户配置"胁迫密码"——当在认证过程中使用此特殊密码时，系统会在授予访问权限的同时，自动执行预设的应急响应脚本，如清除敏感数据、发送警报通知或断开网络连接。

本文将引导您在Arch Linux系统上完整部署pam-duress，构建一套专业的胁迫密码防护体系。完成后，您将获得：

• 双密码认证系统：正常密码用于日常登录，胁迫密码触发应急响应
• 自定义应急响应流程：支持执行任意脚本（数据清除、警报发送等）
• 全系统级防护：通过PAM框架集成，支持SSH、本地登录等所有认证场景
• 隐秘性操作：攻击者无法察觉胁迫密码与正常密码的差异

技术原理：pam-duress的工作流程

pam-duress通过拦截PAM认证流程实现其功能，核心工作原理如下：

图1：pam-duress认证流程时序图

关键技术点：

• 密码优先级：常规密码验证优先于胁迫密码验证
• 执行透明度：无论使用正常密码还是胁迫密码，用户都会获得正常登录反馈
• 脚本隔离：系统级脚本与用户级脚本分开执行，确保权限控制
• 完整性校验：所有应急脚本通过SHA-256哈希进行签名验证，防止篡改

环境准备与依赖安装

系统要求

• Arch Linux系统（已测试内核版本5.15+）
• 具有sudo权限的用户账户
• 网络连接（用于安装依赖包）
• 开发工具链（用于编译源代码）

安装核心依赖

pam-duress依赖于OpenSSL库进行密码哈希和签名验证，以及PAM开发文件进行模块开发。执行以下命令安装所有必要依赖：

# 更新系统包索引
sudo pacman -Syu

# 安装基础开发工具和依赖库
sudo pacman --needed -S base-devel openssl

上述命令安装的关键组件：

• base-devel：包含gcc编译器、make等开发工具
• openssl：提供密码哈希和签名验证功能的加密库

源码编译与安装

获取源代码

从官方仓库克隆pam-duress源代码：

# 克隆项目仓库
git clone https://gitcode.com/gh_mirrors/pa/pam-duress
cd pam-duress

编译与安装

pam-duress使用Makefile进行构建，执行以下命令完成编译和系统安装：

# 编译源代码
make

# 安装模块到系统目录
sudo make install

# 清理编译临时文件
make clean

安装完成后，系统将添加以下关键文件：

• /lib/security/pam_duress.so：PAM模块二进制文件
• /usr/bin/duress_sign：脚本签名工具
• 示例配置文件和文档

PAM配置：集成到系统认证流程

理解Arch Linux的PAM配置

Arch Linux使用/etc/pam.d/system-auth作为系统级认证配置的核心文件，大多数服务（如login、sshd、sudo等）都会间接引用此文件。因此，修改此文件将实现全系统级别的胁迫密码防护。

修改PAM配置

使用文本编辑器打开PAM配置文件：

sudo nano /etc/pam.d/system-auth

找到以下认证配置段：

...
-auth      [success=3 default=ignore]  pam_systemd_home.so
auth       [success=1 default=bad]     pam_unix.so          try_first_pass nullok
auth       [default=die]               pam_faillock.so      authfail
auth       optional                    pam_permit.so
auth       required                    pam_env.so
auth       required                    pam_faillock.so      authsucc
...

修改为：

...
-auth      [success=3 default=ignore]  pam_systemd_home.so
auth       [success=2 default=ignore]  pam_unix.so          try_first_pass nullok
auth       [success=1 default=bad]     pam_duress.so
auth       [default=die]               pam_faillock.so      authfail
auth       optional                    pam_permit.so
auth       required                    pam_env.so
auth       required                    pam_faillock.so      authsucc
...

关键参数说明：

• success=2：当pam_unix验证成功时，跳过后续2个模块（直接完成认证）
• default=ignore：当pam_unix验证失败时，忽略结果并继续执行后续模块
• pam_duress.so：添加胁迫密码验证模块

配置原理图解

修改前后的PAM认证流程对比：

图2：PAM配置修改前后对比

应急脚本开发与签名

脚本目录结构

pam-duress支持系统级和用户级两种脚本目录：

• 系统级脚本：/etc/duress.d/，对所有用户生效，以root权限执行
• 用户级脚本：~/.duress/，仅对特定用户生效，以用户权限执行

创建并设置目录权限：

# 创建系统级脚本目录
sudo mkdir -p /etc/duress.d
sudo chmod 700 /etc/duress.d

# 创建用户级脚本目录
mkdir -p ~/.duress
chmod 700 ~/.duress

示例1：创建数据清除脚本

创建一个简单的敏感数据清除脚本：

nano ~/.duress/wipe_secrets.sh

添加以下内容：

#!/bin/sh
# 清除用户敏感数据的胁迫脚本

# 定义敏感文件/目录列表
SENSITIVE_DATA=(
    "$HOME/.ssh/id_rsa"
    "$HOME/.gnupg"
    "$HOME/Documents/secret_docs"
    "$HOME/.bash_history"
)

# 清除操作
for item in "${SENSITIVE_DATA[@]}"; do
    if [ -e "$item" ]; then
        # 使用shred安全删除文件(仅对常规文件有效)
        if [ -f "$item" ]; then
            shred -u -z -v "$item"
        # 递归删除目录
        elif [ -d "$item" ]; then
            rm -rf "$item"
        fi
    fi
done

# 清除内存中的bash历史
history -c && history -w

# 可选：向预定义邮箱发送警报
echo "胁迫密码已触发，敏感数据已清除" | mail -s "安全警报: 胁迫访问" security@example.com

设置脚本权限（必须为500、540或550）：

chmod 500 ~/.duress/wipe_secrets.sh

示例2：创建Pushover警报脚本

以下是一个使用Pushover服务发送胁迫警报的脚本示例，适用于系统级部署：

sudo nano /etc/duress.d/pushover_alert.sh

添加以下内容：

#!/bin/sh
# 向安全团队发送胁迫警报的系统级脚本

# 加载Pushover凭证(单独存储以提高安全性)
. /root/.pushover_creds

# 获取系统信息
HOSTNAME=$(hostname)
LOCAL_IP=$(hostname -I | awk '{print $1}')
EXTERNAL_IP=$(curl -s https://ipinfo.io/ip)
TIMESTAMP=$(date "+%Y-%m-%d %H:%M:%S")

# 构建警报消息
MESSAGE="⚠️ 胁迫密码已触发
用户: $PAMUSER
主机: $HOSTNAME
时间: $TIMESTAMP
本地IP: $LOCAL_IP
外部IP: $EXTERNAL_IP"

# 发送Pushover通知
curl -s \
  --form-string "token=$APP_TOKEN" \
  --form-string "user=$USER_KEY" \
  --form-string "message=$MESSAGE" \
  --form-string "priority=2" \
  --form-string "expire=3600" \
  --form-string "retry=900" \
  https://api.pushover.net/1/messages.json >/dev/null 2>&1

# 清除敏感变量
unset APP_TOKEN USER_KEY

创建凭证文件：

sudo nano /root/.pushover_creds

添加您的Pushover凭证：

APP_TOKEN="your_pushover_app_token"
USER_KEY="your_user_key"

设置权限：

sudo chmod 500 /etc/duress.d/pushover_alert.sh
sudo chmod 400 /root/.pushover_creds

脚本签名与验证

使用duress_sign工具为脚本签名，设置胁迫密码：

# 为用户级脚本签名
duress_sign ~/.duress/wipe_secrets.sh

# 为系统级脚本签名(需要root权限)
sudo duress_sign /etc/duress.d/pushover_alert.sh

执行后将提示输入并确认胁迫密码，成功后会生成.sha256文件：

# 用户级脚本签名文件
ls -l ~/.duress/wipe_secrets.sh.sha256

# 系统级脚本签名文件
sudo ls -l /etc/duress.d/pushover_alert.sh.sha256

签名文件包含密码哈希与脚本完整性校验信息，格式如下：

6B8B621EFB8050B83AAC734D56BF9165DC55D709CBAD530C6241E8A352587B3F

测试与验证

测试方法对比

pam-duress提供多种测试方法，在Arch Linux系统上推荐使用以下两种：

测试方法	适用场景	优点	缺点
ssh localhost	远程登录测试	模拟真实攻击场景	需要SSH服务运行
su - $USER	本地切换用户	简单快捷	可能受PAM配置影响较小
pam_test	专用测试工具	直接测试PAM模块	在Arch上可能不工作

注意：Arch Linux系统中，pam_test工具可能无法正常工作，推荐使用SSH测试方法。

完整测试流程

1. 测试正常密码登录：

# 打开新终端或SSH会话
ssh $USER@localhost

# 输入正常密码登录后，检查敏感文件是否存在
ls -l ~/.ssh/id_rsa
# 确认应急脚本未执行(文件应存在)

2. 测试胁迫密码登录：

# 打开新终端或SSH会话
ssh $USER@localhost

# 输入胁迫密码登录后，检查敏感文件是否被清除
ls -l ~/.ssh/id_rsa
# 确认应急脚本已执行(文件应被删除)

# 检查Pushover应用(如使用警报脚本)
# 应收到包含系统信息的警报通知

3. 测试错误密码：

# 打开新终端或SSH会话
ssh $USER@localhost

# 输入错误密码
# 应收到登录拒绝提示，无任何脚本执行

高级配置与最佳实践

多脚本执行顺序

pam-duress支持同时执行多个脚本，执行顺序如下：

优先级规则：

1. 系统级脚本先于用户级脚本执行
2. 同一目录下的脚本按文件名字母顺序执行
3. 所有脚本共享相同的环境变量(PAMUSER等)

安全性强化建议

1. 脚本保护措施：

   • 设置严格权限：chmod 500和chown root:root(系统脚本)
   • 使用不可变属性：chattr +i /etc/duress.d/*.sh
   • 定期审计：find /etc/duress.d ~/.duress -type f -exec sha256sum {} \;

2. 密码管理策略：

   • 使用高强度胁迫密码(至少12位，包含大小写字母、数字和特殊字符)
   • 定期更换胁迫密码(建议每90天)
   • 不同用户使用不同胁迫密码
   • 避免与正常密码有任何关联

3. 隐秘性增强：

   • 脚本执行延迟：添加sleep 2模拟正常登录延迟
   • 输出重定向：所有脚本输出重定向到/dev/null
   • 避免网络活动异常：使用随机时间间隔执行网络操作

故障排除指南

当pam-duress无法正常工作时，可按以下步骤排查：

1. 检查系统日志：

journalctl -u sshd | grep pam_duress
# 或
grep pam_duress /var/log/auth.log

2. 验证PAM配置：

pam-auth-update --force
# 确认pam_duress模块已启用

3. 检查脚本权限和签名：

# 验证权限
find /etc/duress.d ~/.duress -type f -ls | grep -v "500"

# 验证签名文件存在
find /etc/duress.d ~/.duress -name "*.sha256"

4. 常见问题解决：

问题症状	可能原因	解决方案
胁迫密码登录后脚本未执行	PAM配置顺序错误	调整system-auth中模块顺序
所有密码都被当作胁迫密码	pam_unix模块配置错误	检查success=N参数值
签名脚本后无法登录	密码哈希不匹配	重新签名脚本，确保密码正确

总结与扩展

通过本文档，您已在Arch Linux系统上成功部署了pam-duress胁迫密码防护系统。该系统提供：

• 全系统级别的胁迫密码检测
• 灵活的应急响应脚本支持
• 高隐秘性的操作模式
• 抵抗胁迫攻击的最后一道防线

潜在扩展方向

1. 高级警报系统：

   • 集成SIEM系统(如ELK Stack)
   • 添加地理位置信息(通过IP定位)
   • 支持多种通知渠道(邮件、短信、Slack等)

2. 自动化响应增强：

   • 网络隔离：自动断开特定网络连接
   • 进程终止：结束敏感应用程序
   • 证据收集：在清除数据前捕获攻击者信息

3. 管理工具开发：

   • 图形化配置界面
   • 集中化脚本管理
   • 胁迫密码轮换提醒

pam-duress为您的系统添加了一层关键的安全防护，特别适合以下场景：

• 处理敏感数据的工作站
• 远程办公人员的设备
• 高风险职位人员的系统
• 需要符合特定安全标准的环境

记住：安全是一个持续过程，定期更新和测试您的pam-duress配置，确保在真正需要时能够可靠工作。

参考资料

• pam-duress官方文档：项目内置README.md
• Arch Linux PAM配置指南：https://wiki.archlinux.org/title/PAM
• OpenSSL密码哈希函数：https://www.openssl.org/docs/manmaster/man3/
• PAM模块开发指南：https://www.linux-pam.org/Linux-PAM-html/

【免费下载链接】pam-duress A Pluggable Authentication Module (PAM) which allows the establishment of alternate passwords that can be used to perform actions to clear sensitive data, notify IT/Security staff, close off sensitive network connections, etc if a user is coerced into giving a threat actor a password. 项目地址: https://gitcode.com/gh_mirrors/pa/pam-duress