Pam_usb

6.5.2007 21:40 | Přečteno: 1848× | ArchLinux |

Dneska jsem v aur narazil na PKGBUILD s velice slibným popisem:
PAM modules that enables either two-factor or password-less authentication using an USB storage device (such as an USB Flash Mem

Bohužel byl dost zastaralý(Nová verze je na konci zápisku.). Po úpravě PKGBUILDU a vcelku snadé instalaci už nemusím psát k přihlášení heslo, ale stačí zastrčit flashku do usb. Na flashku není třeba nic instalovat ani kopírovat, k identifikaci se používá ID zařízení. Narazil jsem akorát na problém s tím že přestal fungovat program kdesu(Bohužel nic nevypisuje.). Stránky projektu jsou na http://www.pamusb.org/ a tady je ten PKGBUILD:

# Contributor: Tomas Urgosik 
 
pkgname=pam_usb 
pkgver=0.4.0 
pkgrel=1 
pkgdesc="PAM modules that enables either two-factor or password-less authentication using an USB storage device (such as an USB Flash Memory Token)" 
url="http://www.pamusb.org/" 
license="" 
depends=(dbus-python) 
makedepends=() 
conflicts=() 
arch=('i686') 
replaces=() 
backup=() 
install= 
source=(http://ovh.dl.sourceforge.net/sourceforge/pamusb/$pkgname-$pkgver.tar.gz) 
md5sums=('51a677ff30a3b29e8b5df4a0e60c8d75') 
 
build() { 
 mkdir -p $startdir/pkg/lib/security 
 mkdir -p $startdir/pkg/usr/bin 
 mkdir -p $startdir/pkg/usr/share/man/man1 
 mkdir -p $startdir/pkg/etc/pam.d 
 cd $startdir/src/$pkgname-$pkgver 
 make || return 1 
 make DESTDIR=$startdir/pkg install 
}

       

Komentáře

[User682]

zdravim,

povedlo se nekomu rozjet prihlaseni do x-ek pres xdm ?

Pred alternativni zpusoby prihlaseni to jde, ale pres pan_usb ne ?

toto jedine mi nechodi.

bye gf

[Vykook]

Zkousel sem to akorat pres kdm a to funguje.

[jm]

xdm jsem nezkousel, vypada fakt priserne. entrance i kdm funguje; urcite mas pam pro xdm nastaven spravne?

/etc/pam.d/xdm

#%PAM-1.0
auth       required     pam_nologin.so
auth       include      system-auth
account    include      system-auth
password   include      system-auth
session    include      system-auth

/etc/pam.d/system-auth

#%PAM-1.0

auth       required	pam_env.so
auth	   sufficient   pam_usb.so
auth       sufficient	pam_unix.so try_first_pass likeauth nullok
auth       required	pam_deny.so

account    required	pam_unix.so

password   required	pam_cracklib.so difok=2 minlen=8 dcredit=2 ocredit=2 try_first_pass retry=3
password   sufficient	pam_unix.so try_first_pass use_authtok nullok md5 shadow
password   required	pam_deny.so

session    required	pam_limits.so
session    required	pam_unix.so

[Lu-Tze]

tam, kde připadá do úvahy tenhle způsob přihlášení, stejně žádné autentizace

[Lu-Tze]

..izace netřeba

[janik]

Pouzivat to ako Password-less je asi blbost... Nieco si budem kopirovat na flashku a zatial sa mi tam niekto prihlasi cez ssh a prepne sa na mna cez su bez hesla?

[Lu-Tze]

Sílu pamu neprohlédnuls ještě. Na suování můžeš mít zase jinou metodu autentizace.

[Vykook]

No to je pravda no, ale vetsinou na svim notebooku se svoji flaashkou manipuluju jenom ja. Navic je mozny pouzit starou flasku jenom pro tenhle ucel. Rozhodne to bude levnejsi nez kupovat ctecku karet.

[jm]

Mimochodem, polozka depends v tom PKGBUILD asi nebude uplne to prave orechove; pro srovnani zavislosti z Gentoo:

RDEPEND="dev-libs/libxml2
        >=sys-libs/pam-0.78-r3
        >=sys-apps/hal-0.5.7.1-r3
        >=sys-apps/pmount-0.9.13
        >=dev-python/celementtree-1.0.2
        >=dev-python/dbus-python-0.71
        >=dev-python/pygobject-2.12.3"

DEPEND="${RDEPEND}
        dev-util/pkgconfig"

[otula]

kdesu přestane fungovat úplně, nebo nefunguje jen tehdy, pokud se přihlásím pomocí flashky?

[Vykook]

Jenom kdyz je zapojena flashka. Muj pam.d/su:

[samael@Cipisek ~]$ cat /etc/pam.d/su
#%PAM-1.0
#auth           sufficient      pam_usb.so
auth            sufficient      pam_rootok.so
auth            sufficient      pam_usb.so
# Uncomment the following line to implicitly trust users in the "wheel" group.
#auth           sufficient      pam_wheel.so trust use_uid
# Uncomment the following line to require a user to be in the "wheel" group.
#auth           required        pam_wheel.so use_uid
auth            required        pam_unix.so
account         required        pam_unix.so
session         required        pam_unix.so

[otula]

Díky za info, jdu to také vyzkoušet

[coRpTitan]

Zdravim, taky jsem to installnul, slape to na vybornou, jen jedna vec mi vadi, mam USB v FAT32 fs a když davam su pise to:

titan@tbook ~ $ su
* pam_usb v0.4.0
* Authentication request for user "root" (su)
* Device "myusb" is connected (good).
* Performing one time pad verification...
* Verification match, updating one time pads...
* Unable to change owner of the pad: Operation not permitted
* Access granted.
tbook titan #

Jde mi o ten radek : "* Unable to change owner of the pad: Operation not permitted", ta hvezdicka jako jedina je cervena a vypada tam blbe mezi tema zelenyma. Co jsem zkousel : strace /bin/su tak jsem zjistil ze je to tim ze se na tom USB snazi pustit chown, coz FAT32 nepodporuje. A FAT32 tam na flashce chchi nechat protoze sem-tam je treba prenest data z Win32 stroje. Jak jste to vyresily vy?

[Michal Vyskočil]

Co tu flashku připojit jako umsdos (pokud něco takového v Linuxu ještě funguje)?

[jm]

<option name="quiet">true</option>

Nevim, proc bych me to pokazdy melo plivat hromadu radku na obrazovku.

[coRpTitan]

Jiste, to me taky napadlo, ale problem je:

titan@tbook ~ $ su
* Unable to change owner of the pad: Operation not permitted
tbook titan #

Na error message se quiet optiona nevztahuje.

Ale myslim ze to vyresim jinak, bez toho aby to dalo chown to jede, tak ten radek s chown zakomentuju ve zdrojaku a rekompillnu. To bude asi nejrychlejsi...

[jm]

Nechapu. Nic takoveho mi to neukazuje (FAT32).

[coRpTitan]

Muzes sem postnout tu radku z fstabu jakou to mountujes? A jako driver na fatku pouzivas ten z kernelu nebo neco jine?

[koulinek]

Zajimalo by me jen par drobnosti a sice odkud spoustite pamusb-agent a jak jste nastavili KDM aby probehla korektne autentifikace pomoci USB, me to funguje zatim jen az po prihlaseni a na screansaver prostrednictvim dcop.

[coRpTitan]

Do /etc/pam.d/kde jsem pridal na zacatek:

auth    sufficient      pam_usb.so
password   sufficient      pam_usb.so

A agenta poustim z: /usr/bin/pamusb-agent , ale myslim ze by melo byt jedno z jakeho adresare se pusti, dulezite je aby byl pusten pod uzivatelem ktery ma opravneni zapisovat na USB disk(vyrvoril tam adresar a v nem soubor) a mohl upravit /etc/pamusb.conf (samozdrejme config muze byt i jinde).

[otula]

Mně nějak nefunguje ten skript pamusb-agent. Háže hlášku:

Traceback (most recent call last):
  File "/usr/bin/pamusb-agent", line 30, in <module>
    import elementtree.ElementTree as et
ImportError: No module named elementtree.ElementTree

Předpokládám, že je to i důvod, proč mi nefunguje zamknutí či odeknutí desktopu při manipulaci s flashdiskem.
(vložil jsem k tomu do sekce users tohle:

<user id="ota">
    <device>corsair</device>
    <agent event="lock">dcop kdesktop KScreensaverIface lock</agent>
    <agent event="unlock">dcop kdesktop KScreensaverIface unlock</agent>
</user>

)

[Vykook]

Abych pravdu rekl nic jinyho nez obsah /etc/pam.d/ sem nenastavoval. Mozna to je tim ze me to jede pres HAL. Jediny s cim si to proste nerozumi je kdesu.