Skip to main content

🔐 Sperre nach falschen Passwortversuchen

📝 Notiz für mich (und andere): Wer ist noch nicht darauf reingefallen?

Auf Arch Linux und Arch-basierten Distributionen wie Manjaro, EndeavourOS (EOS) oder CachyOS kann das PAM-Modul pam_faillock nach mehreren fehlgeschlagenen Authentifizierungsversuchen eine vorübergehende Sperre auslösen. Ob die Sperre aktiv ist und wie viele Fehlversuche sowie welche Sperrdauer gelten, hängt von der PAM-Konfiguration ab.

💡 Hinweis

Die Sperre ist kein Bug, sondern eine Sicherheitsmaßnahme gegen automatisierte Passwortversuche. Während der Sperrzeit wird jedes Passwort abgelehnt – auch das richtige, weshalb sudo dann fälschlich „falsch" meldet. Das verhindert, dass ein Angreifer während der Wartezeit durch weiteres Ausprobieren doch noch Zugriff erhält. Allerdings schützt die Sperre nicht davor, dass jemand mit Zugriff auf dein Benutzerkonto den eigenen Zähler manuell zurücksetzt.

⏳ Was tun, wenn sudo gesperrt ist?
  • Warte die konfigurierte Sperrzeit ab und versuche es danach erneut. Sie kann je nach PAM-Konfiguration variieren (zum Beispiel 10 Minuten).
  • Wenn du noch eine Sitzung als betroffener Benutzer offen hast, kannst du dort den eigenen Zähler zurücksetzen: 
    faillock --user BENUTZERNAME --reset
    Laut ArchWiki gehört die Zählerdatei dem Benutzer; in der beschriebenen Konfiguration ist dafür kein sudo nötig.
  • Wenn du dich nicht mehr anmelden kannst oder der Befehl wegen einer abweichenden Konfiguration nicht funktioniert, kann ein separates Root-Konto oder ein anderer administrativer Zugang nötig sein.
  • Bei der üblichen pam_faillock-Konfiguration werden die Zähler beim Neustart normalerweise gelöscht. Wurde ein dauerhafter Speicherort konfiguriert, kann der Zähler erhalten bleiben.

Quelle: ArchWiki: Security – „Lock out user after three failed login attempts“

PS: Debian, Ubuntu oder Linux Mint sperren das Benutzerkonto normalerweise nicht automatisch nach drei falschen Passworteingaben. Eine kontoweite Sperre gibt es nur, wenn sie ausdrücklich in PAM eingerichtet wurde.