<html>
<head>
<style><!--
.hmmessage P
{
margin:0px;
padding:0px
}
body.hmmessage
{
font-size: 12pt;
font-family:Calibri
}
--></style></head>
<body class='hmmessage'><div dir='ltr'>Would anyone, please, be willing to answer the below query?<br><br>Thanks,<br>Lesley Kimmel, RHCE<br>Unix/Linux Systems Engineer<br><br><div><hr id="stopSpelling">From: ljkimmel99@hotmail.com<br>To: scap-security-guide@lists.fedorahosted.org<br>Subject: pam_faillock.so Approach<br>Date: Fri, 12 Jun 2015 09:00:05 -0500<br><br>

<style><!--
.ExternalClass .ecxhmmessage P {
padding:0px;
}

.ExternalClass body.ecxhmmessage {
font-size:12pt;
font-family:Calibri;
}

--></style>
<div dir="ltr">All;<br><br>I've been working with the RHEL6 SSG (0.1.18-3) and found that the direction for using pam_faillock.so does not work. I know what is wrong with it but I see that the latest RHEL Beta package (0.1.21-2) decided to go a different way with the configuration. There are two possible faillock configurations shown in the pam_faillock man page. I was just curious about the relative merits of each and why the decision was made to use the "2nd" form rather than just fix the "1st". <br><br>Stack described in current RHEL6 SSG:<br>auth&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; sufficient&nbsp;&nbsp;&nbsp; pam_unix.so nullok try_first_pass<br>auth&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; [default=die]&nbsp;&nbsp;&nbsp; pam_faillock.so authfail deny=3 unlock_time=604800 fail_interval=900<br>auth&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; required&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pam_faillock.so authsucc deny=3 unlock_time=604800 fail_interval=900<br><br>Per the man page the following modifications would need to be made:<br>auth&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <b>[success=1 default=bad]</b> &nbsp;&nbsp; pam_unix.so nullok try_first_pass<br>auth&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; [default=die]&nbsp;&nbsp;&nbsp; pam_faillock.so authfail deny=3 unlock_time=604800 fail_interval=900<br>auth&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; <b>sufficient</b> &nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp; pam_faillock.so authsucc deny=3 unlock_time=604800 fail_interval=900<br><br>-Lesley Kimmel<br>                                               </div></div>                                               </div></body>
</html>