关于使用pam_succeed_if实现自动登录的安全风险与特定配置问题问询

先明确下你这个配置的实际效果：它确实能让所有用户通过/dev/ttyS0（比如virsh console连接的虚拟机串口）实现无密码登录，而非你预期的只针对root——这点本身就藏着不少安全隐患。咱们来拆解下具体的风险、弊端和可能的提权场景：

• 权限范围失控：你本来可能只想给root开串口无密码登录，但这个规则对系统内所有用户生效——包括普通用户、甚至像mysql、nginx这类服务专用账号。任何人只要能接入这个串口，就能直接登录任意账号，等于绕开了所有用户的密码验证机制。

• 物理/虚拟访问的安全漏洞：

  • 如果是物理服务器，/dev/ttyS0对应物理串口，要是有人能接触到服务器的串口接口，就能直接登录系统，完全不需要密码，物理安全风险陡增。
  • 就算是虚拟机，要是宿主机存在配置漏洞或者被攻击者控制，对方可以直接通过virsh console连接到你的虚拟机，无需验证就能获取系统权限，相当于给虚拟机开了个无锁的后门。

• 明确的特权升级路径：

  • 假设攻击者已经拿到了虚拟机内的一个低权限用户账号，只要他们能通过某种方式（比如利用设备权限漏洞、进程溢出等）切换到/dev/ttyS0设备，就能直接登录root账号，一步完成提权。
  • 要是宿主机被攻破，攻击者无需破解虚拟机内任何账号的密码，就能通过控制台直接接管整个虚拟机，这对多租户环境或者共享宿主机的场景来说风险极高。

• 配置维护的隐性问题：后续系统升级、PAM配置文件被覆盖，或者你调整了@include common-auth的位置，都可能导致这个规则失效（比如串口登录突然需要密码），或者意外作用到其他登录场景（比如远程SSH登录也被无密码允许），引发非预期的故障或安全问题。

如果要兼顾需求和安全，你可以把规则修改为仅允许root通过该串口无密码登录，缩小权限范围：

auth sufficient pam_succeed_if.so user = root tty = /dev/ttyS0

备注：内容来源于stack exchange，提问作者Helmut Grohne