Using Faillock to Manage Authentication Failure on Archlinux

About faillock#

faillock adalah sebuah aplikasi yang dapat digunakan untuk menampilkan dan mengubah konten “tally files”. faillock dapat menampilkan percobaan otentikasi yang gagal dari sebuah user maupun menghapus “tally files” dari sebuah atau semua akun.¹ faillock juga merupakan sebuah package bawaan dari sebuah module bernama PAM (Pluggable Authentication Module), khususnya pam_faillock.so. Modul tersebut digunakan untuk mencatat (record) percobaan otentikasi akun yang gagal dan kemudian mengunci akun tersebut selama durasi tertentu.

Tally Directory & Files

Tally Directory adalah direktori atau folder yang digunakan oleh module pam_faillock.so untuk menyimpan kegagalan otentikasi sebuah akun dan menguncinya di sebuah “tally files”. By default, lokasi direktori ini berada di: /var/run/faillock/.

Tally Files adalah file di “tally directory” yang digunakan oleh module yang sama (pam_faillock.so) untuk mencatat kegagalan otentikasi sebuah akun dan menguncinya. By default, lokasi file-nya ada di dalam “tally directory” dan biasanya memiliki nama file sesuai nama user: /var/run/faillock/wildan.

Singkatnya, ketika kita salah memasukkan password user sebanyak 3x, by default, akun kita akan terkunci selama 10 menit (600 detik). Artinya, pada percobaan ke-empat, selama masih berada di rentang 10 menit tersebut, kita tidak bisa login meskipun password yang kita input-kan benar. Jadi, kita harus benar-benar menunggu 10 menit agar kita dapat login kembali dengan akun tersebut.

Nah, faillock hadir untuk mengatasi hal ini sehingga kita dapat me-reset “countdown” tersebut sehingga tidak perlu menunggu 10 menit. Bahkan, untuk kemudahan kita di masa depan, kita juga dapat mengatur bagaimana module pam_faillock.so merespon kesalahan otentikasi akun kita, misalnya:

• berapa percobaan otentikasi yang ditoleransi sebelum akun dikunci (default-nya kan 3x).
• berapa lama waktu tunggu setelah akun terkunci (countdown) sebelum dapat meng-input-kan password kembali (default-nya 10 menit/600 detik).

Itu semua dapat dilakukan menggunakan faillock, dengan satu syarat:
“Kita punya akses ke akun root.”

Installation#

By default, faillock sudah ter-install di Archlinux melalui module pambase-nya. Jadi, kita tidak perlu meng-install-nya lagi.

Usage#

Jika akun user kita terkunci karena salah meng-input-kan password sebanyak 3x, dan kita tidak mau menunggu 10 menit sebelum dapat login kembali ke akun tersebut, maka berikut adalah langkah-langkah penyelesaiannya dengan faillock:

1. Login ke akun root

1
su -
2

3
# atau
4
su root

2. Lihat akun yang akan di-”recovery”

1
faillock --user wildan
2

3
# atau dengan perintah `faillock` saja juga cukup
4
faillock

3. Reset

1
faillock --user wildan --reset
2

3
# atau tanpa "--user wildan" jika hanya ada satu akun (satu tally file)
4
faillock --reset

Berikut adalah demonstrasinya:

Berikut adalah penjelasan tangkapan layar di atas:

• Mula-mula, saya memperlihatkan file tally user saya (wildan), masih belum ada isinya.
• Kemudian, saya mencoba sengaja meng-input-kan password sudo yang salah.
• Sekarang, file tally-nya sudah ada isinya.
• Isi file itulah yang juga akan ditampilkan ketika kita mengetikkan perintah faillock.
• Saya me-reset catatan (log) gagal otentikasi sudo tadi.
• File tally kembali jadi kosong.

1
# Configuration for locking the user after multiple failed
2
# authentication attempts.
3
#
4
# The directory where the user files with the failure records are kept.
5
# The default is /var/run/faillock.
6
# dir = /var/run/faillock
7
#
8
# Will log the user name into the system log if the user is not found.
9
# Enabled if option is present.
10
# audit
11
#
12
# Don't print informative messages.
13
# Enabled if option is present.
14
# silent
15
#
16
# Don't log informative messages via syslog.
17
# Enabled if option is present.
18
# no_log_info
19
#
20
# Only track failed user authentications attempts for local users
21
# in /etc/passwd and ignore centralized (AD, IdM, LDAP, etc.) users.
22
# The `faillock` command will also no longer track user failed
23
# authentication attempts. Enabling this option will prevent a
24
# double-lockout scenario where a user is locked out locally and
25
# in the centralized mechanism.
26
# Enabled if option is present.
27
# local_users_only
28
#
29
# Deny access if the number of consecutive authentication failures
30
# for this user during the recent interval exceeds n tries.
31
# The default is 3.
32
# deny = 3
33
#
34
# The length of the interval during which the consecutive
35
# authentication failures must happen for the user account
36
# lock out is n seconds.
37
# The default is 900 (15 minutes).
38
# fail_interval = 900
39
#
40
# The access will be re-enabled after n seconds after the lock out.
41
# The value 0 has the same meaning as value `never` - the access
42
# will not be re-enabled without resetting the faillock
43
# entries by the `faillock` command.
44
# The default is 600 (10 minutes).
45
# unlock_time = 600
46
#
47
# Root account can become locked as well as regular accounts.
48
# Enabled if option is present.
49
# even_deny_root
50
#
51
# This option implies the `even_deny_root` option.
52
# Allow access after n seconds to root account after the
53
# account is locked. In case the option is not specified
54
# the value is the same as of the `unlock_time` option.
55
# root_unlock_time = 900
56
#
57
# If a group name is specified with this option, members
58
# of the group will be handled by this module the same as
59
# the root account (the options `even_deny_root` and
60
# `root_unlock_time` will apply to them).
61
# By default, the option is not set.
62
# admin_group = <admin_group_name>

1
# Mengatur batas jumlah toleransi salah input password ke 5
2
deny = 3
3

4
# Mengatur countdown ke 1 menit (60 detik)
5
unlock_time = 60