Dvoufaktorová autentizace v Linuxu: totpcgi a pam_url (diskuse)

[little.owl]

Hezke. Uz pres rok Yubikey pouzivam a Fedora to opet posunula o krok dale.

A pamatujte:

Never turn off SELinux on your workstation. Your browser is actually running inside its own constrained SELinux domain, which means that even if attackers manage to escape the browser’s sandbox, they will have a hard time escaping the SELinux jail in order to gain a foothold on your system and install a keylogger.

[SPM]

Hmm, SELinux jsem hlavně ani nikdy nezapnul Nicméně mi přijde, že tohle je zrovna jedna z posledních možností, kudy dostat keylogger do systému.

[little.owl]

SELinux jsem hlavně ani nikdy nezapnul

Ja bych ho mohl tak maximalne vypnout, ale neni duvod.

tohle je zrovna jedna z posledních možností, kudy dostat keylogger do systému.

To mne take.

Nicmene Yubykey je opravdu super vec, pokud se potrebujete rychle nalogovat, hesel mate vice - LUKS etc. a nepouzivate trivialni hesla. Pokud to nekdo takto pouziva, bude support postupne lepsi.

[SPM]

S tím supportem bych se toho celkem bál... ostatně klasické HW OTP autentizátory tu s námi už nějakou dobu jsou a podpora nicmoc. Tedy, někde jo, třeba snad i do datových schránek to lze použít, ale kdo to má... Na dvoufaktorovou autorizaci lze použít i autentizaci certifikátem a PKI token/SmartCard, ale taktéž není velké procento lidí, co to používá (pro podpis jakbysmet). A SW podpora je také docela tristní - třeba zrovna na Linuxu tohle bezproblémově funguje akorát ve Firefoxu/Thunderbirdu...

[little.owl]

Nevim, jestli si presne uvedomil, jako Yubikey funguje. Po pripojeni do USB se nahlasi jako USB klavesnice. Tedy muzete to pouzit kdekoliv, kde zadavate heslo rucne. Na Yubikey je opticky senzor - "tlacitko" a rozlisuje se dlouhy a kratky stisk. Muzete tak generovat staticke heslo nebo One Time heslo. Vse je implementovano na kremiku, unikatni AES klic z toho snadno nevybouchate. K dispozici je SW, treba PAM modul, validacni server v PHP ci Python knihovna a dalsi, i pro Javu ci Perl.

Ve Fedore uz pocet balicku pomalu narusta:

authhub-yubikey.noarch : YubiKey plugin for authhub
drupal6-yubikey.noarch : Provides YubiKey based strong two-factor user
                       : authentication capabilities
libyubikey : C library for decrypting and parsing Yubikey One-time passwords
libyubikey-devel : Development files for libyubikey
yubikey-ksm.noarch : The YubiKey Key Storage Module
yubikey-personalization-gui : GUI for Yubikey personalization
yubikey-val.noarch : The YubiKey Validation Server
pam_yubico : A Pluggable Authentication Module for yubikeys
ykclient : Yubikey management library and client
ykpers : Yubikey personalization program

[SPM]

snad uvědomil, nicméně statické heslo ti stejně z toho někdo vybouchá (stačí přečíst, co to pošle za eventy). A u OTP je pak jen rozdíl, jestli to nabouchá samo nebo opíšeš pár čísel ručně. Pak teda, jestli jsem to pochopil, tak yubikey ještě poskytuje ten centrální autorizační server. Nicméně jsou i služby, které tohle poskytují také; pak se ověřuje přes SAML nebo RADIUS, takže to možné to je také...

Ale jako hračka to vypadá také pěkně. Asi si to na hraní také někdy pořídím :) Docela zajímavá mi přišla ta RFID varianta, ačkoliv za sebe bych momentálně potřeboval jen hloupý EM4102 tag, abych nemusel nosit kartu :)

[little.owl]

nicméně statické heslo ti stejně z toho někdo vybouchá

Vzhledem k tomu, ze se to chova jako keybord, ano. Staticke heslo lze u Yubikey menit. Ale hlavne, je dlouhe (16-64 znaku), rychle "napsane" a muze mit takovy stupen "neslovnikovatosti", ze bych si ho nikdy nezapamatovat a psal desetkrat - pokud bych mel tu moznost a po tretim spatnem pokusu me treba neodstrhli.

yubikey ještě poskytuje ten centrální autorizační server.

Poskytuji algoritmus pro verifikaci OTP a moznost nahrani sveho AES klice.

Pak krome verifikacni serveru provozovaneho vyrobcem (Yubicloud) si muzete spustit svuj, klidne i lokalni ci na svem serveru. Mate treba podporu v PHP ci Python, muzete to integrovat do sve webove aplikace, v baliccich nahore je to jiz integrovane do Drupalu. Mate k dispozici libyubikey a muzete to tak pouzit i ve sve C/C++ aplikaci.

Ale jako hračka to vypadá také pěkně.

Hracka to rozhodne neni, bezpecnost to zvysi vyrazne. Protoze se to chova jako USB klavesnice, muzete to pouzit v podstate s jakoukoliv stavajici aplikaci.

[SPM]

Pak krome verifikacni serveru provozovaneho vyrobcem (Yubicloud) si muzete spustit svuj, klidne i lokalni

Tak v tomhle mi nic nebrání ani u těch normálních OTP standardů. Potíž je v tom (a hádám, že tady to bude stejné), že ten autentizátor je nutné provozovat jen vůči jednomu verifikačnímu serveru. Resp. při ověřování je nutné znát pořadí toho vygenerovaného klíče a pokud se na to používá více serverů, tak se může stát, že se ta tolerance prázdných vygenerování rozjede a přestane fungovat... A pak samozřejmě na přístup do veřejných služeb má asi smysl používat ten jejich (těžko si dokážu představit, že při registraci někam budu zadávat adresu verifikačního serveru :)) )

Hracka to rozhodne neni

Spíš jsem to myslel tak, že jak budu mít nějakou chvíli, tak to objednám a budu si s tim hrát :))