Простите пароли не предпазват, а сложните е трудно да се запомнят. Затова често се оказват на стикер под клавиатурата или на монитора. За да останат паролите в главите на “забравящите” потребители и защитата да не бъде компрометирана – съществува двуфакторна автентикация (2ФА).

Благодарение на комбинацията от фактора на притежаване на устройството и знанието на неговия PIN-код, самият PIN-код може да бъде по-прост и лесен за запомняне. Недостатъците в дължината или произволността на PIN-кода се компенсират от изискването за физическо притежание и ограниченията за опит за разбиване на PIN-кода.

Освен това, в държавните учреждения понякога искат всичко да работи по ГОСТ. За такъв вариант на 2ФА за влизане в Линукс ще говорим. Ще започна отдалеч.

PAM модули

Подключваеми модули за автентикация (Pluggable Authentication Modules, PAM) – това са модули със стандартен API и реализации на различни механизми за автентикация в приложенията.
Всички утилити и приложения, които работят с PAM, ги подбират и могат да ги използват за автентикация на потребителя.
На практика, това работи по следния начин: командата login се обръща към PAM, който извършва всички необходими проверки с помощта на модулите, указани в конфигурационния файл, и връща резултата обратно на командата login.

librtpam

Разработеният от компанията «Актив» модул добавя двуфакторна автентикация на потребителите с помощта на смарт карти или USB токени с асиметрични ключове по последните стандарти на отечествената криптография.

Нека да разгледаме принципа на работа:

на токена се съхранява сертификат на потребителя и неговият частен ключ;
сертификатът е запазен в домашната директория на потребителя като доверен.

Процесът на автентикация протича по следния начин:

На Рутокена се извършва търсене на личния сертификат на потребителя.
Иска се PIN кодът на токена.
Извършва се подписване на случайни данни с частния ключ директно в чипа на Рутокена.
Полученото подписване се проверява с помощта на публичния ключ от сертификата на потребителя.
Модулът връща на извикалото приложение резултата от проверката на подписването.

Може да се автентикирате по ключовете ГОСТ Р 34.10-2012 (дължини 256 или 512 бита) или остарелия ГОСТ Р 34.10-2001.

Не трябва да се притеснявате за сигурността на ключовете – те се генерират директно в Рутокена и никога не напускат неговата памет по време на криптографските операции.

Рутокен ЕЦП 2.0 е сертифициран от ФСБ и ФСТЭК по НДВ 4, затова може да се използва в информационни системи, обработващи конфиденциална информация.

Практическо използване

Подходящ практически за всяка съвременна Линукс операционна система, за пример ще използваме xUbuntu 18.10.

1) Инсталираме необходимите пакети

sudo apt-get install libccid pcscd opensc
Ако искате да добавите заключване на работния плот с екранна защита – допълнително инсталирайте пакета libpam-pkcs11.

2) Добавяме PAM модул с поддръжка на ГОСТ-ове

Зареждаме библиотеката с https://download.rutoken.ru/Rutoken/PAM/
Копираме съдържанието на папката PAM librtpam.so.1.0.0 в системната папка
/usr/lib/ или /usr/lib/x86_64-linux-gnu/или /usr/lib64

3) Инсталираме пакета с librtpkcs11ecp.so

Сваляме и инсталираме DEB или RPM пакет през следната връзка: https://www.rutoken.ru/support/download/pkcs/

4) Проверяваме, че Рутокен ЕЦП 2.0 работи в системата

В терминала изпълняваме
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -T
Ако видите реда Rutoken ECP – всичко е наред.

5) Четем сертификата

Проверяваме, че устройството разполага със сертификат
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O
Ако след реда:
Using slot 0 with a present token (0x0)

се извежда информация за ключовете и сертификатите, трябва да четете сертификата и да го запазите на диска. За това изпълнете следната команда, където вместо {id} трябва да подставите ID на сертификата, който видяхте в извода на предходната команда:
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -r -y cert --id {id} --output-file cert.crt
В случай че файлът cert.crt е създаден, преминаваме към точка 6).
няма нищо, значит устройството е празно. Свържете се с администратора или създайте ключове и сертификат сами, следвайки следващата точка.

5.1) Създаваме тестов сертификат

Внимание! Описаните методи за създаване на ключове и сертификати са подходящи за тестване и не са предназначени за употреба в продуктивен режим. За това е необходимо да се използват ключове и сертификати, издадени от доверен сертификационен център на вашата организация или акредитирана удостоверяваща институция.
PAM-модулът е създаден да защитава локални компютри и предвижда работа в малки организации. Понеже потребителите са малко, администраторът може сам да следи за ревизия на сертификати и ръчно да блокира акаунти, както и за срока на действие на сертификатите. PAM-модулът все още не може да проверява сертификати по CRL и да изгражда вериги на доверие.

Прост начин (чрез браузър)

За получаване на тестов сертификат използвайте уеб-сервиза „Център за регистрация Рутокен“. Процесът ще отнеме не повече от 5 минути.

Пътят на хакера (чрез конзола и, вероятно, компилатор)

Проверете версията на OpenSC
$ opensc-tool --version
Ако версията е по-малка от 0.20, обновете или компилирайте клона pkcs11-tool с поддръжка на ГОСТ-2012 от нашия GitHub (в момента на публикуването на тази статия версия 0.20 все още не е издадена) или от клона master на основния проект OpenSC не по-късно от комита 8cf1e6f

Генерираме ключова двойка с параметри:
--key-type: GOSTR3410-2012-512:А (ГОСТ-2012 512 бита с параметър А), GOSTR3410-2012-256:A (ГОСТ-2012 256 бита с параметър A)

--id: идентификатор на обекта (CKA_ID) под формата на двузначни символи в hex от таблицата ASCII. Използвайте само ASCII кодове на печатни символи, тъй като id трябва да бъде предаден на OpenSSL под формата на низ. Например, на ASCII кодовете “3132” отговаря низът „12“. За удобство можете да се възползвате от онлайн-сервиз за преобразуване на низ в ASCII кодове.

$ ./pkcs11-tool --module /usr/lib/librtpkcs11ecp.so --keypairgen --key-type GOSTR3410-2012-512:A -l --id 3132

След това ще създадем сертификат. По-долу ще бъдат описани два начина: първият чрез УЦ (ще използваме тестови УЦ), вторият – самоподписан. За целта първо трябва да инсталирате и настроите OpenSSL версия 1.1 или по-нова, за работа с Рутокен чрез специален модул rtengine, използвайки ръководството Инсталиране и настройка на OpenSSL.
Например: за ‘--id 3132’ в OpenSSL трябва да укажете „pkcs11:id=12«.

Можете да се възползвате от услугите на тестови УЦ, които са много, например, ето, ето и ето, за това ще създадем заявка за сертификат

Друг вариант – можете да се поддадете на мързел и да създадете самоподписан
$ openssl req -utf8 -нов -keyform engine -key "pkcs11:id=12" -engine rtengine -out req.csr

Качваме сертификата на устройството
$ openssl req -utf8 -x509 -keyform engine -key "pkcs11:id=12" -engine rtengine -out cert.cer

6) Регистрираме сертификата в системата

Убедете се, че вашият сертификат изглежда като base64 файл:

Ако вашият сертификат изглежда така:

то трябва да конвертирате сертификата от DER формат в PEM формат (base64)

$ openssl x509 -in cert.crt -out cert.pem -inform DER -outform PEM
Отново проверяваме, че сега всичко е наред.

Добавяме сертификат в списъка на доверените сертификати
$ mkdir ~/.eid $ chmod 0755 ~/.eid $ cat cert.pem >> ~/.eid/authorized_certificates $ chmod 0644 ~/.eid/authorized_certificates
Последният ред защитава списъка на доверените сертификати от случайни или умишлени изменения от други потребители. Това изключва ситуация, в която някой добави своя сертификат и може да влезе в системата от ваше име.

7) Настройване на аутентификацията

Настройката на нашия PAM модул е напълно стандартна и се прави точно както настройките на другите модули. Създаваме в файл /usr/share/pam-configs/rutoken-gost-pam съдържащ пълното име на модула, дали е включен по подразбиране, приоритета на модула и параметрите на аутентификацията.
В параметрите на аутентификацията има изисквания към успешността на операцията:

required (задължителен): такива модули трябва да върнат положителен отговор. Ако резултатът от извикването на модула съдържа отрицателен отговор, това ще доведе до грешка в аутентификацията. Запитването ще бъде прекратено, но останалите модули ще бъдат извикани.
requisite (необходим): подобен на required, но веднага води до провал на аутентификацията и игнорира останалите модули.
sufficient (достатъчен): ако пред такъв модул нито един от модулите required или sufficient не е върнал отрицателен резултат, то модулът ще върне положителен отговор. Останалите модули ще бъдат игнорирани.
optional (допълнителен): ако в стека няма модули required и нито един от модулите sufficient не е върнал положителен резултат, то поне един от модулите optional трябва да върне положителен отговор.

Пълното съдържание на файла /usr/share/pam-configs/rutoken-gost-pam:
Име: Rutoken PAM GOST По подразбиране: да Приоритет: 800 Тип удостоверяване: Основен Удостоверяване: достатъчно /usr/lib/librtpam.so.1.0.0 /usr/lib/librtpkcs11ecp.so

запазваме файла, след това изпълняваме
$ sudo pam-auth-update
в появилото се прозорец слагаме звездичка около Rutoken PAM GOST и натискаме OK

8) Проверка на настройките

За да разберем, че всичко е настроено, но в същото време да не загубим възможността за вход в системата, въведете командата
$ sudo login
Въведете потребителското име. Всичко е настроено правилно, ако системата поиска PIN-код на устройството.

9) Настройка на блокировката на компютъра при извличане на токена

В състава на пакета libpam-pkcs11 влиза утилита pkcs11_eventmgr, която позволява извършването на различни действия при възникване на събития PKCS#11.
За настройка pkcs11_eventmgr служи конфигурационен файл: /etc/pam_pkcs11/pkcs11_eventmgr.conf
За различни дистрибуции на Линукс, командата, която извиква блокировката на акаунта при извлечене на смарт-карти или токен, ще се различава. Вижте. event card_remove.
Пример за конфигурационен файл е представен по-долу:

pkcs11_eventmgr
{
    # Стартиране във фонов режим
    daemon = true;
     
    # Настройка на съобщенията за отстраняване на грешки
    debug = false;
 
    # Време за опрос в секунди
    polling_time = 1;
 
    # Задаване на таймаут за изтриване на картата
    # По подразбиране 0
    expire_time = 0;
 
    # Избор на библиотека pkcs11 за работа с Рутокен
    pkcs11_module = usr/lib/librtpkcs11ecp.so;
 
    # Действия с картата
    # Карта е вкарана:
    event card_insert {
        # Оставяме стойностите по подразбиране (нищо не се случва)
        on_error = ignore;
 
        action = "/bin/false";
    }
 
    # Карта е извадена
    event card_remove {
        on_error = ignore;
         
        # Извикване на функция за блокиране на екрана
        
        # За GNOME
        action = "dbus-send --type=method_call --dest=org.gnome.ScreenSaver /org/gnome/ScreenSaver org.gnome.ScreenSaver.Lock";
        
        # За XFCE
        # action = "xflock4";
        
        # За Astra Linux (FLY)
        # action = "fly-wmfunc FLYWM_LOCK";
    }
 
    # Карта е извадена за дълго време
    event expire_time {
        # Оставяме стойностите по подразбиране (нищо не се случва)
        on_error = ignore;
 
        action = "/bin/false";
    }
}

След това добавете приложението pkcs11_eventmgr в автоматичното зареждане. За целта редактирайте файла .bash_profile:
$ nano /home//.bash_profile
Добавете в края на файла реда pkcs11_eventmgr и се рестартирайте.

Описаните стъпки за настройка на операционната система могат да се използват като инструкции в дистрибуции на Linux, включително и местни.

Заключение

ПК с Linux в руските държавни структури стават все по-популярни, а настройката на надеждна двуфакторна автентикация в тази ОС не винаги е лесна. Ще се радваме с това ръководство да помогнем да се реши "проблема с паролите" и надеждно да защитим достъпа до ПК, без да се налага да отделяме много време за това.

Източник: habr.com