Google го објави HIBA, додаток OpenSSH за автентикација базирана на сертификати

Google го објави изворниот код на проектот HIBA (Овластување засновано на идентитет на домаќинот), кој предлага имплементација на дополнителен механизам за авторизација за организирање на корисничкиот пристап преку SSH во врска со хостовите (проверка дали е дозволен пристап до одреден ресурс или не при автентикација користејќи јавни клучеви). Интеграцијата со OpenSSH е обезбедена со специфицирање на управувачот HIBA во директивата AuthorizedPrincipalsCommand во /etc/ssh/sshd_config. Кодот на проектот е напишан во C и се дистрибуира под лиценцата BSD.

HIBA користи стандардни механизми за автентикација базирани на OpenSSH сертификати за флексибилно и централизирано управување со овластувањето на корисникот во однос на хостовите, но не бара периодични промени во датотеките на authorized_keys и authorized_users од страната на хостовите со кои е направена врската. Наместо да складира список со важечки јавни клучеви и услови за пристап во датотеките со овластени_(клучеви|корисници), HIBA интегрира информации за поврзувањата на корисникот-домаќин директно во самите сертификати. Конкретно, предложени се екстензии за сертификати за домаќини и кориснички сертификати, кои ги складираат параметрите на домаќинот и условите за давање пристап на корисникот.

Проверката на страната на домаќинот се иницира со повикување на ракувачот hiba-chk наведен во директивата за команда на овластени директори. Овој процесор дешифрира екстензии интегрирани во сертификати и врз основа на нив донесува одлука за доделување или блокирање пристап. Правилата за пристап се одредуваат централно на ниво на орган за сертификација (CA) и се интегрирани во сертификатите во фазата на нивното генерирање.

На страната на центарот за сертификација, се одржува општ список на достапни овластувања (домаќини со кои се дозволени врски) и листа на корисници на кои им е дозволено да ги користат овие овластувања. За да се генерираат сертифицирани сертификати со интегрирани информации за ингеренциите, се предлага алатката hiba-gen, а функционалноста неопходна за создавање орган за сертификација е вклучена во скриптата iba-ca.sh.

Кога корисникот се поврзува, авторитетот наведен во сертификатот се потврдува со дигитален потпис на органот за сертификација, кој овозможува сите проверки да се извршат целосно на страната на целниот домаќин на кој е направена врската, без прибегнување кон надворешни услуги. Списокот на јавни клучеви на органот за сертификација кој ги потврдува SSH сертификатите е наведен преку директивата TrustedUserCAKeys.

Покрај директното поврзување на корисниците со хостовите, HIBA ви овозможува да дефинирате пофлексибилни правила за пристап. На пример, информациите како што се локацијата и типот на услугата може да се поврзат со хостовите, а при дефинирањето на правилата за пристап на корисникот, може да се дозволат врски до сите домаќини со даден тип на услуга или до домаќини на одредена локација.

Извор: opennet.ru