Простите, но простите ли е наистина, а сложните пароли е трудно да запомните. Поради това те често се оказват на стикер под клавиатурата или на монитора. За да се запазят паролите в главите на "забравящите" потребители и надеждността на защитата да не се губи – съществува двуфакторна аутентификация (2ФА).

Благодарение на комбинацията от фактори за притежание на устройство и знание на неговия PIN-код, самият PIN-код може да бъде по-лесен и по-удобен за запомняне. Недостатъците в дължината или случайността на PIN-кода се компенсират с изискването за физическо притежание и ограниченията за опитите за ПОКРИТИЕ.

Освен това, в държавните учреждения понякога искат всичко да работи по стандартите. За такъв вариант на 2ФА за влизане в Линукс ще говорим. Ще започна по-отдалеч.

PAM-модули

Подвързани модули за аутентификация (Pluggable Authentication Modules, PAM) – това са модули с стандартен API и реализации на различни механизми за аутентификация в приложенията.
Всички утилити и приложения, които могат да работят с PAM, ги прихващат и могат да ги използват за аутентификация на потребителя.
На практика това работи по следния начин: командата login се свързва с PAM, който извършва всички необходими проверки с указания в конфигурационния файл модули и връща резултата обратно на командата login.

librtpam

Разработеният от компанията "Актив" модул добавя двуфакторна аутентификация на потребителите чрез смарт карти или USB токени, използвайки асиметрични ключове по последните стандарти в отечествената криптография.

Нека разгледаме принципа му на работа:

на токена се съхранява сертификат на потребителя и неговият частен ключ;
сертификатът е запазен в домашния каталог на потребителя като доверен.

Процесът на аутентификация е следният:

На Рутокена се извършва търсене на личния сертификат на потребителя.
Запитва се PIN-кодът на токена.
Подписват се случайни данни на частния ключ директно в чипа на Рутокена.
Получената подписка се проверява с помощта на публичния ключ от сертификата на потребителя.
Модулът връща на извикалото приложението резултата от проверката на подписа.

Може да се аутентифицирате по ключовете ГОСТ Р 34.10-2012 (дължини 256 или 512 бита) или остарелия ГОСТ Р 34.10-2001.

Не е нужно да се притеснявате за безопасността на ключовете – те се генерират директно в Рутокена и никога не напускат паметта му по време на криптографските операции.

Рутокен ЕЦП 2.0 е сертифициран от ФСБ и ФСТЭК по НДВ 4, поради което може да се използва в информационни системи, обработващи конфиденциална информация.

Практическо приложение

Подходящ е почти всеки съвременен Linux, за пример ще използваме xUbuntu 18.10.

1) Инсталирайте необходимите пакети

sudo apt-get install libccid pcscd opensc
Ако искате да добавите блокиране на работния плот със скринсейвър – допълнително инсталирайте пакета libpam-pkcs11.

2) Добавете PAM модул с поддръжка на ГОСТ

Заредете библиотеката с https://download.rutoken.ru/Rutoken/PAM/
Копирайте съдържанието на папката PAM librtpam.so.1.0.0 в системната папка.
/usr/lib/ или /usr/lib/x86_64-linux-gnu/или /usr/lib64

3) Инсталирайте пакета с librtpkcs11ecp.so

Заредете и инсталирайте DEB- или RPM-пакета по връзката: https://www.rutoken.ru/support/download/pkcs/

4) Проверете дали Рутокен ЕЦП 2.0 работи в системата

В терминала изпълнете
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -T
Ако видите реда Rutoken ECP – значи всичко е наред.

5) Прочетете сертификата

Проверете дали на устройството има сертификат
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O
Ако след реда:
Using slot 0 with a present token (0x0)

се извежда информация за ключовете и сертификатите, трябва да прочетете сертификата и да го запазите на диска. За целта изпълнете следната команда, където вместо {id} трябва да замените с ID на сертификата, който сте видели в изхода на предишната команда:
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -r -y cert --id {id} --output-file cert.crt
Ако файлът cert.crt е създаден, преминете към точка 6).
нищо не е, значи устройството е празно. Свържете се с администратора или създайте ключове и сертификат сами, следвайки следващата точка.

5.1) Създайте тестови сертификат

Внимание! Описаните методи за създаване на ключове и сертификати са предназначени за тестване и не са подходящи за работа в боеви условия. За това трябва да използвате ключове и сертификати, издадени от доверен сертификационен център на вашата организация или акредитиран удостоверяващ център.
PAM модулът е създаден да защитава локални компютри и предвижда работа в малки организации. Тъй като потребителите са малко, Администраторът може сам да следи за отзоваването на сертификати и ръчно да блокира акаунти, както и за срока на действие на сертификатите. PAM модулът все още не може да проверява сертификати по CRL и да изгражда вериги на доверие.

Простият път (чрез браузър)

За получаване на тестов сертификат използвайте веб-сервиза "Център за регистрация Рутокен". Процесът ще отнеме не повече от 5 минути.

Пътят на гика (чрез конзола и, възможно, компилатор)

Проверете версията на OpenSC
$ opensc-tool --version
Ако версията е по-малка от 0.20, обновете или компилирайте клон pkcs11-tool с поддръжка на ГОСТ-2012 от нашия GitHub (в момента на публикуването на тази статия, версия 0.20 все още не е издадена) или от основния клон на проекта OpenSC не по-късно от комита 8cf1e6f

Генерираме ключова двойка с параметри:
--key-type: GOSTR3410-2012-512:A (ГОСТ-2012 512 бита с параметри A), GOSTR3410-2012-256:A (ГОСТ-2012 256 бита с параметри A)

--id: идентификатор на обект (CKA_ID) под формата на двуцифрени номера от символи в hex от таблицата ASCII. Използвайте само ASCII кодове на печатни символи, тъй като id трябва да бъде предаден на OpenSSL под формата на низ. Например, ASCII кодовете “3132” отговарят на низа «12». За удобство, можете да използвате онлайн услугата за конвертиране на низ в ASCII кодове.

$ ./pkcs11-tool --module /usr/lib/librtpkcs11ecp.so --keypairgen --key-type GOSTR3410-2012-512:A -l --id 3132

Следващата стъпка е да създадем сертификат. По-долу ще бъдат описани два пътя: първият през УЦ (ще използваме тестови УЦ), вторият – самоподписан. За това първо трябва да инсталираме и настроим OpenSSL версия 1.1 или по-нова за работа с Рутокен чрез специалния модул rtengine, следвайки инструкциите Инсталиране и настройка на OpenSSL.
Например: за ‘--id 3132’ в OpenSSL трябва да посочите "pkcs11:id=12«.

Можете да се възползвате от услугите на тестов УЦ, от които има много, например, ето, ето и ето, за да създадете заявка за сертификат

Друг вариант – можете да проявите мързел и да създадете самоподписан
$ openssl req -utf8 -new -keyform engine -key "pkcs11:id=12" -engine rtengine -out req.csr

Качвате сертификата на устройството
$ openssl req -utf8 -x509 -keyform engine -key "pkcs11:id=12" -engine rtengine -out cert.cer

6) Регистрирате сертификата в системата

Уверете се, че вашият сертификат изглежда като base64 файл:

Ако вашият сертификат изглежда така:

то трябва да конвертирате сертификата от формат DER в PEM формат (base64)

$ openssl x509 -in cert.crt -out cert.pem -inform DER -outform PEM
Отново проверяваме, че сега всичко е в ред.

Добавяме сертификат в списъка на доверените сертификати
$ mkdir ~/.eid $ chmod 0755 ~/.eid $ cat cert.pem >> ~/.eid/authorized_certificates $ chmod 0644 ~/.eid/authorized_certificates
Последният ред защитава списъка на доверените сертификати от случайни или умишлени промени от други потребители. Това изключва ситуация, при която някой да добави своя сертификат и да може да влезе в системата от ваше име.

7) Настройваме удостоверяване

Настройката на нашия PAM модул е напълно стандартна и се прави точно както настройките на другите модули. Създаваме в файла /usr/share/pam-configs/rutoken-gost-pam пълното име на модула, дали е включен по подразбиране, приоритета на модула и параметрите на удостоверяване.
В параметрите за удостоверяване има изисквания за успешност на операцията:

required (задължителен): такива модули трябва да върнат положителен отговор. Ако резултатът от извикването на модула съдържа отрицателен отговор, това ще доведе до грешка при удостоверяване. Заявката ще бъде отменена, но останалите модули ще бъдат извикани.
requisite (необходим): подобно на required, но веднага води до провал на удостоверяването и игнорира останалите модули.
sufficient (достатъчен): ако пред такъв модул не е имало модул от required или sufficient, който да е върнал отрицателен резултат, то модулът ще върне положителен отговор. Останалите модули ще бъдат игнорирани.
optional (опционален): ако в стека няма модули от required и никой от модулите sufficient не е върнал положителен резултат, то поне един от модулите optional трябва да върне положителен отговор.

Пълното съдържание на файла /usr/share/pam-configs/rutoken-gost-pam:
Име: Rutoken PAM GOST По подразбиране: да Приоритет: 800 Auth-Type: Основен Auth: достатъчен /usr/lib/librtpam.so.1.0.0 /usr/lib/librtpkcs11ecp.so

запазваме файла, след което изпълняваме
$ sudo pam-auth-update
в появилото се окно слагаме звездичка до Rutoken PAM GOST и натискаме OK

8) Проверяваме настройката

За да разберем, че всичко е настроено, но не губим възможността за влизане в системата, въведете командата
$ sudo login
Въведете име на потребителя. Всичко е настроено правилно, ако системата изисква ПИН-код на устройството.

9) Настройваме заключване на компютъра при извличане на токена

В състава на пакета libpam-pkcs11 влиза утилитата pkcs11_eventmgr, която позволява извършването на различни действия при възникване на събития PKCS#11.
За настройване на pkcs11_eventmgr служи конфигурационния файл: /etc/pam_pkcs11/pkcs11_eventmgr.conf
За различни дистрибуции на Линукс, командата която извиква заключване на акаунта при извличане на смарт-карти или токена ще бъде различна. Виж. event card_remove.
Примерен файл за конфигурация е представен по-долу:

pkcs11_eventmgr
{
    # Стартиране във фонов режим
    daemon = true;
     
    # Настройка на отладъчни съобщения
    debug = false;
 
    # Време за опит в секунди
    polling_time = 1;
 
    # Установяване на таймаут за изтриване на картата
    # По подразбиране 0
    expire_time = 0;
 
    # Избор на pkcs11 библиотека за работа с Рутокен
    pkcs11_module = usr/lib/librtpkcs11ecp.so;
 
    # Действия с картата
    # Картата е вкарана:
    event card_insert {
        # Оставяме стойностите по подразбиране (нищо не се случва)
        on_error = ignore ;
 
        action = "/bin/false";
    }
 
    # Картата е извадена
    event card_remove {
        on_error = ignore;
         
        # Извикваме функция за заключване на екрана
        
        # За GNOME 
        action = "dbus-send --type=method_call --dest=org.gnome.ScreenSaver /org/gnome/ScreenSaver org.gnome.ScreenSaver.Lock";
        
        # За XFCE
        # action = "xflock4";
        
        # За Astra Linux (FLY)
        # action = "fly-wmfunc FLYWM_LOCK";
    }
 
    # Картата е извадена за дълго време
    event expire_time {
        # Оставяме стойностите по подразбиране (нищо не се случва)
        on_error = ignore;
 
        action = "/bin/false";
    }
}

След това добавете приложението pkcs11_eventmgr в автоматичното стартиране. За целта редактирайте файла .bash_profile:
$ nano /home//.bash_profile
Добавете в края на файла реда pkcs11_eventmgr и рестартирайте.

Описаните стъпки за настройка на операционната система могат да бъдат използвани като инструкция в всеки съвременен дистрибутив на Linux, включително и родни.

Заключение

ПКомпютрите с Linux в руските държавни структури стават все по-популярни, а да се настрои надеждна двуфакторна автентикация в тази ОС не винаги е лесно. Ще се радваме с това ръководство да помогнем да се реши "проблемът с паролите" и да защитим достъпа до компютъра, без да инвестираме много време.

Източник: habr.com