PAM - flag di controllo richiesto e sufficiente

Sto studiando PAM e sono un po 'all'oscuro del significato di una combinazione di flag di controllo. Dalla documentazione di Red Hat abbiamo:

• l'
  errore richiesto di tale PAM alla fine porterà all'errore di restituzione dell'API PAM ma solo dopo che i moduli stacked rimanenti (per questo servizio e tipo) sono stati richiamati

• requisito
  come richiesto, tuttavia, nel caso in cui un tale modulo restituisca un errore, il controllo viene restituito direttamente all'applicazione.

• il
  successo sufficiente di un tale modulo è sufficiente per soddisfare i requisiti di autenticazione della pila di moduli (se un modulo richiesto in precedenza ha fallito, il successo di questo modulo viene ignorato). Un errore di questo modulo non è considerato fatale nel soddisfare l'applicazione che questo tipo ha avuto successo. Se il modulo ha esito positivo, il framework PAM restituisce immediatamente il successo all'applicazione senza provare altri moduli.

Quindi, a mio avviso, se un modulo requisitefallisce, l'intero stack di moduli non verrà analizzato e il controllo tornerà immediatamente all'applicazione. Se un modulo ha sufficientesito positivo, il resto dello stack dei moduli non verrà analizzato e il controllo tornerà immediatamente all'applicazione. Se un modulo requiredfallisce, verrà analizzato l'intero stack.

Ora, non riesco a capire quale sarà il comportamento quando un determinato modulo requiredfallisce e un altro modulo ha sufficientsuccesso.

PAM procede attraverso gli oggetti in pila in sequenza. Mantiene solo la memoria dello stato in cui si trova (successo o negazione, con successo che significa successo finora), non di come ha raggiunto quello stato.

Se un elemento contrassegnato ha sufficientesito positivo, la libreria PAM interrompe l'elaborazione di quello stack. Ciò accade indipendentemente dal fatto che esistessero requiredarticoli precedenti . A questo punto, PAM restituisce lo stato corrente: esito positivo se nessun requiredelemento precedente ha avuto esito negativo, altrimenti negato.

Allo stesso modo, se un elemento contrassegnato requisitenon riesce, la libreria PAM interrompe l'elaborazione e restituisce un errore. A quel punto, è irrilevante se un requiredelemento precedente non è riuscito.

In altre parole, requirednon causa necessariamente l'elaborazione dell'intero stack. Significa solo andare avanti.

Secondo me, un requiredflag di controllo deve sempre avere successo affinché un modulo abbia successo.

Un sufficientmodulo contrassegnato viene ignorato se fallisce. Se ha esito positivo e nessun requiredmodulo contrassegnato sopra ha avuto esito negativo, non è necessario controllare altri moduli dello stesso tipo e il modulo viene considerato riuscito. Quindi, fondamentalmente, la requiredbandiera ha una priorità maggiore rispetto alla sufficientbandiera, ma quest'ultima ha la capacità di smettere di controllarne il resto se le precedenti requiredhanno avuto successo.

Esempio:

1 auth       required     /lib/security/pam_nologin.so
2 auth       required     /lib/security/pam_securetty.so
3 auth       required     /lib/security/pam_env.so
4 auth       sufficient   /lib/security/pam_rhosts_auth.so
5 auth       required     /lib/security/pam_stack.so service=system-auth

Se le linee 1, 2, 3 e 4 hanno esito positivo, la linea 5 può essere saltata e il modulo ha authesito positivo. Se la riga 4 non ha esito positivo, viene ignorata e la riga 5 viene controllata. Se una delle linee 1, 2, 3 non è riuscita, la linea 4 non viene presa in considerazione.