ലളിതമായ പാസ്‌വേഡുകൾ സുരക്ഷിതമല്ല, സങ്കീർണ്ണമായവ ഓർമ്മിക്കാൻ കഴിയില്ല. അതുകൊണ്ടാണ് അവ പലപ്പോഴും കീബോർഡിന് കീഴിലോ മോണിറ്ററിലോ സ്റ്റിക്കി നോട്ടിൽ അവസാനിക്കുന്നത്. "മറന്നുപോയ" ഉപയോക്താക്കളുടെ മനസ്സിൽ പാസ്‌വേഡുകൾ നിലനിൽക്കുമെന്നും പരിരക്ഷയുടെ വിശ്വാസ്യത നഷ്ടപ്പെടുന്നില്ലെന്നും ഉറപ്പാക്കാൻ, രണ്ട്-ഘടക പ്രാമാണീകരണം (2FA) ഉണ്ട്.

ഒരു ഉപകരണം സ്വന്തമാക്കുകയും അതിന്റെ പിൻ അറിയുകയും ചെയ്യുന്നതിനാൽ, പിൻ തന്നെ ലളിതവും ഓർമ്മിക്കാൻ എളുപ്പവുമാകും. PIN ദൈർഘ്യത്തിലോ ക്രമരഹിതതയിലോ ഉള്ള പോരായ്മകൾ ഫിസിക്കൽ കൈവശം വയ്ക്കേണ്ട ആവശ്യകതയും പിൻ ബ്രൂട്ട് ഫോഴ്‌സിന്റെ നിയന്ത്രണങ്ങളും കൊണ്ട് ഓഫ്സെറ്റ് ചെയ്യുന്നു.

കൂടാതെ, GOST അനുസരിച്ച് എല്ലാം പ്രവർത്തിക്കണമെന്ന് അവർ ആഗ്രഹിക്കുന്ന സർക്കാർ ഏജൻസികളിൽ ഇത് സംഭവിക്കുന്നു. Linux-ലേക്ക് ലോഗിൻ ചെയ്യുന്നതിനുള്ള ഈ 2FA ഓപ്ഷൻ ചർച്ച ചെയ്യപ്പെടും. ഞാൻ ദൂരെ നിന്ന് തുടങ്ങും.

PAM മൊഡ്യൂളുകൾ

പ്ലഗ്ഗബിൾ ഓതന്റിക്കേഷൻ മൊഡ്യൂളുകൾ (PAM) ഒരു സ്റ്റാൻഡേർഡ് API ഉള്ള മൊഡ്യൂളുകളും ആപ്ലിക്കേഷനുകളിൽ വിവിധ പ്രാമാണീകരണ സംവിധാനങ്ങൾ നടപ്പിലാക്കുന്നു.
PAM ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ കഴിയുന്ന എല്ലാ യൂട്ടിലിറ്റികളും ആപ്ലിക്കേഷനുകളും അവ എടുക്കുകയും ഉപയോക്തൃ പ്രാമാണീകരണത്തിനായി അവ ഉപയോഗിക്കുകയും ചെയ്യാം.
പ്രായോഗികമായി, ഇത് ഇതുപോലെ പ്രവർത്തിക്കുന്നു: ലോഗിൻ കമാൻഡ് PAM-നെ വിളിക്കുന്നു, അത് കോൺഫിഗറേഷൻ ഫയലിൽ വ്യക്തമാക്കിയ മൊഡ്യൂളുകൾ ഉപയോഗിച്ച് ആവശ്യമായ എല്ലാ പരിശോധനകളും നടത്തുകയും ഫലം ലോഗിൻ കമാൻഡിലേക്ക് തിരികെ നൽകുകയും ചെയ്യുന്നു.

librtpam

ആക്ടീവ് കമ്പനി വികസിപ്പിച്ച മൊഡ്യൂൾ, ആഭ്യന്തര ക്രിപ്‌റ്റോഗ്രാഫിയുടെ ഏറ്റവും പുതിയ മാനദണ്ഡങ്ങൾക്കനുസൃതമായി അസമമിതി കീകൾ ഉപയോഗിച്ച് സ്മാർട്ട് കാർഡുകളോ യുഎസ്ബി ടോക്കണുകളോ ഉപയോഗിക്കുന്ന ഉപയോക്താക്കളുടെ രണ്ട്-ഘടക പ്രാമാണീകരണം ചേർക്കുന്നു.

അതിന്റെ പ്രവർത്തന തത്വം നോക്കാം:

• ടോക്കൺ ഉപയോക്താവിന്റെ സർട്ടിഫിക്കറ്റും അതിന്റെ സ്വകാര്യ കീയും സംഭരിക്കുന്നു;
• സർ‌ട്ടിഫിക്കറ്റ് ഉപയോക്താവിന്റെ ഹോം ഡയറക്‌ടറിയിൽ വിശ്വസനീയമായി സംരക്ഷിച്ചിരിക്കുന്നു.

പ്രാമാണീകരണ പ്രക്രിയ ഇനിപ്പറയുന്ന രീതിയിൽ നടക്കുന്നു:

1. Rutoken ഉപയോക്താവിന്റെ സ്വകാര്യ സർട്ടിഫിക്കറ്റിനായി തിരയുന്നു.
2. ടോക്കൺ പിൻ അഭ്യർത്ഥിച്ചു.
3. റുട്ടോക്കൺ ചിപ്പിലെ സ്വകാര്യ കീയിൽ ക്രമരഹിതമായ ഡാറ്റ നേരിട്ട് ഒപ്പിട്ടിരിക്കുന്നു.
4. തത്ഫലമായുണ്ടാകുന്ന ഒപ്പ് ഉപയോക്താവിന്റെ സർട്ടിഫിക്കറ്റിൽ നിന്നുള്ള പൊതു കീ ഉപയോഗിച്ച് പരിശോധിച്ചുറപ്പിക്കുന്നു.
5. മൊഡ്യൂൾ സിഗ്നേച്ചർ സ്ഥിരീകരണ ഫലം കോളിംഗ് ആപ്ലിക്കേഷനിലേക്ക് നൽകുന്നു.

നിങ്ങൾക്ക് GOST R 34.10-2012 കീകൾ (ദൈർഘ്യം 256 അല്ലെങ്കിൽ 512 ബിറ്റുകൾ) അല്ലെങ്കിൽ കാലഹരണപ്പെട്ട GOST R 34.10-2001 ഉപയോഗിച്ച് പ്രാമാണീകരിക്കാൻ കഴിയും.

കീകളുടെ സുരക്ഷയെക്കുറിച്ച് നിങ്ങൾ വിഷമിക്കേണ്ടതില്ല - അവ റൂട്ടോക്കണിൽ നേരിട്ട് ജനറേറ്റുചെയ്യുന്നു, ക്രിപ്‌റ്റോഗ്രാഫിക് പ്രവർത്തനങ്ങളിൽ അതിന്റെ മെമ്മറി ഒരിക്കലും ഉപേക്ഷിക്കില്ല.

NDV 2.0 അനുസരിച്ച് Rutoken EDS 4 FSB, FSTEC എന്നിവ സാക്ഷ്യപ്പെടുത്തിയിരിക്കുന്നു, അതിനാൽ രഹസ്യാത്മക വിവരങ്ങൾ പ്രോസസ്സ് ചെയ്യുന്ന വിവര സംവിധാനങ്ങളിൽ ഇത് ഉപയോഗിക്കാൻ കഴിയും.

പ്രായോഗിക ഉപയോഗം

മിക്കവാറും എല്ലാ ആധുനിക ലിനക്സും ചെയ്യും, ഉദാഹരണത്തിന് ഞങ്ങൾ xUbuntu 18.10 ഉപയോഗിക്കും.

1) ആവശ്യമായ പാക്കേജുകൾ ഇൻസ്റ്റാൾ ചെയ്യുക

sudo apt-get install libccid pcscd opensc
നിങ്ങൾക്ക് ഒരു സ്ക്രീൻസേവർ ഉപയോഗിച്ച് ഒരു ഡെസ്ക്ടോപ്പ് ലോക്ക് ചേർക്കണമെങ്കിൽ, പാക്കേജ് അധികമായി ഇൻസ്റ്റാൾ ചെയ്യുക libpam-pkcs11.

2) GOST പിന്തുണയുള്ള ഒരു PAM മൊഡ്യൂൾ ചേർക്കുക

നിന്ന് ലൈബ്രറി ലോഡ് ചെയ്യുന്നു https://download.rutoken.ru/Rutoken/PAM/
PAM ഫോൾഡറിന്റെ ഉള്ളടക്കം librtpam.so.1.0.0 സിസ്റ്റം ഫോൾഡറിലേക്ക് പകർത്തുക
/usr/lib/ അഥവാ /usr/lib/x86_64-linux-gnu/അഥവാ /usr/lib64

3) librtpkcs11ecp.so ഉപയോഗിച്ച് പാക്കേജ് ഇൻസ്റ്റാൾ ചെയ്യുക

ലിങ്കിൽ നിന്ന് DEB അല്ലെങ്കിൽ RPM പാക്കേജ് ഡൗൺലോഡ് ചെയ്ത് ഇൻസ്റ്റാൾ ചെയ്യുക: https://www.rutoken.ru/support/download/pkcs/

4) സിസ്റ്റത്തിൽ Rutoken EDS 2.0 പ്രവർത്തിക്കുന്നുണ്ടോയെന്ന് പരിശോധിക്കുക

ടെർമിനലിൽ ഞങ്ങൾ എക്സിക്യൂട്ട് ചെയ്യുന്നു
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -T
വരി കണ്ടാൽ Rutoken ECP <no label> - എല്ലാം ശരിയാണെന്നാണ് ഇതിനർത്ഥം.

5) സർട്ടിഫിക്കറ്റ് വായിക്കുക

ഉപകരണത്തിന് ഒരു സർട്ടിഫിക്കറ്റ് ഉണ്ടെന്ന് പരിശോധിക്കുന്നു
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O
വരിക്ക് ശേഷമാണെങ്കിൽ:
Using slot 0 with a present token (0x0)

• വിവരങ്ങൾ പ്രദർശിപ്പിക്കുന്നു കീകളെയും സർട്ടിഫിക്കറ്റുകളെയും കുറിച്ച്, നിങ്ങൾ സർട്ടിഫിക്കറ്റ് വായിച്ച് ഡിസ്കിൽ സേവ് ചെയ്യേണ്ടതുണ്ട്. ഇത് ചെയ്യുന്നതിന്, ഇനിപ്പറയുന്ന കമാൻഡ് പ്രവർത്തിപ്പിക്കുക, അവിടെ {id} എന്നതിന് പകരം നിങ്ങൾ മുമ്പത്തെ കമാൻഡിന്റെ ഔട്ട്പുട്ടിൽ കണ്ട സർട്ടിഫിക്കറ്റ് ഐഡി പകരം വയ്ക്കേണ്ടതുണ്ട്:
  $ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -r -y cert --id {id} --output-file cert.crt
  cert.crt ഫയൽ സൃഷ്ടിച്ചിട്ടുണ്ടെങ്കിൽ, ഘട്ടം 6-ലേക്ക് പോകുക).
• അവിടെ ഒന്നുമില്ല, അപ്പോൾ ഉപകരണം ശൂന്യമാണ്. അടുത്ത ഘട്ടം പിന്തുടർന്ന് നിങ്ങളുടെ അഡ്‌മിനിസ്‌ട്രേറ്ററെ ബന്ധപ്പെടുക അല്ലെങ്കിൽ കീകളും സർട്ടിഫിക്കറ്റും സ്വയം സൃഷ്‌ടിക്കുക.

5.1) ഒരു ടെസ്റ്റ് സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കുക

ശ്രദ്ധ! കീകളും സർട്ടിഫിക്കറ്റുകളും സൃഷ്ടിക്കുന്നതിനുള്ള വിവരിച്ച രീതികൾ പരിശോധനയ്ക്ക് അനുയോജ്യമാണ്, അവ കോംബാറ്റ് മോഡിൽ ഉപയോഗിക്കാൻ ഉദ്ദേശിച്ചുള്ളതല്ല. ഇത് ചെയ്യുന്നതിന്, നിങ്ങളുടെ സ്ഥാപനത്തിന്റെ വിശ്വസ്ത സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയോ അംഗീകൃത സർട്ടിഫിക്കേഷൻ അതോറിറ്റിയോ നൽകുന്ന കീകളും സർട്ടിഫിക്കറ്റുകളും ഉപയോഗിക്കേണ്ടതുണ്ട്.
പ്രാദേശിക കമ്പ്യൂട്ടറുകളെ പരിരക്ഷിക്കുന്നതിനായി രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ് PAM മൊഡ്യൂൾ, ചെറിയ ഓർഗനൈസേഷനുകളിൽ പ്രവർത്തിക്കാൻ രൂപകൽപ്പന ചെയ്തിട്ടുള്ളതാണ്. കുറച്ച് ഉപയോക്താക്കൾ ഉള്ളതിനാൽ, അഡ്‌മിനിസ്‌ട്രേറ്റർക്ക് സർട്ടിഫിക്കറ്റുകളുടെ അസാധുവാക്കൽ നിരീക്ഷിക്കാനും അക്കൗണ്ടുകൾ സ്വമേധയാ തടയാനും സർട്ടിഫിക്കറ്റുകളുടെ സാധുത കാലയളവ് നിരീക്ഷിക്കാനും കഴിയും. CRL-കൾ ഉപയോഗിച്ച് സർട്ടിഫിക്കറ്റുകൾ എങ്ങനെ പരിശോധിക്കാമെന്നും വിശ്വാസത്തിന്റെ ശൃംഖലകൾ എങ്ങനെ നിർമ്മിക്കാമെന്നും PAM മൊഡ്യൂളിന് ഇതുവരെ അറിയില്ല.

എളുപ്പവഴി (ബ്രൗസർ വഴി)

ഒരു ടെസ്റ്റ് സർട്ടിഫിക്കറ്റ് ലഭിക്കാൻ, ഉപയോഗിക്കുക വെബ് സേവനം "Rutoken രജിസ്ട്രേഷൻ സെന്റർ". പ്രക്രിയ 5 മിനിറ്റിൽ കൂടുതൽ എടുക്കില്ല.

ഗീക്കിന്റെ വഴി (കൺസോൾ വഴിയും കംപൈലർ വഴിയും)

OpenSC പതിപ്പ് പരിശോധിക്കുക
$ opensc-tool --version
പതിപ്പ് 0.20-ൽ കുറവാണെങ്കിൽ, അപ്ഡേറ്റ് ചെയ്യുക അല്ലെങ്കിൽ നിർമ്മിക്കുക GOST-11 പിന്തുണയുള്ള pkcs2012-ടൂൾ ബ്രാഞ്ച് ഞങ്ങളുടെ GitHub-ൽ നിന്ന് (ഈ ലേഖനം പ്രസിദ്ധീകരിക്കുന്ന സമയത്ത്, റിലീസ് 0.20 ഇതുവരെ റിലീസ് ചെയ്തിട്ടില്ല) അല്ലെങ്കിൽ പ്രധാന OpenSC പ്രോജക്റ്റിന്റെ മാസ്റ്റർ ബ്രാഞ്ചിൽ നിന്ന് 8cf1e6f ചെയ്യുക

ഇനിപ്പറയുന്ന പാരാമീറ്ററുകൾ ഉപയോഗിച്ച് ഒരു കീ ജോഡി സൃഷ്ടിക്കുക:
--key-type: GOSTR3410-2012-512:А (ГОСТ-2012 512 бит c парамсетом А), GOSTR3410-2012-256:A (ГОСТ-2012 256 бит с парамсетом A)

--id: ഒബ്‌ജക്റ്റ് ഐഡന്റിഫയർ (CKA_ID) ASCII പട്ടികയിൽ നിന്ന് രണ്ട് അക്ക ഹെക്‌സ് പ്രതീക നമ്പറുകളായി. അച്ചടിക്കാവുന്ന പ്രതീകങ്ങൾക്കായി ASCII കോഡുകൾ മാത്രം ഉപയോഗിക്കുക, കാരണം... ഐഡി ഒരു സ്ട്രിംഗ് ആയി OpenSSL-ലേക്ക് കൈമാറേണ്ടതുണ്ട്. ഉദാഹരണത്തിന്, "3132" എന്ന ASCII കോഡ് "12" എന്ന സ്ട്രിംഗുമായി യോജിക്കുന്നു. സൗകര്യാർത്ഥം, നിങ്ങൾക്ക് ഉപയോഗിക്കാം സ്ട്രിംഗുകൾ ASCII കോഡുകളിലേക്ക് പരിവർത്തനം ചെയ്യുന്നതിനുള്ള ഓൺലൈൻ സേവനം.

$ ./pkcs11-tool --module /usr/lib/librtpkcs11ecp.so --keypairgen --key-type GOSTR3410-2012-512:A -l --id 3132

അടുത്തതായി ഞങ്ങൾ ഒരു സർട്ടിഫിക്കറ്റ് സൃഷ്ടിക്കും. രണ്ട് വഴികൾ ചുവടെ വിവരിക്കും: ആദ്യത്തേത് ഒരു സിഎ വഴിയാണ് (ഞങ്ങൾ ടെസ്റ്റ് സിഎകൾ ഉപയോഗിക്കും), രണ്ടാമത്തേത് സ്വയം ഒപ്പിട്ടതാണ്. ഇത് ചെയ്യുന്നതിന്, മാനുവൽ ഉപയോഗിച്ച് ഒരു പ്രത്യേക rtengine മൊഡ്യൂളിലൂടെ Rutoken ഉപയോഗിച്ച് പ്രവർത്തിക്കാൻ നിങ്ങൾ ആദ്യം OpenSSL പതിപ്പ് 1.1 അല്ലെങ്കിൽ അതിന് ശേഷമുള്ള പതിപ്പ് ഇൻസ്റ്റാൾ ചെയ്യുകയും കോൺഫിഗർ ചെയ്യുകയും ചെയ്യേണ്ടതുണ്ട്. OpenSSL ഇൻസ്റ്റാൾ ചെയ്യുകയും ക്രമീകരിക്കുകയും ചെയ്യുന്നു.
ഉദാഹരണത്തിന്: '- എന്നതിന്-id 3132' OpenSSL-ൽ നിങ്ങൾ വ്യക്തമാക്കേണ്ടതുണ്ട് "pkcs11:id=12".

നിങ്ങൾക്ക് ഒരു ടെസ്റ്റ് സിഎയുടെ സേവനങ്ങൾ ഉപയോഗിക്കാം, അതിൽ ധാരാളം ഉണ്ട്, ഉദാഹരണത്തിന്, നോക്കൂ, നോക്കൂ и നോക്കൂ, ഇതിനായി ഞങ്ങൾ ഒരു സർട്ടിഫിക്കറ്റിനായി ഒരു അഭ്യർത്ഥന സൃഷ്ടിക്കും

അലസതയ്ക്ക് വഴങ്ങി ഒരു സ്വയം ഒപ്പ് ഉണ്ടാക്കുക എന്നതാണ് മറ്റൊരു ഓപ്ഷൻ
$ openssl req -utf8 -new -keyform engine -key "pkcs11:id=12" -engine rtengine -out req.csr

ഉപകരണത്തിലേക്ക് സർട്ടിഫിക്കറ്റ് അപ്‌ലോഡ് ചെയ്യുന്നു
$ openssl req -utf8 -x509 -keyform engine -key "pkcs11:id=12" -engine rtengine -out cert.cer

6) സിസ്റ്റത്തിൽ സർട്ടിഫിക്കറ്റ് രജിസ്റ്റർ ചെയ്യുക

നിങ്ങളുടെ സർട്ടിഫിക്കറ്റ് ഒരു base64 ഫയൽ പോലെയാണെന്ന് ഉറപ്പാക്കുക:

നിങ്ങളുടെ സർട്ടിഫിക്കറ്റ് ഇതുപോലെയാണെങ്കിൽ:

തുടർന്ന് നിങ്ങൾ സർട്ടിഫിക്കറ്റ് DER ഫോർമാറ്റിൽ നിന്ന് PEM ഫോർമാറ്റിലേക്ക് മാറ്റേണ്ടതുണ്ട് (base64)

$ openssl x509 -in cert.crt -out cert.pem -inform DER -outform PEM
ഇപ്പോൾ എല്ലാം ക്രമത്തിലാണെന്ന് ഞങ്ങൾ വീണ്ടും പരിശോധിക്കുന്നു.

വിശ്വസനീയമായ സർട്ടിഫിക്കറ്റുകളുടെ പട്ടികയിലേക്ക് സർട്ടിഫിക്കറ്റ് ചേർക്കുക
$ mkdir ~/.eid
$ chmod 0755 ~/.eid
$ cat cert.pem >> ~/.eid/authorized_certificates
$ chmod 0644 ~/.eid/authorized_certificates
മറ്റ് ഉപയോക്താക്കൾ ആകസ്മികമായോ മനഃപൂർവമോ മാറ്റുന്നതിൽ നിന്ന് വിശ്വസനീയമായ സർട്ടിഫിക്കറ്റുകളുടെ പട്ടികയെ അവസാന വരി സംരക്ഷിക്കുന്നു. ഇത് ഒരാളെ അവരുടെ സർട്ടിഫിക്കറ്റ് ഇവിടെ ചേർക്കുന്നതിൽ നിന്നും നിങ്ങളുടെ പേരിൽ ലോഗിൻ ചെയ്യുന്നതിൽ നിന്നും തടയുന്നു.

7) പ്രാമാണീകരണം സജ്ജീകരിക്കുക

ഞങ്ങളുടെ PAM മൊഡ്യൂൾ സജ്ജീകരിക്കുന്നത് പൂർണ്ണമായും സ്റ്റാൻഡേർഡ് ആണ്, മറ്റ് മൊഡ്യൂളുകൾ സജ്ജീകരിക്കുന്നത് പോലെ തന്നെയാണ് ഇത് ചെയ്യുന്നത്. ഫയൽ ചെയ്യാൻ സൃഷ്ടിക്കുക /usr/share/pam-configs/rutoken-gost-pam മൊഡ്യൂളിന്റെ പൂർണ്ണമായ പേര്, അത് സ്ഥിരസ്ഥിതിയായി പ്രവർത്തനക്ഷമമാക്കിയിട്ടുണ്ടോ, മൊഡ്യൂളിന്റെ മുൻഗണന, പ്രാമാണീകരണ പാരാമീറ്ററുകൾ എന്നിവ അടങ്ങിയിരിക്കുന്നു.
പ്രവർത്തനത്തിന്റെ വിജയത്തിനുള്ള ആവശ്യകതകൾ പ്രാമാണീകരണ പാരാമീറ്ററുകളിൽ അടങ്ങിയിരിക്കുന്നു:

• ആവശ്യമാണ്: അത്തരം മൊഡ്യൂളുകൾ നല്ല പ്രതികരണം നൽകണം. ഒരു മൊഡ്യൂൾ കോളിന്റെ ഫലത്തിൽ നെഗറ്റീവ് പ്രതികരണമുണ്ടെങ്കിൽ, ഇത് ഒരു പ്രാമാണീകരണ പിശകിന് കാരണമാകും. അഭ്യർത്ഥന ഉപേക്ഷിക്കപ്പെടും, എന്നാൽ ശേഷിക്കുന്ന മൊഡ്യൂളുകൾ വിളിക്കപ്പെടും.
• ആവശ്യം: ആവശ്യമുള്ളതിന് സമാനമാണ്, എന്നാൽ ഉടൻ തന്നെ പ്രാമാണീകരണം പരാജയപ്പെടുകയും മറ്റ് മൊഡ്യൂളുകൾ അവഗണിക്കുകയും ചെയ്യുന്നു.
• മതി: അത്തരം ഒരു മൊഡ്യൂളിന് മുമ്പുള്ള ആവശ്യമുള്ളതോ മതിയായതോ ആയ മൊഡ്യൂളുകളൊന്നും നെഗറ്റീവ് ഫലം നൽകിയില്ലെങ്കിൽ, മൊഡ്യൂൾ ഒരു നല്ല പ്രതികരണം നൽകും. ശേഷിക്കുന്ന മൊഡ്യൂളുകൾ അവഗണിക്കപ്പെടും.
• ഓപ്ഷണൽ: സ്റ്റാക്കിൽ ആവശ്യമായ മൊഡ്യൂളുകളൊന്നും ഇല്ലെങ്കിൽ, മതിയായ മൊഡ്യൂളുകളൊന്നും പോസിറ്റീവ് ഫലം നൽകുന്നില്ലെങ്കിൽ, ഓപ്ഷണൽ മൊഡ്യൂളുകളിൽ ഒരെണ്ണമെങ്കിലും പോസിറ്റീവ് ഫലം നൽകണം.

മുഴുവൻ ഫയൽ ഉള്ളടക്കം /usr/share/pam-configs/rutoken-gost-pam:
Name: Rutoken PAM GOST
Default: yes
Priority: 800
Auth-Type: Primary
Auth: sufficient /usr/lib/librtpam.so.1.0.0 /usr/lib/librtpkcs11ecp.so

ഫയൽ സേവ് ചെയ്യുക, തുടർന്ന് എക്സിക്യൂട്ട് ചെയ്യുക
$ sudo pam-auth-update
ദൃശ്യമാകുന്ന വിൻഡോയിൽ, അതിനടുത്തായി ഒരു നക്ഷത്രചിഹ്നം ഇടുക Rutoken PAM GOST ക്ലിക്കുചെയ്യുക OK

8) ക്രമീകരണങ്ങൾ പരിശോധിക്കുക

എല്ലാം ക്രമീകരിച്ചിട്ടുണ്ടെന്ന് മനസിലാക്കാൻ, എന്നാൽ അതേ സമയം സിസ്റ്റത്തിലേക്ക് ലോഗിൻ ചെയ്യാനുള്ള കഴിവ് നഷ്ടപ്പെടാതിരിക്കാൻ, കമാൻഡ് നൽകുക
$ sudo login
നിങ്ങളുടെ ഉപയോക്തൃനാമം നൽകുക. സിസ്റ്റത്തിന് ഒരു ഉപകരണ പിൻ കോഡ് ആവശ്യമാണെങ്കിൽ എല്ലാം ശരിയായി ക്രമീകരിച്ചിരിക്കുന്നു.

9) ടോക്കൺ എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യുമ്പോൾ ബ്ലോക്ക് ചെയ്യേണ്ട കമ്പ്യൂട്ടർ കോൺഫിഗർ ചെയ്യുക

പാക്കേജിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട് libpam-pkcs11 യൂട്ടിലിറ്റി ഉൾപ്പെടുത്തിയിട്ടുണ്ട് pkcs11_eventmgr, PKCS#11 ഇവന്റുകൾ സംഭവിക്കുമ്പോൾ വിവിധ പ്രവർത്തനങ്ങൾ നടത്താൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു.
ക്രമീകരണങ്ങൾക്കായി pkcs11_eventmgr ഒരു കോൺഫിഗറേഷൻ ഫയലായി പ്രവർത്തിക്കുന്നു: /etc/pam_pkcs11/pkcs11_eventmgr.conf
വ്യത്യസ്‌ത ലിനക്‌സ് വിതരണങ്ങൾക്കായി, ഒരു സ്‌മാർട്ട് കാർഡോ ടോക്കണോ നീക്കം ചെയ്യുമ്പോൾ അക്കൗണ്ട് ലോക്ക് ആകുന്നതിന് കാരണമാകുന്ന കമാൻഡ് വ്യത്യസ്തമായിരിക്കും. സെമി. event card_remove.
ഒരു ഉദാഹരണ കോൺഫിഗറേഷൻ ഫയൽ താഴെ കാണിച്ചിരിക്കുന്നു:

pkcs11_eventmgr
{
    # Запуск в бэкграунде
    daemon = true;
     
    # Настройка сообщений отладки
    debug = false;
 
    # Время опроса в секундах
    polling_time = 1;
 
    # Установка тайм-аута на удаление карты
    # По-умолчанию 0
    expire_time = 0;
 
    # Выбор pkcs11 библиотеки для работы с Рутокен
    pkcs11_module = usr/lib/librtpkcs11ecp.so;
 
    # Действия с картой
    # Карта вставлена:
    event card_insert {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore ;
 
        action = "/bin/false";
    }
 
    # Карта извлечена
    event card_remove {
        on_error = ignore;
         
        # Вызываем функцию блокировки экрана
        
        # Для GNOME 
        action = "dbus-send --type=method_call --dest=org.gnome.ScreenSaver /org/gnome/ScreenSaver org.gnome.ScreenSaver.Lock";
        
        # Для XFCE
        # action = "xflock4";
        
        # Для Astra Linux (FLY)
        # action = "fly-wmfunc FLYWM_LOCK";
    }
 
    # Карта долгое время извлечена
    event expire_time {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore;
 
        action = "/bin/false";
    }
}

അതിനുശേഷം ആപ്ലിക്കേഷൻ ചേർക്കുക pkcs11_eventmgr സ്റ്റാർട്ടപ്പിലേക്ക്. ഇത് ചെയ്യുന്നതിന്, .bash_profile ഫയൽ എഡിറ്റ് ചെയ്യുക:
$ nano /home/<имя_пользователя>/.bash_profile
ഫയലിന്റെ അവസാനം pkcs11_eventmgr എന്ന വരി ചേർത്ത് റീബൂട്ട് ചെയ്യുക.

ഓപ്പറേറ്റിംഗ് സിസ്റ്റം സജ്ജീകരിക്കുന്നതിനുള്ള വിവരിച്ച ഘട്ടങ്ങൾ ആഭ്യന്തര ലിനക്സ് ഉൾപ്പെടെ ഏത് ആധുനിക ലിനക്സ് വിതരണത്തിലും നിർദ്ദേശങ്ങളായി ഉപയോഗിക്കാം.

തീരുമാനം

റഷ്യൻ സർക്കാർ ഏജൻസികളിൽ Linux PC-കൾ കൂടുതൽ പ്രചാരം നേടുന്നു, ഈ OS-ൽ വിശ്വസനീയമായ ടു-ഫാക്ടർ പ്രാമാണീകരണം സജ്ജീകരിക്കുന്നത് എല്ലായ്പ്പോഴും എളുപ്പമല്ല. ഈ ഗൈഡ് ഉപയോഗിച്ച് “പാസ്‌വേഡ് പ്രശ്നം” പരിഹരിക്കാൻ നിങ്ങളെ സഹായിക്കുന്നതിൽ ഞങ്ങൾ സന്തുഷ്ടരാണ്, കൂടാതെ നിങ്ങളുടെ പിസിയിൽ കൂടുതൽ സമയം ചെലവഴിക്കാതെ ആക്‌സസ്സ് വിശ്വസനീയമായി പരിരക്ഷിക്കുക.

അവലംബം: www.habr.com