Dotaz: 2FA

[maros]

Podporuje nejaka distribucia (napr. Fedora) dvojfaktorovu autentifikaciu pre prihlasenie do GUI prostredia? Napriklad heslo+fingeprint, heslo+HW token, fingerprint+HW token pripadne ina uzivatelom nadefinovana kombinacia.

Odpovědi

[Max]

Nějaká podpora v něčem je :
How to Setup Multi-Factor Authentication (MFA) in Ubuntu
Fedora : Infrastructure Two Factor Auth
Ale vypadá to zatím na menší problém. Musí to podporovat správce přihlášení (KDM/GDM/SSDM/LightDM apod.) a následně je také otázkou, jak se s tím umí vypořádat samotné prostředí (třeba jak se chovat při uzamčení obrazovky).
Jsem zvědavý, k čemu dojdeš.
Zdar Max

[petr_p]

Co by na to mělo být těžkého? Prostě do konfigurace PAM zadají dva autentizační moduly. PAM má obecné rozhraní pro vedení přihlašovacího dialogu mezi libpam a přihlašovacím programem. Korektně implementované programy by s tím neměly mít problém.

Mimochodem ten druhý odkaz je mimo. Ten je o přihlašování se k infrastruktuře organice, která dělá distribuci.

[Max]

"Korektně implementované programy by s tím neměly mít problém."

A to je právě ten problém, třeba sddm mělo donedávna (možná už nemá) s tímhle problém a neznám stav jiných DM a už vůbec né, jak jsou na tom DE samotná.
Zdar Max

[petr_p]

SDDM je typická ukázka, jak přihlašovací program nepsat. KDE se rozhodlo přejít na Qt5, ale nikomu se nechtělo portovat KDM, tak si napsali SDDM úplně odznova. A jak to tak bývá u desktopových aplikací, začali a skončili u GUI. Zrovna PAM se tam dopisoval dodatečně a samozřejmě nefunguje, jak má, protože koncept SDDM s ním vůbec nepočítá. Správně program má jen zjistit uživatelské jméno a pak zavolat PAM. Dotaz na heslo má být až v režii PAMu. Leč to není cool a SDDM volá PAM až po předvyplnění hesla a dané heslo rve do první pamové výzvy na heslo. Zkoušel jsem pam_p11 a nefunguje. Nefunguje ani taková drobnost jako pam_motd. Nemůžu si pomoci, ale desktop před deseti lety byl v mnoha ohledech kvalitnější, než co máme dnes.

[maros]

Mam pocit, ze situacia je rovnaka ako vo Windows a to, ze 2FA sa neda pouzit s lokalnymi kontami bez nejakej aplikacie tretej strany. Na Windows je nutne pouzit Microsoft account, pri Fedore sa tiez pise nieco o FAS.