ორფაქტორიანი ავთენტიფიკაცია საიტზე USB ტოკენის გამოყენებით. ახლა ასევე Linux-ისთვის

В ჩვენი ერთ-ერთი წინა სტატია ჩვენ ვისაუბრეთ კომპანიების კორპორატიულ პორტალებზე ორფაქტორიანი ავთენტიფიკაციის მნიშვნელობაზე. ბოლო დროს ჩვენ ვაჩვენეთ როგორ დავაყენოთ უსაფრთხო ავტორიზაცია IIS ვებ სერვერზე.

კომენტარებში გვთხოვეს დაგვეწერა ინსტრუქციები Linux-ისთვის ყველაზე გავრცელებული ვებ სერვერებისთვის - nginx და Apache.

თქვენ იკითხეთ - დავწერეთ.

რა გჭირდებათ დასაწყებად?

• ნებისმიერი თანამედროვე Linux დისტრიბუცია. მე გავაკეთე ტესტის დაყენება MX Linux 18.2_x64-ზე. ეს, რა თქმა უნდა, არ არის სერვერის განაწილება, მაგრამ ნაკლებად სავარაუდოა, რომ რაიმე განსხვავებები იყოს Debian-ისთვის. სხვა განაწილებისთვის, კონფიგურაციის ბიბლიოთეკების ბილიკები შეიძლება ოდნავ განსხვავდებოდეს.
• Ნიშანი. ჩვენ ვაგრძელებთ მოდელის გამოყენებას რუტოკენი EDS PKI, რომელიც იდეალურია კორპორატიული გამოყენებისთვის სიჩქარის მახასიათებლების თვალსაზრისით.
• Linux-ში ტოკენთან მუშაობისთვის, თქვენ უნდა დააინსტალიროთ შემდეგი პაკეტები:
  libccid libpcsclite1 pcscd pcsc-tools opensc

სერთიფიკატების გაცემა

წინა სტატიებში ჩვენ ვეყრდნობოდით იმ ფაქტს, რომ სერვერისა და კლიენტის სერთიფიკატები გაიცემა Microsoft CA-ს გამოყენებით. მაგრამ რადგან ჩვენ ყველაფერს ვაყენებთ Linux-ში, ჩვენ ასევე გეტყვით ამ სერთიფიკატების გაცემის ალტერნატიულ გზაზე - Linux-ის დატოვების გარეშე.
ჩვენ გამოვიყენებთ XCA როგორც CA (https://hohnstaedt.de/xca/), რომელიც ხელმისაწვდომია Linux-ის ნებისმიერ დისტრიბუციაზე. ყველა ქმედება, რომელსაც ჩვენ შევასრულებთ XCA-ში, შეიძლება შესრულდეს ბრძანების ხაზის რეჟიმში OpenSSL და pkcs11-ინსტრუმენტების გამოყენებით, მაგრამ მეტი სიმარტივისა და სიცხადისთვის მათ ამ სტატიაში არ წარმოვადგენთ.

ნაცნობობა

1. Დაინსტალირება:

   $ apt-get install xca

2. და ჩვენ გავრბივართ:

   $ xca

3. ჩვენ ვქმნით ჩვენს მონაცემთა ბაზას CA - /root/CA.xdb
   ჩვენ გირჩევთ, შეინახოთ სერტიფიკატის ავტორიტეტის მონაცემთა ბაზა საქაღალდეში, სადაც მხოლოდ ადმინისტრატორს აქვს წვდომა. ეს მნიშვნელოვანია root სერთიფიკატების პირადი გასაღებების დასაცავად, რომლებიც გამოიყენება ყველა სხვა სერტიფიკატის ხელმოწერისთვის.

შექმენით გასაღებები და root CA სერთიფიკატი

საჯარო გასაღების ინფრასტრუქტურა (PKI) დაფუძნებულია იერარქიულ სისტემაზე. ამ სისტემაში მთავარია root სერტიფიცირების ორგანო ან root CA. ჯერ მისი სერთიფიკატი უნდა შეიქმნას.

1. ჩვენ ვქმნით RSA-2048 პირად გასაღებს CA-სთვის. ამისათვის, ჩანართზე პირადი გასაღებები ბიძგი ახალი გასაღები და აირჩიეთ შესაბამისი ტიპი.
2. დააყენეთ სახელი ახალი გასაღების წყვილისთვის. მე დავარქვი CA Key.
3. ჩვენ გავცემთ თავად CA სერთიფიკატს შექმნილი გასაღების წყვილის გამოყენებით. ამისათვის გადადით ჩანართზე სერთიფიკატები და დააჭირეთ ახალი სერთიფიკატი.
4. აუცილებლად აირჩიე SHA-256, რადგან SHA-1-ის გამოყენება აღარ შეიძლება ჩაითვალოს უსაფრთხოდ.
5. აუცილებლად აირჩიეთ შაბლონად [ნაგულისხმევი] CA. არ დაგავიწყდეთ დააწკაპუნოთ მიმართეთ ყველა, წინააღმდეგ შემთხვევაში შაბლონი არ გამოიყენება.
6. ჩანართში თემატიკა აირჩიეთ ჩვენი გასაღების წყვილი. აქ შეგიძლიათ შეავსოთ სერტიფიკატის ყველა ძირითადი ველი.

გასაღებების და https სერვერის სერთიფიკატის შექმნა

1. ანალოგიურად, ჩვენ ვქმნით RSA-2048 პირად გასაღებს სერვერისთვის, მე მას ვუწოდე სერვერის გასაღები.
2. სერთიფიკატის შექმნისას ვირჩევთ, რომ სერვერის სერთიფიკატი უნდა იყოს ხელმოწერილი CA სერთიფიკატით.
3. არ დაგავიწყდეთ არჩევა SHA-256.
4. ჩვენ ვირჩევთ შაბლონად [ნაგულისხმევი] HTTPS_სერვერი. Დააკლიკეთ მიმართეთ ყველა.
5. შემდეგ ჩანართზე თემატიკა აირჩიეთ ჩვენი გასაღები და შეავსეთ საჭირო ველები.

შექმენით გასაღებები და სერთიფიკატი მომხმარებლისთვის

1. მომხმარებლის პირადი გასაღები შეინახება ჩვენს ჟეტონზე. მასთან მუშაობისთვის, თქვენ უნდა დააინსტალიროთ PKCS#11 ბიბლიოთეკა ჩვენი ვებსაიტიდან. პოპულარული დისტრიბუციისთვის ჩვენ ვავრცელებთ მზა პაკეტებს, რომლებიც მდებარეობს აქ - https://www.rutoken.ru/support/download/pkcs/. ჩვენ ასევე გვაქვს ასამბლეები arm64, armv7el, armv7hf, e2k, mipso32el, რომელთა ჩამოტვირთვა შესაძლებელია ჩვენი SDK-დან - https://www.rutoken.ru/developers/sdk/. Linux-ის ასამბლეების გარდა, ასევე არის შეკრებები macOS-ისთვის, freebsd-ისთვის და android-ისთვის.
2. ახალი PKCS#11 პროვაიდერის დამატება XCA-ში. ამისათვის გადადით მენიუში პარამეტრები ჩანართამდე PKCS#11 პროვაიდერი.
3. ვაჭერთ დამატება და აირჩიეთ გზა PKCS#11 ბიბლიოთეკისკენ. ჩემს შემთხვევაში ეს არის usrliblibrtpkcs11ecp.so.
4. ჩვენ დაგვჭირდება ფორმატირებული Rutoken EDS PKI ჟეტონი. ჩამოტვირთეთ rtAdmin პროგრამა - https://dev.rutoken.ru/pages/viewpage.action?pageId=7995615
5. ჩვენ ვასრულებთ

   $ rtAdmin -f -q -z /usr/lib/librtpkcs11ecp.so -u <PIN-код пользователя>

6. ჩვენ ვირჩევთ RSA-2048 გასაღებს Rutoken EDS PKI-სთვის, როგორც გასაღების ტიპი. ამ კლავიშს დავარქვი Client Key.

   

7. შეიყვანეთ PIN კოდი. და ჩვენ ველოდებით გასაღების წყვილის ტექნიკის წარმოების დასრულებას

   

8. ჩვენ ვქმნით სერთიფიკატს მომხმარებლისთვის სერვერის სერთიფიკატის ანალოგიით. ამჯერად ვირჩევთ შაბლონს [ნაგულისხმევი] HTTPS_კლიენტი და არ დაგავიწყდეთ დააწკაპუნოთ მიმართეთ ყველა.
9. ჩანართში თემატიკა შეიყვანეთ ინფორმაცია მომხმარებლის შესახებ. ჩვენ დადებითად ვპასუხობთ მოთხოვნაზე სერთიფიკატის შესანახად ჟეტონისთვის.

შედეგად, ჩანართზე სერტიფიკატი XCA-ში უნდა მიიღოთ მსგავსი რამ.

გასაღებებისა და სერთიფიკატების ეს მინიმალური ნაკრები საკმარისია თავად სერვერების დაყენების დასაწყებად.

კონფიგურაციისთვის, ჩვენ გვჭირდება CA სერთიფიკატის, სერვერის სერთიფიკატის და სერვერის პირადი გასაღების ექსპორტი.

ამისათვის აირჩიეთ სასურველი ჩანაწერი XCA-ის შესაბამის ჩანართზე და დააწკაპუნეთ ექსპორტი.

ნინიქსი

მე არ დავწერ, თუ როგორ უნდა დააინსტალირო და გაუშვა nginx სერვერი - ინტერნეტში არის საკმარისი სტატიები ამ თემაზე, რომ აღარაფერი ვთქვათ ოფიციალურ დოკუმენტაციაზე. მოდით პირდაპირ გადავიდეთ HTTPS-ის და ორფაქტორიანი ავთენტიფიკაციის დაყენებაზე ტოკენის გამოყენებით.

დაამატეთ შემდეგი ხაზები სერვერის განყოფილებაში nginx.conf-ში:

server {
	listen 443 ssl;
	ssl_verify_depth 1;
	ssl_certificate /etc/nginx/Server.crt;
	ssl_certificate_key /etc/nginx/ServerKey.pem;
	ssl_client_certificate /etc/nginx/CA.crt;
	ssl_verify_client on;
}

nginx-ში ssl-ის კონფიგურაციასთან დაკავშირებული ყველა პარამეტრის დეტალური აღწერა შეგიძლიათ იხილოთ აქ - https://nginx.org/en/docs/http/ngx_http_ssl_module.html#ssl_client_certificate

მე მხოლოდ მოკლედ აღვწერ მათ, რაც ჩემს თავს ვკითხე:

• ssl_verify_client - განსაზღვრავს, რომ სერთიფიკატის ნდობის ჯაჭვი დამოწმებას საჭიროებს.
• ssl_verify_depth - განსაზღვრავს ძიების სიღრმეს სანდო root სერტიფიკატის ჯაჭვში. ვინაიდან ჩვენი კლიენტის სერტიფიკატი დაუყოვნებლივ ხელმოწერილია root სერტიფიკატზე, სიღრმე დაყენებულია 1-ზე. თუ მომხმარებლის სერტიფიკატი ხელმოწერილია შუალედურ CA-ზე, მაშინ ამ პარამეტრში უნდა იყოს მითითებული 2 და ა.შ.
• ssl_client_certificate - განსაზღვრავს გზას სანდო ძირეული სერტიფიკატისკენ, რომელიც გამოიყენება მომხმარებლის სერთიფიკატისადმი ნდობის შემოწმებისას.
• ssl_certificate/ssl_certificate_key - მიუთითეთ გზა სერვერის სერტიფიკატის/პირადი გასაღებისკენ.

არ დაგავიწყდეთ გაუშვათ nginx -t, რათა შეამოწმოთ, რომ კონფიგურაციაში არ არის შეცდომა და ყველა ფაილი სწორ ადგილას არის და ა.შ.

Და სულ ეს არის! როგორც ხედავთ, დაყენება ძალიან მარტივია.

შეამოწმეთ, რომ ის მუშაობს Firefox-ში

ვინაიდან ყველაფერს სრულად ვაკეთებთ Linux-ში, ჩვენ ვივარაუდებთ, რომ ჩვენი მომხმარებლები ასევე მუშაობენ Linux-ში (თუ მათ აქვთ Windows, მაშინ ბრაუზერების დაყენების ინსტრუქციები იხილეთ წინა სტატიაში.

1. მოდით გავუშვათ Firefox.
2. ჯერ ვცადოთ შესვლა ჟეტონის გარეშე. ჩვენ ვიღებთ ამ სურათს:

   

3. Წადი შესახებ: პრეფერენციები # კონფიდენციალურობადა ჩვენ მივდივართ უსაფრთხოების მოწყობილობები…
4. ვაჭერთ Loadრომ დაამატოთ ახალი PKCS#11 მოწყობილობის დრაივერი და მიუთითოთ გზა ჩვენი librtpkcs11ecp.so.
5. იმის შესამოწმებლად, რომ სერთიფიკატი ჩანს, შეგიძლიათ გადახვიდეთ სერთიფიკატის მენეჯერი. თქვენ მოგეთხოვებათ შეიყვანოთ თქვენი PIN. სწორი შეყვანის შემდეგ, შეგიძლიათ შეამოწმოთ რა არის ჩანართზე თქვენი სერთიფიკატები გამოჩნდა ჩვენი სერთიფიკატი ნიშნიდან.
6. ახლა მოდით წავიდეთ ნიშნით. Firefox მოგთხოვთ აირჩიოთ სერთიფიკატი, რომელიც შეირჩევა სერვერისთვის. აირჩიეთ ჩვენი სერთიფიკატი.

   

7. მოგება!

   

დაყენება კეთდება ერთხელ და როგორც ხედავთ სერტიფიკატის მოთხოვნის ფანჯარაში, ჩვენ შეგვიძლია შევინახოთ ჩვენი არჩევანი. ამის შემდეგ, ყოველ ჯერზე, როდესაც შევდივართ პორტალში, დაგვჭირდება მხოლოდ ჟეტონის ჩასმა და მომხმარებლის PIN კოდის შეყვანა, რომელიც მითითებული იყო ფორმატირების დროს. ასეთი ავთენტიფიკაციის შემდეგ, სერვერმა უკვე იცის, რომელი მომხმარებელია შესული და თქვენ ვეღარ შექმნით დამატებით ფანჯრებს გადამოწმებისთვის, მაგრამ დაუყოვნებლივ შეუშვით მომხმარებელი მის პირად ანგარიშში.

Apache

ისევე, როგორც nginx-თან, არავის არ უნდა ჰქონდეს პრობლემები აპაჩის დაყენებისას. თუ არ იცით როგორ დააინსტალიროთ ეს ვებ სერვერი, უბრალოდ გამოიყენეთ ოფიციალური დოკუმენტაცია.

და ჩვენ ვიწყებთ ჩვენი HTTPS და ორფაქტორიანი ავთენტიფიკაციის დაყენებას:

1. ჯერ უნდა გაააქტიუროთ mod_ssl:

   $ a2enmod ssl

2. და შემდეგ ჩართეთ საიტის ნაგულისხმევი HTTPS პარამეტრები:

   $ a2ensite default-ssl

3. ახლა ჩვენ ვასწორებთ კონფიგურაციის ფაილს: /etc/apache2/sites-enabled/default-ssl.conf:

       SSLEngine on
       SSLProtocol all -SSLv2
   
       SSLCertificateFile	/etc/apache2/sites-enabled/Server.crt
       SSLCertificateKeyFile /etc/apache2/sites-enabled/ServerKey.pem
   
       SSLCACertificateFile /etc/apache2/sites-enabled/CA.crt
   
       SSLVerifyClient require
       SSLVerifyDepth  10

   როგორც ხედავთ, პარამეტრების სახელები პრაქტიკულად ემთხვევა nginx-ის პარამეტრების სახელებს, ამიტომ მათ არ ავხსნი. კიდევ ერთხელ, ყველას, ვინც დაინტერესებულია დეტალებით, მიესალმება დოკუმენტაციას.
   ახლა ჩვენ გადატვირთეთ ჩვენი სერვერი:

   $ service apache2 reload
   $ service apache2 restart

როგორც ხედავთ, ორფაქტორიანი ავთენტიფიკაციის დაყენებას ნებისმიერ ვებ სერვერზე, იქნება ეს Windows ან Linux, მაქსიმუმ ერთი საათი სჭირდება. და ბრაუზერების დაყენებას დაახლოებით 5 წუთი სჭირდება. ბევრი ფიქრობს, რომ ორფაქტორიანი ავთენტიფიკაციის დაყენება და მუშაობა რთული და გაუგებარია. იმედი მაქვს, რომ ჩვენი სტატია ამ მითს ოდნავ მაინც არღვევს.

გამოკითხვაში მონაწილეობა შეუძლიათ მხოლოდ დარეგისტრირებულ მომხმარებლებს. Შებრძანდითგთხოვთ

გჭირდებათ ინსტრუქციები TLS სერთიფიკატებით დაყენებისთვის GOST 34.10-2012 მიხედვით:

• დიახ, TLS-GOST ძალიან აუცილებელია

• არა, GOST ალგორითმებით დალაგება საინტერესო არ არის

მისცა ხმა 44 მომხმარებელმა. 9 მომხმარებელმა თავი შეიკავა.

წყარო: www.habr.com