/etc/securetty 中条目的影响

Question 1

/etc/securetty由模块咨询pam_securetty来决定允许从哪些虚拟终端 ( tty*)root登录。

过去，/etc/securetty由程序直接咨询login，但现在由 PAM 处理。因此，对的更改/etc/securetty将影响使用 PAM 以及使用pam_securetty.so.因此，login默认情况下只有程序受到影响。

/etc/pam.d/login用于本地登录，/etc/pam.d/remote用于远程登录（如telnet）。

主要条目类型及其影响如下：

如果/etc/securetty不存在，root则允许从任何登录tty
如果/etc/securetty存在且为空，root则访问将被限制为单用户模式或不受pam_securetty（即su、sudo、ssh、scp、sftp）限制的程序
如果您正在使用devfs（用于处理的已弃用的文件系统/dev），添加表单条目vc/[0-9]*将允许从给定的虚拟控制台号码进行 root 登录。
如果您正在使用udev（用于动态设备管理和替换devfs），添加表单条目tty[0-9]*将允许 root 从给定的虚拟控制台号码登录。
列出console通常/etc/securetty没有任何效果，因为/dev/console指向当前控制台，并且通常仅在单用户模式下用作tty文件名，不受/etc/securetty
添加类似的条目pts/[0-9]*将允许使用伪终端 ( pty) 的程序并pam_securetty登录，root假设分配的终端pty是列出的终端之一；这通常是个好主意不是包含这些条目，因为它存在安全风险；例如，它将允许某人通过 telnet 登录到 root，这会以明文形式发送密码（请注意，这pts/[0-9]*是 RHEL 5.5 中使用的格式；如果使用或其他形式的设备管理，udev则会有所不同）。devfs

对于单用户模式，/etc/securetty不参考，因为sulogin使用的是而不是login（sulogin有关更多信息，请参阅手册页）。您还可以更改/etc/inittab每个运行级别使用的登录程序。

请注意，您不应使用/etc/securetty来控制root登录ssh。为此，请更改PermitRootLoginin的值/etc/ssh/sshd_config。默认情况下/etc/pam.d/sshd未配置为咨询pam_securetty（因此/etc/securetty）。您可以添加一行来执行此操作，但直到阶段结束后的某个时间才ssh设置实际值，因此它无法按预期工作。在和阶段 - 至少对于- ( ) 被硬编码为。ttyauthauthaccountopensshttyPAM_TTYssh

以上答案基于RHEL 5.5。其中大部分内容与其他 *nix 系统的当前发行版有关，但也存在差异，我注意到了其中一些，但不是全部。

我自己回答了这个问题，因为其他答案不完整和/或不准确。许多其他在线论坛、博客等在这个主题上也有不准确和不完整的信息，所以我做了广泛的研究和测试，试图获得正确的细节。如果我说的有什么不对的地方，请告诉我。

资料来源：

Answer

/etc/securetty由模块咨询pam_securetty来决定允许从哪些虚拟终端 ( tty*)root登录。