Weryfikacja użytkownika przy użyciu klucza USB

[klawiszowy]

Jako, że wersja programu zaproponowana przez PanCiasteczko w tym HOWTO tutaj jest już nieaktualna, a konfigurowanie nowej wersji różni się troszeczkę od starej napisałem to HOWTO.

Żeby Was zachęcić to na początek miła informacja:
Nie biorę odpowiedzialności za szkody jakie powstaną po wykonaniu tego HOWTO, a w szczególności za niemożliwość zalogowania się lub użycia komendy SUDO.
A teraz czyńcie swoją powinność.

Pobieramy:

Kod: Zaznacz cały

wget http://packages.delta-xi.net/pam_usbng-v0.2.deb

Instalujemy

Kod: Zaznacz cały

sudo dpkg -i pam_usbng-v0.2.deb

Formatujemy Pendrive według przykładu podanego tutaj.

Odpalamy konfigurator:

Kod: Zaznacz cały

sudo uaconf.pl

Postępujemy według poleceń programu

Kod: Zaznacz cały

Make sure that your main authentication USB device is plugged in, then press enter.
(and in addition, if you like, a second device as backup-solution).


Searching for USB storage devices... OK
        [0] GH_PicoBit pointing to /dev/sde [USBID 0773143900A6], 1029MB
        [1] WD_3200JS_External pointing to /dev/sdd [USBID 57442D574341504431303935343139], 320GB

Please enter the number of the device you want set up for use with usbauth: 0

Wybieramy urządenie którym chcemy autoryzować dostęp wpisując numer z nawiasów kwadratowych.

Kod: Zaznacz cały

If you like to create a backup-key-device of the above, enter number: 

The chosen device contains the following currently mounted partitions:
         [partition] /dev/sde1

Try to unmount? (Y/n)y
        Trying to unmount /dev/sde1
Ok, all partitions have been unmounted. Let's proceed.


                ************************************************************
                                       W A R N I N G                       
                ************************************************************
All data on the selected device will be lost!
Are you -sure- to prepare the USB memory device
        GH_PicoBit [USB ID: 0773143900A6],
        located at /dev/sde
        holding 1029MB of data? (y/N) y

Tłumaczenie dla opornych: Jeżeli zgodzicie się na tą opcję utracicie wszelkie dane z waszych urządeń

Kod: Zaznacz cały

Deleting partition table... OK
Creating new partition table... OK
Everything seems to be fine. Please specify the user which shall be able to gain authentication: blazej

Podajemy nazwę użytkownika dla którego chcemy mieć autoryzację USB.

Kod: Zaznacz cały

Your configuration file has been saved to pamauth-ng.1.conf. You may now run:
sudo uadevwrite pamauth-ng.1.conf 0773143900A6


NOTE: Don't forget to copy the new config to /etc/pamauth-ng.conf!

Teraz wklejamy coś takiego (ale w jakim celu nie pytajcie mnie bo nie wiem):

Kod: Zaznacz cały

cp pamauth-ng.1.conf /etc/pamauth-ng.conf 

Dalej wykonujemy polecenie zadane przez program (znajduje się ono w przedostatniej linijce którą zwrócił program) w moim przypadku:

Kod: Zaznacz cały

sudo uadevwrite pamauth-ng.1.conf 0773143900A6

gdzie 0773143900A6 to numer USBID naszego urządenia.
Powinno się pojawić coś takiego:

Kod: Zaznacz cały

[DEBUG] Loaded 1 users from configfile.
        Writing data on 0773143900A6 for user blazej with password M0QqGEJanhEh... 
                PIN: 123

PIN podajemy jaki nam się żywnie podoba, bylebyśmy go pamiętali. Od teraz będzie to nasze hasło dostępowe jak będziemy coś autoryzować USB.
Następnie edytujemy dwa pliki
Mamy kilka możliwości
musimy wiedzieć, że:
auth musi się znaleźć w każdej linijce dotyczącej autoryzacji
sufficient to wystarczający
required to wymagany
pam_usbng.so jest odpowiedzialny za weryfikację za pomocą klucza USB
pam_unix.so jest odpowiedzialny za weryfikację za pomocą użytkownika
Za pomocą tych kombinacji możemy wprowadzać różne formy zabezpieczenia
Pierwszy odpowiedzialny za autoryzację komendy SUDO

Kod: Zaznacz cały

 sudo nano /etc/pam.d/sudo
 

Mój wygląda tak

Kod: Zaznacz cały

#%PAM-1.0

 auth sufficient pam_usbng.so

 auth required pam_unix.so

 @include common-account

Drugi plik odpowiedzialny jest za logowanie

Kod: Zaznacz cały

 sudo nano /etc/pam.d/common-auth

I wygląda tak:

Kod: Zaznacz cały

#

# /etc/pam.d/common-auth - authentication settings common to all services

#

# This file is included from other service-specific PAM config files,

# and should contain a list of the authentication modules that define

# the central authentication scheme for use on the system

# (e.g., /etc/shadow, LDAP, Kerberos, etc.).  The default is to use the

# traditional Unix authentication mechanisms.

#



auth    required        pam_usbng.so

auth    required        pam_unix.so nullok_secure

Pierwsze logowanie musi się odbyć z kluczem – inaczej jak podaje dostawca oprogramowania wszsytko zostanie cofnięte do stanu poprzedającego nasze działania.

Przed przystąpienieniem do działania warto zapoznać się z tym HOWTO, ponieważ tutaj wszystko jest wytłumaczone dokłanie, a ja opisałem „co zrobić żeby działało”

Zainteresowanych odsyłam do HOWTO podanego przez producenta oprogramowania.