<div dir="ltr">+1 from me as well.<br></div><div class="gmail_extra"><br><div class="gmail_quote">On Mon, Aug 17, 2015 at 12:22 PM, Greg Elin <span dir="ltr">&lt;<a href="mailto:gregelin@gitmachines.com" target="_blank">gregelin@gitmachines.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr"><div class="gmail_default" style="font-size:small">+1 on Shawn&#39;s observation:</div><span class=""><div class="gmail_default" style="font-size:small">&quot;<span style="font-size:13px">The purpose of SSG is to get security configuration guidance and automation into the public, into the technology natively (e.g. shipping in RHEL), and developed in an open community with open (in our case, public domain) licensing.&quot;</span></div><div class="gmail_default" style="font-size:small"><span style="font-size:13px"><br></span></div></span><span class="HOEnZb"><font color="#888888"><div class="gmail_default" style="font-size:small"><span style="font-size:13px">Greg</span></div></font></span></div><div class="HOEnZb"><div class="h5"><div class="gmail_extra"><br><div class="gmail_quote">On Mon, Aug 17, 2015 at 12:18 PM, Shawn Wells <span dir="ltr">&lt;<a href="mailto:shawn@redhat.com" target="_blank">shawn@redhat.com</a>&gt;</span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span><br>
<br>
On 8/14/15 3:33 PM, Steve Grubb wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
On Friday, August 14, 2015 01:47:49 PM Ron Colvin wrote:<br>
<blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">
&gt;A patch for the SSH bug that bypassed the MaxAuthTries limit was just<br>
&gt;patched. Has MaxAuthTries been considered as a control in the security<br>
&gt;guide?<br>
</blockquote>
The default value for this is set to &quot;no&quot;. We set UsePam to &quot;yes&quot;. Some<br>
platforms do not have PAM and openssh replicates some of that functionality in<br>
their code. If you want to control the maximum number of login attempts, you<br>
should use the pam_faillock module. It is an improvement over pam_tally2 in<br>
that it tracks login attempts per user. Pam_tally2 is global. Both are hooked<br>
into the audit system while openssh&#39;s  MaxAuthTries is not.<br>
</blockquote>
<br></span>
While we configure PAM controls, and assume SSH is using them via &quot;UsePam yes&quot;, there isn&#39;t a validation check for &quot;UsePam.&quot; Should there be?<div><div><br>
-- <br>
SCAP Security Guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org" target="_blank">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" rel="noreferrer" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
<a href="https://github.com/OpenSCAP/scap-security-guide/" rel="noreferrer" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a></div></div></blockquote></div><br></div>
</div></div><br>--<br>
SCAP Security Guide mailing list<br>
<a href="mailto:scap-security-guide@lists.fedorahosted.org">scap-security-guide@lists.fedorahosted.org</a><br>
<a href="https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide" rel="noreferrer" target="_blank">https://lists.fedorahosted.org/mailman/listinfo/scap-security-guide</a><br>
<a href="https://github.com/OpenSCAP/scap-security-guide/" rel="noreferrer" target="_blank">https://github.com/OpenSCAP/scap-security-guide/</a><br></blockquote></div><br><br clear="all"><br>-- <br><div class="gmail_signature"><div dir="ltr"><div>Trevor Vaughan<br>Vice President, Onyx Point, Inc<br>(410) 541-6699<br><br>-- This account not approved for unencrypted proprietary information --</div></div></div>
</div>