{"id":101355,"date":"2021-09-21T16:22:37","date_gmt":"2021-09-21T14:22:38","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/google-opublikoval-hiba-nadstrojku-nad-openssh-dlya-avtorizaczii-na-osnove-sertifikatov"},"modified":"2021-09-21T16:22:37","modified_gmt":"2021-09-21T14:22:38","slug":"google-opublikoval-hiba-nadstrojku-nad-openssh-dlya-avtorizaczii-na-osnove-sertifikatov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/google-opublikoval-hiba-nadstrojku-nad-openssh-dlya-avtorizaczii-na-osnove-sertifikatov","title":{"rendered":"Google a publi\u00e9 HIBA, une surcouche \u00e0 OpenSSH pour l'authentification bas\u00e9e sur des certificats","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La soci\u00e9t\u00e9 Google a publi\u00e9 le code source du projet HIBA (Host Identity Based Authorization), qui propose la mise en \u0153uvre d'un m\u00e9canisme suppl\u00e9mentaire d'autorisation pour organiser l'acc\u00e8s des utilisateurs via SSH en lien avec les h\u00f4tes (v\u00e9rification, acc\u00e8s autoris\u00e9 ou non \u00e0 une ressource sp\u00e9cifique lors de l'authentification par cl\u00e9s publiques). L'int\u00e9gration avec OpenSSH est assur\u00e9e en sp\u00e9cifiant le gestionnaire HIBA dans la directive AuthorizedPrincipalsCommand dans \/etc\/ssh\/sshd_config. Le code du projet est \u00e9crit en C et distribu\u00e9 sous licence BSD. <\/p>\n

HIBA utilise les m\u00e9canismes d'authentification bas\u00e9s sur des certificats d'OpenSSH pour une gestion flexible et centralis\u00e9e de l'autorisation des utilisateurs en lien avec les h\u00f4tes, sans n\u00e9cessiter le changement p\u00e9riodique des fichiers authorized_keys et authorized_users du c\u00f4t\u00e9 des h\u00f4tes auxquels on se connecte. Au lieu de stocker des listes de cl\u00e9s publiques autoris\u00e9es et de conditions d'acc\u00e8s dans les fichiers authorized_(keys|users), HIBA int\u00e8gre les informations de liaison des utilisateurs aux h\u00f4tes directement dans les certificats eux-m\u00eames. En particulier, des extensions pour les certificats d'h\u00f4tes et de utilisateurs sont propos\u00e9es, o\u00f9 sont stock\u00e9s les param\u00e8tres des h\u00f4tes et les conditions d'acc\u00e8s pour les utilisateurs. <\/p>\n

La v\u00e9rification du c\u00f4t\u00e9 de l'h\u00f4te est initi\u00e9e par l'appel du gestionnaire hiba-chk, sp\u00e9cifi\u00e9 dans la directive AuthorizedPrincipalsCommand. Ce gestionnaire d\u00e9code les extensions int\u00e9gr\u00e9es dans les certificats et, sur cette base, prend la d\u00e9cision d'accorder ou de bloquer l'acc\u00e8s. Les r\u00e8gles d'acc\u00e8s sont d\u00e9finies de mani\u00e8re centralis\u00e9e au niveau de l'autorit\u00e9 de certification (CA) et int\u00e9gr\u00e9es dans les certificats au moment de leur g\u00e9n\u00e9ration. <\/p>\n

Du c\u00f4t\u00e9 de l'autorit\u00e9 de certification, une liste g\u00e9n\u00e9rale des privil\u00e8ges disponibles (h\u00f4tes auxquels la connexion est autoris\u00e9e) et une liste des utilisateurs autoris\u00e9s \u00e0 utiliser ces privil\u00e8ges sont maintenues. Pour g\u00e9n\u00e9rer des certificats sign\u00e9s avec des informations int\u00e9gr\u00e9es sur les privil\u00e8ges, un utilitaire hiba-gen est propos\u00e9, et la fonctionnalit\u00e9 n\u00e9cessaire \u00e0 la cr\u00e9ation d'une autorit\u00e9 de certification a \u00e9t\u00e9 transf\u00e9r\u00e9e dans le script iba-ca.sh. <\/p>\n

Lors de la connexion d'un utilisateur, les autorisations sp\u00e9cifi\u00e9es dans le certificat sont confirm\u00e9es par la signature num\u00e9rique de l'autorit\u00e9 de certification, ce qui permet d'effectuer toutes les v\u00e9rifications enti\u00e8rement du c\u00f4t\u00e9 de l'h\u00f4te cible, sans faire appel \u00e0 des services externes. La liste des cl\u00e9s publiques de l'autorit\u00e9 de certification qui valide les certificats SSH est indiqu\u00e9e par la directive TrustedUserCAKeys. <\/p>\n

En plus de l'attribution directe des utilisateurs aux h\u00f4tes, HIBA permet de d\u00e9finir des r\u00e8gles d'acc\u00e8s plus flexibles. Par exemple, des informations telles que la localisation et le type de service peuvent \u00eatre associ\u00e9es aux h\u00f4tes, et lors de la d\u00e9finition des r\u00e8gles d'acc\u00e8s des utilisateurs, il est possible d'autoriser l'acc\u00e8s \u00e0 tous les h\u00f4tes d'un certain type de service ou \u00e0 ceux situ\u00e9s \u00e0 un emplacement donn\u00e9.

\"Google<\/center>
\"Google<\/center>
\n
Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0435 \u0442\u0435\u043a\u0441\u0442\u044b \u043f\u0440\u043e\u0435\u043a\u0442\u0430 HIBA (Host Identity Based Authorization), \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u043e SSH \u0432 \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0435 \u043a \u0445\u043e\u0441\u0442\u0430\u043c (\u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438, \u0440\u0430\u0437\u0440\u0435\u0448\u0451\u043d \u0438\u043b\u0438 \u043d\u0435\u0442 \u0434\u043e\u0441\u0442\u0443\u043f \u043a \u043a\u043e\u043d\u043a\u0440\u0435\u0442\u043d\u043e\u043c\u0443 \u0440\u0435\u0441\u0443\u0440\u0441\u0443 \u043f\u0440\u0438 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043f\u043e \u043e\u0442\u043a\u0440\u044b\u0442\u044b\u043c \u043a\u043b\u044e\u0447\u0430\u043c). \u0418\u043d\u0442\u0435\u0433\u0440\u0430\u0446\u0438\u044f \u0441 OpenSSH \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u0435\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 \u0443\u043a\u0430\u0437\u0430\u043d\u0438\u0435 \u043e\u0431\u0440\u0430\u0431\u043e\u0442\u0447\u0438\u043a\u0430 HIBA \u0432 \u0434\u0438\u0440\u0435\u043a\u0442\u0438\u0432\u0435 AuthorizedPrincipalsCommand \u0432 \/etc\/ssh\/sshd_config. \u041a\u043e\u0434 \u043f\u0440\u043e\u0435\u043a\u0442\u0430 \u043d\u0430\u043f\u0438\u0441\u0430\u043d […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":101356,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-101355","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Google a publi\u00e9 HIBA, une extension d'OpenSSH pour l'autorisation bas\u00e9e sur des certificats | ProHoster","description":"Google a publi\u00e9 les codes sources du projet HIBA (Host Identity Based Authorization), qui propose la mise en \u0153uvre d'un m\u00e9canisme d'autorisation suppl\u00e9mentaire pour g\u00e9rer l'acc\u00e8s des utilisateurs via SSH en liaison avec.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/google-opublikoval-hiba-nadstrojku-nad-openssh-dlya-avtorizaczii-na-osnove-sertifikatov","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47Google \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b HIBA, \u043d\u0430\u0434\u0441\u0442\u0440\u043e\u0439\u043a\u0443 \u043d\u0430\u0434 OpenSSH \u0434\u043b\u044f \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u043d\u0430 \u043e\u0441\u043d\u043e\u0432\u0435 \u0441\u0435\u0440\u0442\u0438\u0444\u0438\u043a\u0430\u0442\u043e\u0432 | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Google \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 \u0438\u0441\u0445\u043e\u0434\u043d\u044b\u0435 \u0442\u0435\u043a\u0441\u0442\u044b \u043f\u0440\u043e\u0435\u043a\u0442\u0430 HIBA (Host Identity Based Authorization), \u043f\u0440\u0435\u0434\u043b\u0430\u0433\u0430\u044e\u0449\u0435\u0433\u043e \u0440\u0435\u0430\u043b\u0438\u0437\u0430\u0446\u0438\u044e \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e\u0433\u043e \u043c\u0435\u0445\u0430\u043d\u0438\u0437\u043c\u0430 \u0430\u0432\u0442\u043e\u0440\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u043b\u044f \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u043f\u043e SSH \u0432 \u043f\u0440\u0438\u0432\u044f\u0437\u043a\u0435 \u043a.","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/google-opublikoval-hiba-nadstrojku-nad-openssh-dlya-avtorizaczii-na-osnove-sertifikatov","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2021-09-21T14:22:38+00:00","article:modified_time":"2021-09-21T14:22:38+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"101355","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-09-21 14:52:03","updated":"2022-10-02 02:36:14","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/101355","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=101355"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/101355\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/101356"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=101355"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=101355"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=101355"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}