Google avaldas HIBA, OpenSSH-le sertifikaatide põhjal autoriseerimise plugin

Google avaldas HIBA (Host Identity Based Authorization) projekti allikaine, mis pakub välja täiendava autoriseerimise mehhanismi, et korraldada kasutajate juurdepääsu SSH kaudu seotud hostidele (kontrollid, kas teatud ressurssidele on juurdepääs lubatud või mitte autentimise käigus avatud võtmete abil). Integreerimine OpenSSH-ga tagatakse, märkides HIBA töötlejat autoriseerimisdirektiivis AuthorizedPrincipalsCommand failis /etc/ssh/sshd_config. Projekti kood on kirjutatud C keeles ja levitatakse BSD litsentsi alusel.

HIBA kasutab OpenSSH sertifikaatide baasil autentimise tavapäraseid mehhanisme, et võimaldada paindlikku ja tsentraliseeritud kasutajate autoriseerimise haldamist hostidega, kuid ei nõua selleks regulaarselt authorized_keys ja authorized_users faile hostide küljest muutmist. Selle asemel, et salvestada lubatud avalike võtmete nimekiri ja juurdepääsu tingimused failides authorized_(keys|users), integreerib HIBA kasutajate sidumise teabe otse sertifikaatidesse. Eelkõige on välja pakutud pikendused hosti ja kasutaja sertifikaatide jaoks, kus hoitakse hostide parameetreid ja kasutajate juurdepääsu tingimusi.

Hosti külgedelt algatatakse kontroll hiba-chk töötleja kutsumise kaudu, mis on määratud AutorizedPrincipalsCommand direktiivis. See töötleja dekodeerib sertifikaatidesse integreeritud pikendused ja nende põhjal teeb otsuse juurdepääsu andmise või blokeerimise kohta. Juurdepääsureeglid määratakse tsentraliseeritult tunnustusasutuse (CA) tasandil ja integreeritakse sertifikaatidesse nende genereerimise etapis.

Tunnustusasutuse poolel hoitakse ühist nimekirja saadaval olevatest õigustest (hostidest, millele on lubatud ühenduda) ja kasutajatest, kellele on lubatud nende õiguste kasutamine. Zaveritud sertifikaatide genereerimiseks, millele on integreeritud teave õiguste kohta, on pakutud tööriist hiba-gen, ja vajalik funktsionaalsus tunnustusasutuse loomiseks on viidud skripti iba-ca.sh.

Kasutaja ühendamisel kinnitatakse sertifikaatides märgitud volitused sertifitseerimiskeskuse digitaalse allkirjaga, mis võimaldab kõiki kontrollimisi täielikult teha sihthostis, kuhu ühenduvad, ilma välistesse teenustesse pöördumata. Sertifikaate SSH sertifikaatide allkirjastava sertifitseerimiskeskuse avalike võtmete loetelu antakse TrustedUserCAKeys direktiivi kaudu.

Lisaks kasutajate otsesele sidumisele hostidega võimaldab HIBA määrata paindlikumaid juurdepääsureegleid. Näiteks saab hostidele siduda teavet nagu asukoht ja teenuse tüüp, ning kasutajate juurdepääsureeglite määramisel lubada ühendusi kõigi hostidega, millel on määratud teenuse tüüp või hostidega antud asukohas.

Allikas: opennet.ru