Аутентификация PAM для устаревшего приложения

Это то, что я в итоге сделал. См. комментарий, отмеченный тремя звездочками.

#include <stdlib.h>
#include <iostream>
#include <fstream>
#include <security/pam_appl.h>
#include <unistd.h>

// To build this:
// g++ test.cpp -lpam -o test

// if pam header files missing try:
// sudo apt install libpam0g-dev

struct pam_response *reply;

//function used to get user input
int function_conversation(int num_msg, const struct pam_message **msg, struct pam_response **resp, void *appdata_ptr)
{
  *resp = reply;
  return PAM_SUCCESS;
}

int main(int argc, char** argv)
{
  if(argc != 2) {
      fprintf(stderr, "Usage: check_user <username>\n");
      exit(1);
  }
  const char *username;
  username = argv[1];

  const struct pam_conv local_conversation = { function_conversation, NULL };
  pam_handle_t *local_auth_handle = NULL; // this gets set by pam_start

  int retval;

  // local_auth_handle gets set based on the service
  retval = pam_start("common-auth", username, &local_conversation, &local_auth_handle);

  if (retval != PAM_SUCCESS)
  {
    std::cout << "pam_start returned " << retval << std::endl;
    exit(retval);
  }

  reply = (struct pam_response *)malloc(sizeof(struct pam_response));

  // *** Get the password by any method, or maybe it was passed into this function.
  reply[0].resp = getpass("Password: ");
  reply[0].resp_retcode = 0;

  retval = pam_authenticate(local_auth_handle, 0);

  if (retval != PAM_SUCCESS)
  {
    if (retval == PAM_AUTH_ERR)
    {
      std::cout << "Authentication failure." << std::endl;
    }
    else
    {
      std::cout << "pam_authenticate returned " << retval << std::endl;
    }
    exit(retval);
  }

  std::cout << "Authenticated." << std::endl;

  retval = pam_end(local_auth_handle, retval);

  if (retval != PAM_SUCCESS)
  {
    std::cout << "pam_end returned " << retval << std::endl;
    exit(retval);
  }

  return retval;
}

Стандартная информация (например, пароль) передается для PAM с помощью переменных, установленных в дескрипторе pam с помощью pam_set_item (см. справочную страницу для pam_set_item).

Вы можете указать все, что вашему приложению понадобится позже, в файле pam_stack. Если вы хотите поместить пароль в pam_stack, вы сможете сделать это сразу после вызова pam_start(), установив переменную PAM_AUTHTOK в стек, подобно псевдокоду ниже:

pam_handle_t* handle = NULL;
pam_start("common-auth", username, NULL, &handle);
pam_set_item( handle, PAM_AUTHTOK, password);

Это сделает пароль доступным в стеке для любого модуля, который хочет его использовать, но обычно вы должны указать модулю использовать его, установив стандартные параметры use_first_pass или try_first_pass в pam_configuration для службы (в данном случае /etc /pam.d/common-auth).

Стандартный модуль pam_unix поддерживает try_first_pass, так что не мешало бы добавить его в конфигурацию pam в вашей системе (в конце строки для pam_unix).

После того, как вы сделаете это, любой вызов pam_authenticate(), который вызывается из службы общей аутентификации, должен просто выбрать пароль и использовать его.

Небольшое замечание о разнице между use_first_pass и try_first_pass: они оба сообщают модулю (в данном случае pam_unix) попробовать пароль в pam_stack, но их поведение отличается, когда пароль/AUTHTOK недоступен. В отсутствующем случае use_first_pass терпит неудачу, а try_first_pass позволяет модулю запрашивать пароль.

Решение Fantius сработало для меня даже с правами root.

Первоначально я выбрал решение Джона, так как оно было чище и использовало переменные PAM без функции диалога (на самом деле, здесь в этом нет необходимости), но оно не работало и не будет работать. Как упоминал Адам Бадура в обоих сообщениях, PAM имеет некоторые внутренние проверки, чтобы предотвратить прямую установку PAM_AUTHTOK.

Решение Джона приведет к поведению, аналогичному тому, что упомянуто здесь, где любое значение пароля будет разрешено для входа в систему (даже если вы объявлять, но не определять переменную pam_conv).

Я бы также порекомендовал пользователям знать о размещении malloc, так как оно, скорее всего, будет отличаться в вашем приложении (помните, приведенный выше код больше похож на тест/шаблон, чем на что-либо еще).

struct pam_conv {
    int (*conv)(int num_msg, const struct pam_message **msg,
                struct pam_response **resp, void *appdata_ptr);
    void *appdata_ptr;
};

Второе поле (appdata_ptr) структуры pam_conv передается функции диалога, поэтому мы можем использовать его в качестве указателя пароля.

     static int convCallback(int num_msg, const struct pam_message** msg,
                             struct pam_response** resp, void* appdata_ptr)
     {
            struct pam_response* aresp;
        
            if (num_msg <= 0 || num_msg > PAM_MAX_NUM_MSG)
                return (PAM_CONV_ERR);
            if ((aresp = (pam_response*)calloc(num_msg, sizeof * aresp)) == NULL)
                return (PAM_BUF_ERR);
            aresp[0].resp_retcode = 0;
            aresp[0].resp = strdup((char*)appdata_ptr);
                                                    
            *resp = aresp;
            
            return (PAM_SUCCESS);
    }

    int main()
    {
        ....
        pam_handle_t* pamH = 0;
        char *password = strdup("foopassword");
        struct pam_conv conversation = {convCallback, password};
        int retvalPam = pam_start("check_user", "foousername", &conversation, &pamH);
        
        //Call pam_authenticate(pamH, 0)
        //Call pam_end(pamH, 0);
        ...
        ...
        free(password);
    }