Jak bezpiecznie zalogować się w systemie Linux za pomocą ATKey i PAM

Uwierzytelnianie sprzętowe to złoty standard ochrony Twojego życia cyfrowego, a dla użytkowników systemu Linux ATKey.Pro to przełom. W tym przewodniku pokażemy, jak zarejestrować ATKey.Pro na komputerze z systemem Linux, wykorzystując możliwości biblioteki libpam-u2f.

Na końcu artykułu znajdziesz instruktaż wideo ilustrujący cały proces.

Czym jest ATKey.Pro?

Pomyśl o ATKey.Pro jako fizyczna twierdza dla Twojej tożsamości cyfrowej. ATKey.Pro to certyfikowany przez FIDO2 klucz bezpieczeństwa z wbudowanym czytnikiem linii papilarnych. W przeciwieństwie do standardowych kluczy bezpieczeństwa, które wymagają jedynie dotknięcia, ATKey.Pro wykorzystuje biometrię, aby upewnić się, że osoba posiadająca klucz jest rzeczywiście w zgodzie ze sobąJest kompaktowy i zastępuje potrzebę posiadania „czegoś, co znasz” (hasła) „czymś, czym jesteś” (odciskiem palca).

Co to jest PAM?

, Aby uzyskać ATKey.Pro Pracując z systemem operacyjnym Linux, musimy komunikować się z „strażnikiem”: modułami PAM, czyli modułami uwierzytelniania wtykowego. PAM to platforma, która obsługuje wszystkie zadania uwierzytelniania w systemie, od logowania do konsoli po weryfikację tożsamości w przypadku zadań administracyjnych. Biblioteka libpam-u2f obsługuje uwierzytelnianie za pośrednictwem otwartego standardu Universal 2nd Factor (U2F) i pozwala nam nauczyć moduły PAM rozpoznawania i ufania Twoim ATKey.Pro jako ważny dokument tożsamości.

Proces instalacji krok po kroku

W poniższych krokach zainstalujemy niezbędne biblioteki, połączymy Twój profil biometryczny z kontem użytkownika Linuksa i skonfigurujemy system tak, aby żądał odcisku palca przed udzieleniem dostępu. Po zakończeniu tego samouczka Twój komputer z Linuksem będzie znacznie bezpieczniejszy i, co zaskakujące, znacznie wygodniejszy w obsłudze.

Zacznijmy od przygotowania terminala.

Krok 1 – Zainstaluj libpam-u2f

Sprawdź, czy libu2f-udev jest zainstalowany, uruchamiając

$ dpkg -s libu2f-udev

• Jeśli nie jest obecny, zainstaluj go za pomocą polecenia

$ sudo apt install libu2f-udev

Po zainstalowaniu pakietu libu2f-dev pobierz pakiet libpam-u2f za pomocą polecenia

$ sudo apt-get install libpam-u2f

Krok 2 – Utwórz użytkownika zapasowego

Przed użyciem modułu PAM możesz utworzyć nowego użytkownika w grupie sudo, podać hasło i przechowywać je w bezpiecznym miejscu jako kopię zapasową na wypadek awarii. ATKey jest uszkodzony lub zagubiony.

Sprawdź szczegóły w tym samouczku: Jak utworzyć nowego użytkownika z włączonym sudo w Ubuntu 20.04 [Szybki start]

Krok 3 - Zarejestruj swój ATKey na Twoje konto przez PAM

Teraz, gdy zainstalowaliśmy moduł PAM, czas dodać ATKey do Twojego Ubuntu.

Utwórz folder konfiguracyjny dla magazynu kluczy za pomocą polecenia

$ mkdir ~/.config/Yubico

Moduł PAM jest wyposażony w narzędzie konfiguracyjne, które można wykorzystać do tworzenia ciągów kluczy w konfiguracji dla Twojego ATKeys. Po prostu podłącz ATKey do portu USB i w terminalu uruchom następujące polecenie:

$ pamu2fcfg > ~/.config/Yubico/u2f_keys

Kiedy twój ATKey zaczyna migać, dotknij przycisku, aby potwierdzić rejestrację.

UWAGA: Zdecydowanie zaleca się dodanie większej ilości ATKeys lub inne zapasowe klucze bezpieczeństwa na wypadek takiej sytuacji ATKey jest uszkodzony lub zgubiony, należy zarejestrować dodatkowe klucze za pomocą poniższego polecenia:

$ pamu2fcfg -n >> ~/.config/Yubico/u2f_keys

Dodanie „>>” spowoduje dodanie nowej rejestracji, zamiast nadpisywania poprzedniej.

Krok 4 - Użyj ATKey przez PAM 

Teraz twój ATKey Jeśli na Twoim komputerze jest zarejestrowany, możesz ustalić reguły dotyczące tego, kiedy będzie on wymagany do weryfikacji użytkownika. Dwa najczęstsze przypadki to próba użycia polecenia sudo przez użytkownika oraz logowanie. Wyjaśnimy, jak skonfigurować system na oba te przypadki.

Powiąż moduł PAM z poleceniem sudo

UWAGA: Po zmodyfikowaniu pliku /etc/pam.d/sudo w celu skojarzenia modułu PAM z poleceniem sudo, możesz ponownie zmienić to ustawienie konfiguracji wyłącznie poprzez weryfikację przy użyciu zarejestrowanego konta użytkownika. ATKeypoprzez PAM. 

Zmień plik konfiguracyjny PAM dla sudo:

(W przykładzie użyto edytora vim)

$ sudo vim /etc/pam.d/sudo

Znajdź linię „@include common-auth” i dodaj poniżej:

auth       required   pam_u2f.so

Zapisz, a teraz Twój komputer będzie wymagał od użytkownika weryfikacji za pomocą ATKey za każdym razem, gdy wykonują polecenie sudo.

UWAGA: Jeśli ATKey nie zostanie najpierw włożony do portu USB, wówczas nastąpi awaria po wpisaniu hasła. Jeśli zostanie włożony, zacznie migać, a następnie będziesz mieć około 10 sekund na naciśnięcie ATKey.

Powiąż moduł PAM w celu logowania

Zobaczmy teraz, jak sprawić, by Twój system wymagał weryfikacji użytkownika za pośrednictwem ATKey po zalogowaniu. Tak jak poprzednio, będziemy musieli zmodyfikować plik konfiguracyjny PAM.

Najpierw musimy otworzyć plik:
(W przykładzie użyto edytora vim)

$ sudo vim /etc/pam.d/gdm-password

Znajdź linię „@include common-auth” i dodaj poniżej:

auth required pam_u2f.so

Zapisz, a przy następnym logowaniu system poprosi Cię o weryfikację za pomocą ATKey mieć dostęp.

UWAGA: ATKey Należy go wpisać przed wpisaniem hasła, w przeciwnym razie logowanie się nie powiedzie. Po wpisaniu hasła ATKey Dioda LED zacznie migać, a Ty będziesz mieć 10 sekund na naciśnięcie skanera linii papilarnych, aby dokończyć logowanie.

Jeśli masz jakiekolwiek wątpliwości lub problemy w trakcie konfiguracji, nie wahaj się z nami skontaktować.