Kaksifaktoriline autentimine saidil USB-tokeni kasutamisega. Nüüd ka Linuxile

Uues ühes meie varasemas artiklis rääkisime kahepoolsest autentimisest ettevõtteportaalides. Eelmises artiklis demonstreerisime, kuidas seadistada turvalist autentimist web-serveris IIS.

Kommentaarides paluti meid kirjutada juhend kõige levinumate web-serverite jaoks Linuxis — nginx ja Apache.

Te soovisite — me kirjutasime.

Mida on vaja, et alustada?

• Iga kaasaegne Linuxi distributsioon. Testiseade viidi läbi MX Linux 18.2_x64. See ei ole küll serveri distributsioon, kuid Debianil ei tohiks olla erilisi erinevusi. Muude distributsioonide puhul võivad raamatukogude ja konfiguratsioonifailide teed veidi erineda.
• Token. Jätkame mudeli kasutamist RUTOKEN ECP PKI, mis sobib ideaalselt kiirusnäitajate poolest ettevõtete kasutamiseks.
• Tokeniga töötamiseks Linuxis tuleb installida järgmised pakettid:
  libccid libpcsclite1 pcscd pcsc-tools opensc

Sertifikaatide väljastamine

Varasemates artiklites oleme toetunud sellele, et serveri ja kliendi sertifikaate väljastatakse Microsoft CA kaudu. Kuid kuna seadistame kõik Linuxis, räägime ka alternatiivsest viisist nende sertifikaatide väljastamiseks — ilma Linuxist lahkumata.
CA-na kasutame XCA (https://hohnstaedt.de/xca/), mis on saadaval igas kaasaegses Linuxi distributsioonis. Kõik toimingud, mida teeme XCA-s, on võimalik teha ka käsureal utiliitide OpenSSL ja pkcs11-tool abil, kuid suurema lihtsuse ja selguse huvides ei toome neid välja.

Esimene samm

1. Installime:

   $ apt-get install xca

2. Ja käivitame:

   $ xca

3. Loome oma CA andmebaasi — /root/CA.xdb
   Soovitame hoida Sertifikaadi Autoriteedi andmebaasi kaustas, millele on juurdepääs ainult administraatoril. See on oluline juursertifikaatide privaatsete võtmete kaitsmiseks, mida kasutatakse kõigi teiste sertifikaatide allkirjastamiseks.

Loome juurika CA võtmed ja sertifikaadi

Avaliku võtme infrastruktuuri (PKI) aluseks on hierarhiline süsteem. Selle süsteemi peamine koostisosa on juursertifitseerimisagentuur või root CA. Selle sertifikaat tuleb luua esimesena.

1. Loome CA jaoks RSA-2048 privaatvõtme. Selleks klõpsame vahekaardil Privaatvõtmed ja vajutame Uus võti ning valime vastava tüübi.
2. Seame nimi uuele võtmepaarile. Ma nimetasime selle – CA Key.
3. Kirjutame välja CA sertifikaadi, kasutades loodud võtmepaari. Selleks liigume vahekaardile Certificates ja vajutame Uus sertifikaat.
4. Oluline on valida SHA-256, sest SHA-1 kasutamine ei ole enam ohutu.
5. Mallina on hädavajalik valida [default] CA. Ärge unustage vajutada Rakenda kõik, muidu mall ei rakendu.
6. Sakil Teema valime meie võtmepaari. Seal saate samuti täita kõik sertifikaadi põhiväljad.

Loome HTTPS-serveri võtmed ja sertifikaadi

1. Sarnaselt loome serverile RSA-2048 privaatvõtme, ma nimetasime selle – Server Key.
2. Sertifikaadi loomisel valime, et serveri sertifikaati tuleb allkirjastada CA sertifikaadiga.
3. Ärge unustage valida SHA-256.
4. Mallina valime [default] HTTPS_server. Vajutame Rakenda kõik.
5. Pärast seda valime vahekaardil Teema meie võtme ja täidame vajalikud väljad.

Loome kasutaja võtmed ja sertifikaadi

1. Kasutaja privaatvõti salvestatakse meie tokenisse. Selle kasutamiseks on vajalik installeerida PKCS#11 teek meie veebisaidilt. Populaarsete distributsioonide jaoks pakume valmis pakette, mis asuvad siin — https://www.rutoken.ru/support/download/pkcs/. Meil on ka versioonid arm64, armv7el, armv7hf, e2k, mipso32el, mida saab meie SDK-st võtta — https://www.rutoken.ru/developers/sdk/. Lisaks Linuxi versioonidele on meil ka versioonid macOS, freebsd ja android jaoks.
2. Lisame XCA-sse uue PKCS#11 pakkuja. Selleks läheme menüüsse Valikud vahekaardile PKCS#11 pakkuja.
3. Vajutame Lisa ja valime tee PKCS#11 teeki. Minu puhul on see usrliblibrtpkcs11ecp.so.
4. Meil on vajalik vormindatud token RutuTokeni ECDSA PKI jaoks. Laadige alla utiliit rtAdmin — https://dev.rutoken.ru/pages/viewpage.action?pageId=7995615
5. Täidame

   $ rtAdmin -f -q -z /usr/lib/librtpkcs11ecp.so -u

6. Võtme tüübina valime – RSA-2048 võti RutuTokeni ECDSA PKI-l. Ma nimetasin selle võtme Client Key.

   

7. Sisestame PIN-koodi. Ja ootame riistvara võtmepaari genereerimise lõppu

   

8. Kasutaja sertifikaat luuakse analoogselt serveri sertifikaadi loomisega. Seekord valime malliks [default] HTTPS_client ja ärge unustage vajutada Rakenda kõik.
9. Sakil Teema sisestame kasutaja teabe. Sertifikaadi salvestamise päringule tokenis vastame jaatavalt.

Lõpuks peaks vahekaardil Sertifikaadid XCA-s olema umbes selline pilt.

See minimaalne võtmete ja sertifikaatide komplekt on piisav, et alustada serverite seadistamisega.

Sertifikaedia väljatootmiseks on meil vaja eksportida CA sertifikaat, serveri sertifikaat ja serveri privaatvõti.

Selleks tuleb valida vajalik kirje vastaval sakkil XCA-s ja vajutada Export.

Nginx

Kuidas nginx-serverit seadistada ja käivitada, ma siin ei kirjuta — selle kohta on internetis piisavalt artikleid, rääkimata ametlikest dokumentidest. Asume kohe HTTPS-i seadistamise ja kahefaasilise autentimise rakendamise juurde.

Lisame failisse nginx.conf sektsiooni server järgmised read:

server {
	listen 443 ssl;
	ssl_verify_depth 1;
	ssl_certificate /etc/nginx/Server.crt;
	ssl_certificate_key /etc/nginx/ServerKey.pem;
	ssl_client_certificate /etc/nginx/CA.crt;
	ssl_verify_client on;
}

Üksikasjalikku kirjeldust kõigist ssl-i seadistamise parameetritest nginx-is saab leida siit — https://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_client_certificate

Kirjeldan lühidalt neid, mida ise seadistasin:

• ssl_verify_client — näitab, et sertifikaadi usaldusväärsuse ahelat tuleb kontrollida.
• ssl_verify_depth — määrab usaldusväärse juursertifikaadi otsimise sügavuse ahelas. Kuna meie kliendi sertifikaat on kohe juursertifikaadi poolt allkirjastatud, on sügavus seadistatud — 1. Kui kasutaja sertifikaat allkirjastatakse vahepealse CA poolt, tuleb seda parameetrit seada 2, jne.
• ssl_client_certificate — näitab teed usaldusväärse juursertifikaadini, mida kasutatakse kasutaja sertifikaadi usaldusväärsuse kontrollimiseks.
• ssl_certificate/ssl_certificate_key — näitavad teed sertifikaadini/servers puuduvusesse.

Ärge unustage käivitada nginx -t, et kontrollida, kas konfiguratsioonis pole trükivigu ning kõik failid asuvad õigel kohal ja nii edasi.

Ja tegelikult on kõik! Nagu näete, on seadistus väga lihtne.

Kontrollime tööd Firefoxis

Kuna teeme kõik täielikult Linuxis, arvestame, et ka meie kasutajad töötavad Linuxis (kui neil on Windows, siis vt eelneva artikli juhendit brauserite seadistamiseks.

1. Käivitame Firefoxi.
2. Proovime alguses sisse logida ilma tokenita. Saame sellise pildi:

   

3. Minge aadressile about:preferences#privacy, ja läheme Security Devices…
4. Vajutame Laadi, et lisada uus PKCS#11 seadme draiver ja määrake tee meie librtpkcs11ecp.so.
5. Sertifikaadi tuvastamise kontrollimiseks võite minna Sertifikaatide haldurisse. Kuvatakse parooli sisestamise nõue. Pärast korrektset sisestamist saab kontrollida, et vahekaart Teie sertifikaadid on meie tokenilt saanud sertifikaadi.
6. Nüüd logime sisse tokeniga. Firefox pakub valima sertifikaati, mis valitakse serveris. Valime meie sertifikaadi.

   

7. PROFIT!

   

Seade tehakse üks kord ja nagu näha sertifikaadi taotlemise aknas saame oma valiku salvestada. Pärast seda peame iga kord portaali sisenedes lihtsalt sisestama tokeni ja kasutaja PIN-koodi, mis oli määratud vormindamise ajal. Pärast sellist autentimist teab server, kes on sisse loginud ja ei ole vaja rohkem täiendavaid aknaid kontrollimiseks, vaid päästame kasutaja kohe tema isiklikku kabinetti.

Apache

Nii nagu nginxiga, ei tohiks apache installimisega kellelgi probleeme esineda. Kui te ei tea, kuidas seda veebiserverit installida, kasutage lihtsalt ametlikku dokumentatsiooni.

Aga me alustame HTTPS-i ja kahefaktorilise autentimise seadistamist:

1. Kõigepealt peame aktiveerima mod_ssl:

   $ a2enmod ssl

2. Ja seejärel lubama saidi vaikimisi HTTPS seadistused:

   $ a2ensite default-ssl

3. Nüüd redigeerime konfiguratsioonifaili: /etc/apache2/sites-enabled/default-ssl.conf:

       SSLEngine on
       SSLProtocol all -SSLv2
   
       SSLCertificateFile	/etc/apache2/sites-enabled/Server.crt
       SSLCertificateKeyFile /etc/apache2/sites-enabled/ServerKey.pem
   
       SSLCACertificateFile /etc/apache2/sites-enabled/CA.crt
   
       SSLVerifyClient require
       SSLVerifyDepth  10

   Nagu näete, parametrite nimed praktiliselt kattuvad nginx-i omadustega, seetõttu ei hakka ma neid selgitama. Taas — kellele huvi pakub, on dokumentatsioon avatud.
   Nüüd taaskäivitage meie server:

   $ service apache2 reload
   $ service apache2 restart

Nagu näete, on kahefaktorilise autentimise seadistamine igasugustes veebiserverites, olgu need Windows või Linux, maksimaalselt ühe tunni töö. Brauserite seadistamine võtab aega umbes 5 minutit. Paljud arvavad, et kahefaktorilise autentimise seadistus ja töö on keeruline ja arusaamatu. Loodan, et meie artikkel vähemalt veidi, kuid murendab seda müüti.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Kas on vajalik juhend TLS-i seadistamiseks sertifikaatidega ГОСТ 34.10-2012:

• Jah, TLS-GOST on väga vajalik

• Ei, seadistamine ГОСТ-algoritmidega ei huvita

Hääletas 44 kasutajat. Eemale jäi 9 kasutajat.

Allikas: habr.com