Kahe faktori autentimine saidil USB-tokeniga. Nüüd ka Linuxile

V ühe meie varasema artikli me rääkisime kahefaktorilise autentimise olulisusest ettevõtete portaalides. Eelmises osas näitasime, kuidas seadistada turvalist autentimist web-serveris IIS.

Kommentaarides paluti meil kirjutada juhend kõige levinumate web-serverite kohta Linuxis — nginx ja Apache.

Te palusite — me kirjutasime.

Mis on vajalik, et alustada?

• Iga tänapäevane Linuxi distributsioon. Täitsin testseadistuse MX Linux 18.2_x64. See ei ole serveri distributsioon, kuid Debianis ei tohiks olla suuri erinevusi. Teiste distributsioonide puhul võivad teed raamatukogudeni ja konfiguratsioonifailid natuke erineda.
• Token. Jätkame mudeli kasutamist RUToken EÜT PKI, mis sobib ideaalselt kiirusnäitajate poolest ärikasutuseks.
• Tokeniga töötamiseks Linuxis on vajalik paigaldada järgmised paketid:
  libccid libpcsclite1 pcscd pcsc-tools opensc

Sertifikaatide väljastamine

Eelnevates artiklites tuginesime sellele, et serveri ja kliendi sertifikaadid väljastatakse Microsoft CA abil. Kuid kuna seadistame kõike Linuxis, räägime ka alternatiivsest viisist nende sertifikaatide väljastamiseks — jäädes Linuxisse.
CA-na kasutame XCA (https://hohnstaedt.de/xca/), mis on saadaval igas kaasaegses Linuxi jaotuses. Kõiki toiminguid, mida teeme XCA-s, saab teha ka käsurea režiimis OpenSSL ja pkcs11-tool utiliitide abil, kuid lihtsuse ja selguse huvides ei too me neid artiklis välja.

Alustamine

1. Installime:

   $ apt-get install xca

2. Ja käivitame:

   $ xca

3. Loome oma CA andmebaasi — /root/CA.xdb
   Soovitame hoida Certificate Authority andmebaasi kaustas, kuhu pääseb ligi ainult administraator. See on tähtis, et kaitsta kõiki teisi sertifikaate allkirjastavate juuresolevate sertifikaatide privaatvõtmeid.

Loome juure CA võtmed ja sertifikaadi

Ava võtmete infrastruktuur (PKI) tugineb hierarhilisele süsteemile. Selle süsteemi peamine osa on juursertifikaadi Keskus või root CA. Tema sertifikaat tuleb luua esimesena.

1. Loome CA jaoks RSA-2048 privaatvõtme. Selleks valige vahekaart Privaatvõtmed vajutame Uus võti ja valime vastava tüübi.
2. Määrame nime uuele võtme paarile. Mina nimetasime selle CA võtmekseks.
3. Kandke vigade jaoks välja CA sertifikaat, kasutades loodud võtme paari. Selleks liigume vahekaardile Sertifikaadid ja vajutame Uus sertifikaat.
4. Kohustuslik valime SHA-256, kuna SHA-1 kasutamine ei ole enam ohutu.
5. Kohustuslik valime malliks [default] CA. Ärge unustage vajutada Rakenda kõik, muidumall ei rakendu.
6. Vahekaardil Teema valime meie võtme paari. Seal saate täita kõik peamised sertifikaadi väljad.

Loome HTTPS-serveri võtmed ja sertifikaadi

1. Samasuguse viisiga loome serverile RSA-2048 privaatvõtme, mina nimetasime selle Server Key.
2. Sertifikaadi loomisel valime, et serveri sertifikaat tuleb allkirjastada CA sertifikaadiga.
3. Ärge unustage valida SHA-256.
4. Mallina valime [default] HTTPS_server. Klõpsame Rakenda kõik.
5. Pärast seda valitseme vahekaardil Teema valime meie võtme ja täidame vajalikud väljad.

Loome kasutaja jaoks võtmed ja sertifikaadi

1. Kasutaja privaatvõti salvestatakse meie tokenisse. Selle kasutamiseks tuleb installida PKCS#11 teek meie veebisaidilt. Levitame valmis pakette populaarsete pistetega, mis asuvad siin — https://www.rutoken.ru/support/download/pkcs/. Meil on ka kogumikud arm64, armv7el, armv7hf, e2k, mipso32el, mida saab meie SDK-st — https://www.rutoken.ru/developers/sdk/. Lisaks Linuxi kogumikele on olemas ka kogumikud macOS, freebsd ja androidi jaoks.
2. Lisame uue PKCS#11 teenusepakkuja XCA-sse. Selleks läheme menüüsse Valikud vahekaardile PKCS#11 teenusepakkuja.
3. Kli klikime Lisa ja valime tee PKCS#11 teegi juurde. Minu puhul on see usrliblibrtpkcs11ecp.so.
4. Me vajame vormindatud Ruutoken ECP PKI tokenit. Laadige alla utiliit rtAdmin — https://dev.rutoken.ru/pages/viewpage.action?pageId=7995615
5. Täidame

   $ rtAdmin -f -q -z /usr/lib/librtpkcs11ecp.so -u

6. Klavi tüübi valimisel valime — RSA-2048 võti Ruutoken ECP PKI-l. Ma nimetasime selle võtme Client Key.

   

7. Sisestame PIN-koodi. Ja ootame, kuni seadme genereerimine on lõppenud võtmepaari jaoks.

   

8. Kasutajale sertifikaat luuakse sarnaselt serveri sertifikaadiga. Seekord valime malliks [default] HTTPS_client ja ärge unustage vajutada Rakenda kõik.
9. Vahekaardil Teema sisestame kasutaja teabe. Sertifikaadi salvestamise tokenile vastame afirmatiivselt.

Lõppkokkuvõttes peaks XCA-s vahekaardil olema umbes selline pilt. Sertifikaadid XCA-s peaks olema umbes selline pilt.

Selle minimaalne võtmete ja sertifikaatide kogum on piisav, et alustada serverite seadistamist.

Seadistamiseks peame eksportima CA sertifikaadi, serveri sertifikaadi ja serveri privaatsüüdimuse.

Selleks tuleb vastaval vahekaardil valida vajalik kirje XCA-s ja vajutada Export.

Nginx

Kuidas installida ja käivitada nginx-serverit, ma ei kirjuta — selle teema kohta on internetis piisavalt artikleid, rääkimata ametlikest dokumentidest. Siirdume kohe HTTPS-i seadistamise ja kahefaktori autentimise juurde.

Lisame nginx.conf faili serveri sektsiooni järgmised read:

server {
	listen 443 ssl;
	ssl_verify_depth 1;
	ssl_certificate /etc/nginx/Server.crt;
	ssl_certificate_key /etc/nginx/ServerKey.pem;
	ssl_client_certificate /etc/nginx/CA.crt;
	ssl_verify_client on;
}

Kooli kõik SSL seadistamise parameetrite üksikasjalikud kirjeldused leiate siit — https://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_client_certificate

Kirjeldan lühidalt vaid neid, mida ise seadistasin:

• ssl_verify_client — näitab, et sertifikaadi usaldusväärsus peab olema kontrollitud.
• ssl_verify_depth — määrab usaldusväärse juursertifikaadi otsingu sügavuse ahelas. Kuna meie kliendi sertifikaat on kohe allkirjastatud juursertifikaadiga, siis on sügavus seatud — 1. Kui kasutaja sertifikaat on allkirjastatud vahe-CA poolt, siis tuleb selle parameetri väärtuseks panna 2 ja nii edasi.
• ssl_client_certificate — näitab usaldusväärse juursertifikaadi teed, mida kasutatakse kasutaja sertifikaadi usaldusväärsuse kontrollimisel.
• ssl_certificate/ssl_certificate_key — näitavad serveri sertifikaadi/privaatse võtme teed.

Ärge unustage käivitada nginx -t, et kontrollida, et konfiguratsioonis pole trükivigu, kõik failid asuvad õiges kohas jne.

Ja tegelikult kõik! Nagu näete, on seadistamine väga lihtne.

Kontrollime tööd Firefoxis

Kuna me teeme kõik täielikult Linuxis, siis oletame, et ka meie kasutajad töötavad Linuxis (kui neil on Windows, siis vt eelnevas artiklis brauserite seadistamise juhendit.

1. Käivitame Firefoxi.
2. Proovime alguses siseneda ilma tokenita. Saame sellise pildi:

   

3. Siseneme aadressile about:preferences#privacy, ja läheme Security Devices…
4. Kli klikime Load, et lisada uus PKCS#11 seadmepettekandja ja näidata teed meie librtpkcs11ecp.so-le.
5. Sertifikaadi nähtavuse kontrollimiseks minge aadressile Certificate Manager. Ilmub PIN-koodi sisestamise taotlus. Pärast õiget sisestamist saab kontrollida, et vahekaardil Your Certificates on meie sertifikaat tokenilt ilmunud.
6. Nüüd logime sisse tokeniga. Firefox pakub valida sertifikaadi, mis valitakse serveris. Valime meie sertifikaadi.

   

7. PROFIT!

   

Seadistus tehakse üks kord, ja nagu näha sertifikaadi taotlemise aknas, saame oma valiku salvestada. Pärast seda tuleb iga kord portaalile sisenemisel vaid token sisestada ja kasutaja PIN-kood, mis oli määratud vormindamise ajal, sisse kirjutada. Pärast sellist autentimist teab server juba, milline kasutaja on sisse loginud ja ei ole enam vaja lisakaste kontrollimiseks, vaid saab kohe suunata kasutaja tema isiklikku kabinetti.

Apache

Nii nagu nginxiga ei tohiks keegi apache'i paigaldamisega probleeme kogeda. Kui te ei tea, kuidas seda veebiserverit paigaldada, kasutage lihtsalt ametlikku dokumentatsiooni.

Asume HTTPSe ja kahefaktorilise autentimise seadistamise juurde:

1. Esiteks tuleb aktiveerida mod_ssl:

   $ a2enmod ssl

2. Ja seejärel lülitage sisse saidi HTTPS-seaded:

   $ a2ensite default-ssl

3. Nüüd muuda konfiguratsioonifaili: /etc/apache2/sites-enabled/default-ssl.conf:

       SSLEngine on
       SSLProtocol all -SSLv2
   
       SSLCertificateFile	/etc/apache2/sites-enabled/Server.crt
       SSLCertificateKeyFile /etc/apache2/sites-enabled/ServerKey.pem
   
       SSLCACertificateFile /etc/apache2/sites-enabled/CA.crt
   
       SSLVerifyClient require
       SSLVerifyDepth  10

   Kuidas näha, parameetrite nimetused on praktiliselt samad kui nginx-is, seega ei vaja ma nende selgitamist. Jällegi, kellel on huvi üksikasjade vastu — olete dokumentatsioonis oodatud.
   Nüüd taaskäivitage meie server:

   $ service apache2 reload
   $ service apache2 restart

Kuidas näha, kahefaasilise autentimise seadmine igasugusele veebiserverile, nii Windowsis kui ka Linuxis, võtab maksimaalselt tunni. Brauserite seadmine kestab umbes 5 minutit. Paljud arvavad, et kahefaasilise autentimise seadmine ja kasutamine on keeruline ja arusaamatu. Lootuses, et meie artikkel vähemalt osaliselt murendab seda müüti.

Ainult registreeritud kasutajad saavad küsitluses osaleda. Logige sisse, palun.

Kas on vajalik juhend TLS-i seadistamiseks GOST 34.10-2012 sertifikaatidega:

• Jah, TLS-GOST on tõesti vajalik

• Ei, GOST-algoritmidega seadmine ei huvita

44 kasutajat hääletas. 9 kasutajat jäid erapooletuks.

Allikas: habr.com