Двуфакторна автентикация на сайта с използване на USB-токен. Сега и за Linux

В в една от нашите предишни статии разказахме за значението на двуфакторната автентикация на корпоративните портали на компаниите. В миналото демонстрирахме как да настроим безопасна автентикация на уеб сървър IIS.

В коментарите ни помолиха да напишем инструкция за най-разпространените уеб сървъри под Linux — nginx и Apache.

Помолихте — написахме.

Какво е нужно, за да започнете?

• Всеки модерен дистрибутив на Linux. Правих тестова настройка в MX Linux 18.2_x64. Това, разбира се, не е сървърен дистрибутив, но едва ли ще има значителни разлики за Debian. За другите дистрибутиви пътищата до библиотеките и конфигурационните файлове може да се различават.
• Токен. Продължаваме да използваме модела Рутокен ЕЦП PKI, който идеално подхожда на скоростните характеристики за корпоративно приложение.
• За работа с токена в Linux е необходимо да инсталирате следните пакети:
  libccid libpcsclite1 pcscd pcsc-tools opensc

Издаване на сертификати

В предишните статии се опирахме на това, че сертификатите на сървърите и клиентите ще бъдат издадени с помощта на Microsoft CA. Но тъй като настройваме всичко в Linux, ще разкажем и за алтернативния начин за издаване на тези сертификати — без да напускаме Linux.
Като CA ще използваме XCA (https://hohnstaedt.de/xca/), който е наличен в всеки модерен дистрибутив на Linux. Всички действия, които ще извършваме в XCA, могат да бъдат направени и в команден ред с помощта на утилитите OpenSSL и pkcs11-tool, но за по-голяма простота и яснота в тази статия няма да ги включваме.

Започване на работа

1. Инсталираме:

   $ apt-get install xca

2. И стартираме:

   $ xca

3. Създаваме нашата база данни за CA — \/root\/CA.xdb
   Препоръчваме да съхранявате базата данни на Certificate Authority в папка, до която има достъп само администраторът. Това е важно за защитата на частните ключове на кореновите сертификати, които се използват за подписване на всички останали сертификати.

Създаваме ключовете и сертификата на root CA

В основата на инфраструктурата за открити ключове (PKI) е йерархичната система. Главното в тази система е кореновият сертификационен център или root CA. Неговият сертификат трябва да бъде създаден на първо място.

1. Създаваме за CA частен ключ RSA-2048. За това на таба Частни ключове натискаме Нов ключ и избираме съответния тип.
2. Задаваме име за новата ключова двойка. Аз я нарекох — CA Key.
3. Издаваме самия сертификат CA, с използване на създадената ключова двойка. За това преминаваме на таба Сертификати и натискаме Нов сертификат.
4. Задължително избираме SHA-256, защото използването на SHA-1 вече не може да се счита за безопасно.
5. Като шаблон задължително избираме [default] CA. Не забравяйте да натиснете на Приложи всички, в противен случай шаблонът не се прилага.
6. На таба Тема избираме нашата ключова двойка. Там можете да попълните всички основни полета на сертификата.

Създаваме ключове и сертификат на https-сервера

1. По аналогичен начин създаваме затворен ключ RSA-2048 за сървъра, който нарекох — Серверен ключ.
2. При създаване на сертификата избираме, че сертификатът на сървъра трябва да бъде подписан с сертификат CA.
3. Не забравяйте да изберете SHA-256.
4. Като шаблон избираме [default] HTTPS_server. Нажимаме на Приложи всички.
5. След което на таба Тема избираме нашия ключ и попълваме нужните полета.

Създаваме ключове и сертификат за потребителя

1. Затвореният ключ на потребителя ще се съхранява на нашия токен. За работа с него е необходимо да инсталирате PKCS#11 библиотека от нашия сайт. За популярни дистрибуции разпространяваме готови пакети, които са налични тук — https://www.rutoken.ru/support/download/pkcs/. Имаме и версии за arm64, armv7el, armv7hf, e2k, mipso32el, които могат да бъдат взети от нашия SDK — https://www.rutoken.ru/developers/sdk/. Освен версиите за linux, има и версии за macOS, freebsd и android.
2. Добавяме нов PKCS#11 доставчик в XCA. За целта отиваме в менюто Options на таба PKCS#11 доставчик.
3. Нажимаме Добави и избираме пътя до библиотеката PKCS#11. В моя случай това е usrliblibrtpkcs11ecp.so.
4. Нуждаем се от форматиран токен Рутокен ЕЦП PKI. Сваляме утилитата rtAdmin — https://dev.rutoken.ru/pages/viewpage.action?pageId=7995615
5. Изпълняваме

   $ rtAdmin -f -q -z /usr/lib/librtpkcs11ecp.so -u

6. Като тип ключ избираме — ключ RSA-2048 на Рутокен ЕЦП PKI. Нарекох този ключ Клиентски ключ.

   

7. Въвеждаме PIN-кода. И изчакваме завършването на хардуерната генерация на ключовата двойка.

   

8. Сертификатът за потребителя създаваме по аналогия с сертификата на сървъра. Този път избираме шаблона [default] HTTPS_client и не забравяме да натиснем Приложи всички.
9. На таба Тема въвеждаме информация за потребителя. На запитването за запазване на сертификата на токена отговаряме утвърдително.

В резултат на това на таба Сертификатите в XCA трябва да се получи приблизително такава картина.

Тази минимална комбинация от ключове и сертификати е достатъчна, за да започнем настройката на самите сървъри.

За настройка е необходимо да извършим експорта на сертификата на УЦ, сертификата на сървъра и затворения ключ на сървъра.

За това трябва да изберете нужния запис на съответния таб в XCA и да натиснете Експорт.

Nginx

Няма да пиша как да инсталирате и стартирате nginx-сървър, по темата има достатъчно статии в интернет, да не говорим за официалната документация. Преставяме направо с настройката на HTTPS и двуфакторна автентикация с токен.

Добавяме следните редове в секцията server в nginx.conf:

server {
	listen 443 ssl;
	ssl_verify_depth 1;
	ssl_certificate /etc/nginx/Server.crt;
	ssl_certificate_key /etc/nginx/ServerKey.pem;
	ssl_client_certificate /etc/nginx/CA.crt;
	ssl_verify_client on;
}

Подробно описание на всички параметри, свързани с настройката на ssl в nginx, можете да намерите тук — https://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_client_certificate

Аз само накратко ще опиша тези, които сам зададох:

• ssl_verify_client — указва, че е необходимо да се провери веригата на доверие към сертификата.
• ssl_verify_depth — определя дълбочината на търсене на доверен коренов сертификат във веригата. Тъй като нашият клиентски сертификат е подписан веднага от кореновия сертификат, дълбочината е зададена на 1. Ако сертификатът на потребителя е подписан от междинен CA, трябва да зададете 2, и така нататък.
• ssl_client_certificate — указва пътя до доверения коренов сертификат, който се използва при проверка на доверието към сертификата на потребителя.
• ssl_certificate/ssl_certificate_key — указват пътя до сертификата/закрития ключ на сървъра.

Не забравяйте да изпълните nginx -t, за да проверите, че в конфигурацията няма правописни грешки и всички файлове са на необходимото място и т.н.

И всъщност, това е всичко! Както виждате, настройката е много проста.

Проверяваме работата в Firefox

Тъй като всичко се прави напълно в Linux, можем да предположим, че и нашите потребители работят в Linux (ако имат Windows, тогава вижте инструкциите за настройка на браузерите в предишната статия.

1. Стартираме Firefox.
2. Пробваме първо да влезем без токен. Получаваме следната картинка:

   

3. Влизаме на about:preferences#privacy, и отиваме в Security Devices…
4. Нажимаме Натоварване, за да добавим нов PKCS#11 Device Driver и указваме пътя до нашата librtpkcs11ecp.so.
5. За да проверим дали сертификатът е разпознат, можем да влезем в Certificate Manager. Ще се появи запитване за въвеждане на PIN-код. След коректно въвеждане можем да проверим, че на таба Your Certificates се е появил нашият сертификат с токена.
6. Сега влизаме с токена. Firefox предлага да изберем сертификат, който ще бъде използван на сървъра. Избираме нашия сертификат.

   

7. ПЕЧЕЛЕНЕ!

   

Настройката се извършва само веднъж и, както се вижда в прозореца за заявка за сертификат, можем да запазим избора си. След това при всяко влизане в портала ни остава само да въведем токена и PIN-кода на потребителя, зададен при форматирането. След такава аутентификация сървърът вече знае кой потребител е влязъл и вече не се налага да се правят допълнителни проверки, а направо да се допуска потребителят в личния му кабинет.

Apache

Както и с nginx, не би трябвало да възникнат проблеми с инсталацията на apache. Ако не знаете как да инсталирате този уеб сървър, просто се възползвайте от официалната документация.

А ние преминаваме към настройката на нашия HTTPS и двуфакторна аутентификация:

1. Първо е необходимо да активираме mod_ssl:

   $ a2enmod ssl

2. След това да активираме настройките на HTTPS сайта по подразбиране:

   $ a2ensite default-ssl

3. Сега редактираме конфигурационния файл: /etc/apache2/sites-enabled/default-ssl.conf:

       SSLEngine on
       SSLProtocol all -SSLv2
   
       SSLCertificateFile	/etc/apache2/sites-enabled/Server.crt
       SSLCertificateKeyFile /etc/apache2/sites-enabled/ServerKey.pem
   
       SSLCACertificateFile /etc/apache2/sites-enabled/CA.crt
   
       SSLVerifyClient require
       SSLVerifyDepth  10

   Както виждате, имената на параметрите практически съвпадат с имената на параметрите в nginx, така че не е нужно да ги обяснявам. Отново, на тези, които се интересуват от подробности — добре дошли в документацията.
   Сега рестартираме нашия сървър:

   $ service apache2 reload
   $ service apache2 restart

Както виждате, настройването на двуфакторната аутентификация на всеки уеб сървър, както в Windows, така и в Linux, отнема максимум един час. Настройката на браузерите отнема около 5 минути. Много хора смятат, че настройването и работата с двуфакторна аутентификация е сложно и неопределено. Надявам се, че нашата статия малко, но развенчава този мит.

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Нужна ли е инструкция за настройка на работа с TLS с сертификати за ГОСТ 34.10-2012:

• Да, TLS-ГОСТ е много необходим

• Не, настройката с ГОСТ-алгоритмите не е интересна

Гласували са 44 потребителя. 9 потребителя се въздържаха.

Източник: habr.com