ਸਧਾਰਨ ਪਾਸਵਰਡ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਹਨ, ਅਤੇ ਗੁੰਝਲਦਾਰ ਪਾਸਵਰਡ ਯਾਦ ਰੱਖਣਾ ਅਸੰਭਵ ਹਨ। ਇਹੀ ਕਾਰਨ ਹੈ ਕਿ ਉਹ ਅਕਸਰ ਕੀਬੋਰਡ ਦੇ ਹੇਠਾਂ ਜਾਂ ਮਾਨੀਟਰ 'ਤੇ ਇੱਕ ਸਟਿੱਕੀ ਨੋਟ' ਤੇ ਖਤਮ ਹੁੰਦੇ ਹਨ। ਇਹ ਸੁਨਿਸ਼ਚਿਤ ਕਰਨ ਲਈ ਕਿ ਪਾਸਵਰਡ "ਭੁੱਲਣ ਵਾਲੇ" ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਦਿਮਾਗ ਵਿੱਚ ਬਣੇ ਰਹਿਣ ਅਤੇ ਸੁਰੱਖਿਆ ਦੀ ਭਰੋਸੇਯੋਗਤਾ ਖਤਮ ਨਾ ਹੋਵੇ, ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ (2FA) ਹੈ।

ਕਿਸੇ ਡਿਵਾਈਸ ਦੇ ਮਾਲਕ ਹੋਣ ਅਤੇ ਇਸਦੇ ਪਿੰਨ ਨੂੰ ਜਾਣਨ ਦੇ ਸੁਮੇਲ ਦੇ ਕਾਰਨ, ਪਿੰਨ ਆਪਣੇ ਆਪ ਨੂੰ ਯਾਦ ਰੱਖਣਾ ਸੌਖਾ ਅਤੇ ਆਸਾਨ ਹੋ ਸਕਦਾ ਹੈ। ਪਿੰਨ ਦੀ ਲੰਬਾਈ ਜਾਂ ਬੇਤਰਤੀਬਤਾ ਵਿੱਚ ਨੁਕਸਾਨ ਭੌਤਿਕ ਕਬਜ਼ੇ ਦੀ ਲੋੜ ਅਤੇ ਪਿੰਨ ਬਰੂਟ ਫੋਰਸ 'ਤੇ ਪਾਬੰਦੀਆਂ ਦੁਆਰਾ ਆਫਸੈੱਟ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ ਵਿਚ ਅਜਿਹਾ ਹੁੰਦਾ ਹੈ ਕਿ ਉਹ ਚਾਹੁੰਦੇ ਹਨ ਕਿ ਹਰ ਚੀਜ਼ GOST ਦੇ ਅਨੁਸਾਰ ਕੰਮ ਕਰੇ. ਲੀਨਕਸ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਲਈ ਇਸ 2FA ਵਿਕਲਪ 'ਤੇ ਚਰਚਾ ਕੀਤੀ ਜਾਵੇਗੀ। ਮੈਂ ਦੂਰ ਤੋਂ ਸ਼ੁਰੂ ਕਰਾਂਗਾ।

PAM ਮੋਡੀਊਲ

ਪਲੱਗੇਬਲ ਪ੍ਰਮਾਣੀਕਰਨ ਮੋਡੀਊਲ (PAM) ਇੱਕ ਮਿਆਰੀ API ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਵਿੱਚ ਵੱਖ-ਵੱਖ ਪ੍ਰਮਾਣੀਕਰਨ ਵਿਧੀਆਂ ਦੇ ਲਾਗੂ ਕਰਨ ਵਾਲੇ ਮੋਡੀਊਲ ਹਨ।
ਸਾਰੀਆਂ ਉਪਯੋਗਤਾਵਾਂ ਅਤੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਜੋ PAM ਨਾਲ ਕੰਮ ਕਰ ਸਕਦੀਆਂ ਹਨ ਉਹਨਾਂ ਨੂੰ ਚੁੱਕਦੀਆਂ ਹਨ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਉਪਭੋਗਤਾ ਪ੍ਰਮਾਣੀਕਰਨ ਲਈ ਵਰਤ ਸਕਦੀਆਂ ਹਨ।
ਅਭਿਆਸ ਵਿੱਚ, ਇਹ ਕੁਝ ਇਸ ਤਰ੍ਹਾਂ ਕੰਮ ਕਰਦਾ ਹੈ: ਲੌਗਿਨ ਕਮਾਂਡ PAM ਨੂੰ ਕਾਲ ਕਰਦੀ ਹੈ, ਜੋ ਸੰਰਚਨਾ ਫਾਈਲ ਵਿੱਚ ਦਰਸਾਏ ਗਏ ਮੋਡੀਊਲਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਾਰੀਆਂ ਲੋੜੀਂਦੀਆਂ ਜਾਂਚਾਂ ਕਰਦੀ ਹੈ ਅਤੇ ਨਤੀਜਾ ਵਾਪਸ ਲੌਗਿਨ ਕਮਾਂਡ ਵਿੱਚ ਵਾਪਸ ਕਰਦੀ ਹੈ।

librtpam

ਐਕਟਿਵ ਕੰਪਨੀ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਮੋਡਿਊਲ ਘਰੇਲੂ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਦੇ ਨਵੀਨਤਮ ਮਾਪਦੰਡਾਂ ਦੇ ਅਨੁਸਾਰ ਅਸਮੈਟ੍ਰਿਕ ਕੁੰਜੀਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਸਮਾਰਟ ਕਾਰਡ ਜਾਂ USB ਟੋਕਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਵਾਲੇ ਉਪਭੋਗਤਾਵਾਂ ਦੇ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣੀਕਰਨ ਨੂੰ ਜੋੜਦਾ ਹੈ।

ਆਉ ਇਸਦੇ ਕਾਰਜ ਦੇ ਸਿਧਾਂਤ ਨੂੰ ਵੇਖੀਏ:

• ਟੋਕਨ ਉਪਭੋਗਤਾ ਦੇ ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਇਸਦੀ ਨਿੱਜੀ ਕੁੰਜੀ ਨੂੰ ਸਟੋਰ ਕਰਦਾ ਹੈ;
• ਪ੍ਰਮਾਣ-ਪੱਤਰ ਨੂੰ ਉਪਭੋਗਤਾ ਦੀ ਹੋਮ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਭਰੋਸੇਯੋਗ ਵਜੋਂ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।

ਪ੍ਰਮਾਣਿਕਤਾ ਪ੍ਰਕਿਰਿਆ ਇਸ ਤਰ੍ਹਾਂ ਹੁੰਦੀ ਹੈ:

1. Rutoken ਉਪਭੋਗਤਾ ਦੇ ਨਿੱਜੀ ਸਰਟੀਫਿਕੇਟ ਲਈ ਖੋਜ ਕਰਦਾ ਹੈ.
2. ਟੋਕਨ ਪਿੰਨ ਦੀ ਬੇਨਤੀ ਕੀਤੀ ਗਈ ਹੈ।
3. ਰਟੋਕਨ ਚਿੱਪ ਵਿੱਚ ਸਿੱਧੇ ਨਿੱਜੀ ਕੁੰਜੀ 'ਤੇ ਰੈਂਡਮ ਡੇਟਾ ਸਾਈਨ ਕੀਤਾ ਜਾਂਦਾ ਹੈ।
4. ਨਤੀਜੇ ਵਜੋਂ ਦਸਤਖਤ ਉਪਭੋਗਤਾ ਦੇ ਸਰਟੀਫਿਕੇਟ ਤੋਂ ਜਨਤਕ ਕੁੰਜੀ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਤਸਦੀਕ ਕੀਤੇ ਜਾਂਦੇ ਹਨ।
5. ਮੋਡੀਊਲ ਕਾਲਿੰਗ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਦਸਤਖਤ ਤਸਦੀਕ ਨਤੀਜੇ ਵਾਪਸ ਕਰਦਾ ਹੈ।

ਤੁਸੀਂ GOST R 34.10-2012 ਕੁੰਜੀਆਂ (ਲੰਬਾਈ 256 ਜਾਂ 512 ਬਿੱਟ) ਜਾਂ ਪੁਰਾਣੀ GOST R 34.10-2001 ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਪ੍ਰਮਾਣਿਤ ਕਰ ਸਕਦੇ ਹੋ।

ਤੁਹਾਨੂੰ ਕੁੰਜੀਆਂ ਦੀ ਸੁਰੱਖਿਆ ਬਾਰੇ ਚਿੰਤਾ ਕਰਨ ਦੀ ਜ਼ਰੂਰਤ ਨਹੀਂ ਹੈ - ਉਹ ਸਿੱਧੇ ਰੁਟੋਕੇਨ ਵਿੱਚ ਤਿਆਰ ਕੀਤੀਆਂ ਜਾਂਦੀਆਂ ਹਨ ਅਤੇ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਓਪਰੇਸ਼ਨਾਂ ਦੌਰਾਨ ਇਸਦੀ ਯਾਦ ਨੂੰ ਕਦੇ ਨਹੀਂ ਛੱਡਦੀਆਂ ਹਨ।

Rutoken EDS 2.0 ਨੂੰ NDV 4 ਦੇ ਅਨੁਸਾਰ FSB ਅਤੇ FSTEC ਦੁਆਰਾ ਪ੍ਰਮਾਣਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਇਸਲਈ ਇਸਨੂੰ ਗੁਪਤ ਜਾਣਕਾਰੀ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਵਾਲੇ ਸੂਚਨਾ ਪ੍ਰਣਾਲੀਆਂ ਵਿੱਚ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਵਿਹਾਰਕ ਵਰਤੋਂ

ਲਗਭਗ ਕੋਈ ਵੀ ਆਧੁਨਿਕ ਲੀਨਕਸ ਕਰੇਗਾ, ਉਦਾਹਰਨ ਲਈ ਅਸੀਂ xUbuntu 18.10 ਦੀ ਵਰਤੋਂ ਕਰਾਂਗੇ।

1) ਲੋੜੀਂਦੇ ਪੈਕੇਜ ਸਥਾਪਿਤ ਕਰੋ

sudo apt-get install libccid pcscd opensc
ਜੇਕਰ ਤੁਸੀਂ ਇੱਕ ਸਕ੍ਰੀਨਸੇਵਰ ਨਾਲ ਇੱਕ ਡੈਸਕਟਾਪ ਲੌਕ ਜੋੜਨਾ ਚਾਹੁੰਦੇ ਹੋ, ਤਾਂ ਪੈਕੇਜ ਨੂੰ ਵੀ ਇੰਸਟਾਲ ਕਰੋ libpam-pkcs11.

2) GOST ਸਹਿਯੋਗ ਨਾਲ ਇੱਕ PAM ਮੋਡੀਊਲ ਜੋੜੋ

ਤੋਂ ਲਾਇਬ੍ਰੇਰੀ ਲੋਡ ਕੀਤੀ ਜਾ ਰਹੀ ਹੈ https://download.rutoken.ru/Rutoken/PAM/
PAM ਫੋਲਡਰ librtpam.so.1.0.0 ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਸਿਸਟਮ ਫੋਲਡਰ ਵਿੱਚ ਕਾਪੀ ਕਰੋ
/usr/lib/ ਜ /usr/lib/x86_64-linux-gnu/ਜ /usr/lib64

3) ਪੈਕੇਜ ਨੂੰ librtpkcs11ecp.so ਨਾਲ ਇੰਸਟਾਲ ਕਰੋ

ਲਿੰਕ ਤੋਂ DEB ਜਾਂ RPM ਪੈਕੇਜ ਨੂੰ ਡਾਊਨਲੋਡ ਅਤੇ ਸਥਾਪਿਤ ਕਰੋ: https://www.rutoken.ru/support/download/pkcs/

4) ਜਾਂਚ ਕਰੋ ਕਿ Rutoken EDS 2.0 ਸਿਸਟਮ ਵਿੱਚ ਕੰਮ ਕਰਦਾ ਹੈ

ਟਰਮੀਨਲ ਵਿੱਚ ਅਸੀਂ ਚਲਾਉਂਦੇ ਹਾਂ
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -T
ਜੇ ਤੁਸੀਂ ਲਾਈਨ ਵੇਖਦੇ ਹੋ Rutoken ECP <no label> - ਇਸਦਾ ਮਤਲਬ ਹੈ ਕਿ ਸਭ ਕੁਝ ਠੀਕ ਹੈ।

5) ਸਰਟੀਫਿਕੇਟ ਪੜ੍ਹੋ

ਜਾਂਚ ਕਰ ਰਿਹਾ ਹੈ ਕਿ ਡਿਵਾਈਸ ਕੋਲ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਹੈ
$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O
ਜੇਕਰ ਲਾਈਨ ਦੇ ਬਾਅਦ:
Using slot 0 with a present token (0x0)

• ਜਾਣਕਾਰੀ ਪ੍ਰਦਰਸ਼ਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ ਕੁੰਜੀਆਂ ਅਤੇ ਸਰਟੀਫਿਕੇਟਾਂ ਬਾਰੇ, ਤੁਹਾਨੂੰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਪੜ੍ਹਨ ਅਤੇ ਇਸਨੂੰ ਡਿਸਕ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਹੇਠ ਦਿੱਤੀ ਕਮਾਂਡ ਚਲਾਓ, ਜਿੱਥੇ ਤੁਹਾਨੂੰ {id} ਦੀ ਬਜਾਏ ਸਰਟੀਫਿਕੇਟ ID ਨੂੰ ਬਦਲਣ ਦੀ ਲੋੜ ਹੈ ਜੋ ਤੁਸੀਂ ਪਿਛਲੀ ਕਮਾਂਡ ਦੇ ਆਉਟਪੁੱਟ ਵਿੱਚ ਦੇਖਿਆ ਸੀ:
  $ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -r -y cert --id {id} --output-file cert.crt
  ਜੇਕਰ cert.crt ਫਾਈਲ ਬਣਾਈ ਗਈ ਹੈ, ਤਾਂ ਕਦਮ 6 'ਤੇ ਜਾਓ)।
• ਕੁਝ ਵੀ ਨਹੀਂ ਹੈ, ਤਦ ਡਿਵਾਈਸ ਖਾਲੀ ਹੈ। ਆਪਣੇ ਪ੍ਰਸ਼ਾਸਕ ਨਾਲ ਸੰਪਰਕ ਕਰੋ ਜਾਂ ਅਗਲਾ ਕਦਮ ਅਪਣਾ ਕੇ ਖੁਦ ਕੁੰਜੀਆਂ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਬਣਾਓ।

5.1) ਇੱਕ ਟੈਸਟ ਸਰਟੀਫਿਕੇਟ ਬਣਾਓ

ਧਿਆਨ ਦਿਓ! ਕੁੰਜੀਆਂ ਅਤੇ ਸਰਟੀਫਿਕੇਟ ਬਣਾਉਣ ਲਈ ਵਰਣਿਤ ਢੰਗ ਟੈਸਟਿੰਗ ਲਈ ਢੁਕਵੇਂ ਹਨ ਅਤੇ ਲੜਾਈ ਮੋਡ ਵਿੱਚ ਵਰਤਣ ਲਈ ਨਹੀਂ ਹਨ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ਆਪਣੀ ਸੰਸਥਾ ਦੇ ਭਰੋਸੇਯੋਗ ਪ੍ਰਮਾਣੀਕਰਨ ਅਥਾਰਟੀ ਜਾਂ ਕਿਸੇ ਮਾਨਤਾ ਪ੍ਰਾਪਤ ਪ੍ਰਮਾਣੀਕਰਨ ਅਥਾਰਟੀ ਦੁਆਰਾ ਜਾਰੀ ਕੀਤੀਆਂ ਕੁੰਜੀਆਂ ਅਤੇ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਲੋੜ ਹੈ।
PAM ਮੋਡੀਊਲ ਸਥਾਨਕ ਕੰਪਿਊਟਰਾਂ ਦੀ ਸੁਰੱਖਿਆ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ ਅਤੇ ਛੋਟੀਆਂ ਸੰਸਥਾਵਾਂ ਵਿੱਚ ਕੰਮ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਕਿਉਂਕਿ ਇੱਥੇ ਬਹੁਤ ਘੱਟ ਉਪਭੋਗਤਾ ਹਨ, ਪ੍ਰਸ਼ਾਸਕ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਨੂੰ ਰੱਦ ਕਰਨ ਦੀ ਨਿਗਰਾਨੀ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਖਾਤਿਆਂ ਨੂੰ ਹੱਥੀਂ ਬਲੌਕ ਕਰ ਸਕਦਾ ਹੈ, ਨਾਲ ਹੀ ਪ੍ਰਮਾਣ ਪੱਤਰਾਂ ਦੀ ਵੈਧਤਾ ਦੀ ਮਿਆਦ ਵੀ। PAM ਮੋਡੀਊਲ ਅਜੇ ਨਹੀਂ ਜਾਣਦਾ ਹੈ ਕਿ CRLs ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਪੁਸ਼ਟੀ ਕਿਵੇਂ ਕਰਨੀ ਹੈ ਅਤੇ ਟਰੱਸਟ ਦੀਆਂ ਚੇਨਾਂ ਕਿਵੇਂ ਬਣਾਉਣਾ ਹੈ।

ਆਸਾਨ ਤਰੀਕਾ (ਬ੍ਰਾਊਜ਼ਰ ਦੁਆਰਾ)

ਇੱਕ ਟੈਸਟ ਸਰਟੀਫਿਕੇਟ ਪ੍ਰਾਪਤ ਕਰਨ ਲਈ, ਵਰਤੋ ਵੈੱਬ ਸੇਵਾ "ਰੁਟੋਕਨ ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਸੈਂਟਰ". ਪ੍ਰਕਿਰਿਆ 5 ਮਿੰਟ ਤੋਂ ਵੱਧ ਨਹੀਂ ਲਵੇਗੀ.

ਗੀਕ ਦਾ ਤਰੀਕਾ (ਕੰਸੋਲ ਅਤੇ ਸੰਭਵ ਤੌਰ 'ਤੇ ਕੰਪਾਈਲਰ ਦੁਆਰਾ)

OpenSC ਸੰਸਕਰਣ ਦੀ ਜਾਂਚ ਕਰੋ
$ opensc-tool --version
ਜੇਕਰ ਸੰਸਕਰਣ 0.20 ਤੋਂ ਘੱਟ ਹੈ, ਤਾਂ ਅਪਡੇਟ ਜਾਂ ਬਿਲਡ ਕਰੋ GOST-11 ਸਹਿਯੋਗ ਨਾਲ pkcs2012-ਟੂਲ ਸ਼ਾਖਾ ਸਾਡੇ GitHub ਤੋਂ (ਇਸ ਲੇਖ ਰੀਲੀਜ਼ ਦੇ ਸਮੇਂ 0.20 ਅਜੇ ਜਾਰੀ ਨਹੀਂ ਕੀਤਾ ਗਿਆ ਹੈ) ਜਾਂ ਬਾਅਦ ਵਿੱਚ ਮੁੱਖ ਓਪਨਐਸਸੀ ਪ੍ਰੋਜੈਕਟ ਦੀ ਮਾਸਟਰ ਸ਼ਾਖਾ ਤੋਂ 8cf1e6f ਪ੍ਰਤੀਬੱਧ ਕਰੋ

ਹੇਠਾਂ ਦਿੱਤੇ ਪੈਰਾਮੀਟਰਾਂ ਨਾਲ ਇੱਕ ਕੁੰਜੀ ਜੋੜਾ ਤਿਆਰ ਕਰੋ:
--key-type: GOSTR3410-2012-512:А (ГОСТ-2012 512 бит c парамсетом А), GOSTR3410-2012-256:A (ГОСТ-2012 256 бит с парамсетом A)

--id: ਆਬਜੈਕਟ ਪਛਾਣਕਰਤਾ (CKA_ID) ASCII ਸਾਰਣੀ ਤੋਂ ਦੋ-ਅੰਕੀ ਹੈਕਸ ਅੱਖਰ ਸੰਖਿਆਵਾਂ ਵਜੋਂ। ਛਪਣਯੋਗ ਅੱਖਰਾਂ ਲਈ ਸਿਰਫ਼ ASCII ਕੋਡਾਂ ਦੀ ਵਰਤੋਂ ਕਰੋ, ਕਿਉਂਕਿ... id ਨੂੰ ਇੱਕ ਸਤਰ ਦੇ ਰੂਪ ਵਿੱਚ OpenSSL ਨੂੰ ਪਾਸ ਕਰਨ ਦੀ ਲੋੜ ਹੋਵੇਗੀ। ਉਦਾਹਰਨ ਲਈ, ASCII ਕੋਡ “3132” ਸਤਰ “12” ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ। ਸਹੂਲਤ ਲਈ, ਤੁਸੀਂ ਵਰਤ ਸਕਦੇ ਹੋ ਸਟਰਿੰਗਾਂ ਨੂੰ ASCII ਕੋਡਾਂ ਵਿੱਚ ਬਦਲਣ ਲਈ ਔਨਲਾਈਨ ਸੇਵਾ.

$ ./pkcs11-tool --module /usr/lib/librtpkcs11ecp.so --keypairgen --key-type GOSTR3410-2012-512:A -l --id 3132

ਅੱਗੇ ਅਸੀਂ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਬਣਾਵਾਂਗੇ। ਹੇਠਾਂ ਦੋ ਤਰੀਕਿਆਂ ਦਾ ਵਰਣਨ ਕੀਤਾ ਜਾਵੇਗਾ: ਪਹਿਲਾ ਇੱਕ CA ਦੁਆਰਾ ਹੈ (ਅਸੀਂ ਟੈਸਟ CAs ਦੀ ਵਰਤੋਂ ਕਰਾਂਗੇ), ਦੂਜਾ ਸਵੈ-ਦਸਤਖਤ ਕੀਤਾ ਗਿਆ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, ਤੁਹਾਨੂੰ ਪਹਿਲਾਂ ਮੈਨੂਅਲ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਇੱਕ ਵਿਸ਼ੇਸ਼ rtengine ਮੋਡੀਊਲ ਦੁਆਰਾ Rutoken ਨਾਲ ਕੰਮ ਕਰਨ ਲਈ OpenSSL ਸੰਸਕਰਣ 1.1 ਜਾਂ ਬਾਅਦ ਵਾਲੇ ਨੂੰ ਸਥਾਪਿਤ ਅਤੇ ਸੰਰਚਿਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। OpenSSL ਨੂੰ ਸਥਾਪਿਤ ਅਤੇ ਸੰਰਚਿਤ ਕਰਨਾ.
ਉਦਾਹਰਨ ਲਈ: '- ਲਈ-id 3132' OpenSSL ਵਿੱਚ ਤੁਹਾਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ "pkcs11:id=12".

ਤੁਸੀਂ ਇੱਕ ਟੈਸਟ CA ਦੀਆਂ ਸੇਵਾਵਾਂ ਦੀ ਵਰਤੋਂ ਕਰ ਸਕਦੇ ਹੋ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਬਹੁਤ ਸਾਰੀਆਂ ਹਨ, ਉਦਾਹਰਨ ਲਈ, ਦੇਖ!, ਦੇਖ! и ਦੇਖ!, ਇਸਦੇ ਲਈ ਅਸੀਂ ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਲਈ ਇੱਕ ਬੇਨਤੀ ਬਣਾਵਾਂਗੇ

ਇੱਕ ਹੋਰ ਵਿਕਲਪ ਆਲਸ ਨੂੰ ਛੱਡਣਾ ਅਤੇ ਇੱਕ ਸਵੈ-ਦਸਤਖਤ ਬਣਾਉਣਾ ਹੈ
$ openssl req -utf8 -new -keyform engine -key "pkcs11:id=12" -engine rtengine -out req.csr

ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਡਿਵਾਈਸ 'ਤੇ ਅਪਲੋਡ ਕੀਤਾ ਜਾ ਰਿਹਾ ਹੈ
$ openssl req -utf8 -x509 -keyform engine -key "pkcs11:id=12" -engine rtengine -out cert.cer

6) ਸਿਸਟਮ ਵਿੱਚ ਸਰਟੀਫਿਕੇਟ ਰਜਿਸਟਰ ਕਰੋ

ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਤੁਹਾਡਾ ਸਰਟੀਫਿਕੇਟ ਬੇਸ 64 ਫਾਈਲ ਵਰਗਾ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ:

ਜੇਕਰ ਤੁਹਾਡਾ ਸਰਟੀਫਿਕੇਟ ਇਸ ਤਰ੍ਹਾਂ ਦਿਸਦਾ ਹੈ:

ਫਿਰ ਤੁਹਾਨੂੰ ਸਰਟੀਫਿਕੇਟ ਨੂੰ DER ਫਾਰਮੈਟ ਤੋਂ PEM ਫਾਰਮੈਟ (base64) ਵਿੱਚ ਬਦਲਣ ਦੀ ਲੋੜ ਹੈ

$ openssl x509 -in cert.crt -out cert.pem -inform DER -outform PEM
ਅਸੀਂ ਦੁਬਾਰਾ ਜਾਂਚ ਕਰਦੇ ਹਾਂ ਕਿ ਹੁਣ ਸਭ ਕੁਝ ਕ੍ਰਮ ਵਿੱਚ ਹੈ.

ਪ੍ਰਮਾਣ-ਪੱਤਰ ਨੂੰ ਭਰੋਸੇਯੋਗ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਸੂਚੀ ਵਿੱਚ ਸ਼ਾਮਲ ਕਰੋ
$ mkdir ~/.eid
$ chmod 0755 ~/.eid
$ cat cert.pem >> ~/.eid/authorized_certificates
$ chmod 0644 ~/.eid/authorized_certificates
ਆਖਰੀ ਲਾਈਨ ਭਰੋਸੇਯੋਗ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਸੂਚੀ ਨੂੰ ਦੂਜੇ ਉਪਭੋਗਤਾਵਾਂ ਦੁਆਰਾ ਗਲਤੀ ਨਾਲ ਜਾਂ ਜਾਣਬੁੱਝ ਕੇ ਬਦਲਣ ਤੋਂ ਬਚਾਉਂਦੀ ਹੈ। ਇਹ ਕਿਸੇ ਨੂੰ ਆਪਣਾ ਸਰਟੀਫਿਕੇਟ ਇੱਥੇ ਜੋੜਨ ਅਤੇ ਤੁਹਾਡੀ ਤਰਫੋਂ ਲੌਗਇਨ ਕਰਨ ਦੇ ਯੋਗ ਹੋਣ ਤੋਂ ਰੋਕਦਾ ਹੈ।

7) ਪ੍ਰਮਾਣਿਕਤਾ ਸੈਟ ਅਪ ਕਰੋ

ਸਾਡੇ PAM ਮੋਡੀਊਲ ਨੂੰ ਸੈਟ ਅਪ ਕਰਨਾ ਪੂਰੀ ਤਰ੍ਹਾਂ ਮਿਆਰੀ ਹੈ ਅਤੇ ਬਿਲਕੁਲ ਉਸੇ ਤਰ੍ਹਾਂ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਜਿਵੇਂ ਕਿ ਦੂਜੇ ਮੋਡੀਊਲ ਸਥਾਪਤ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਫਾਈਲ ਕਰਨ ਲਈ ਬਣਾਓ /usr/share/pam-configs/rutoken-gost-pam ਮੋਡੀਊਲ ਦਾ ਪੂਰਾ ਨਾਮ ਰੱਖਦਾ ਹੈ, ਭਾਵੇਂ ਇਹ ਮੂਲ ਰੂਪ ਵਿੱਚ ਯੋਗ ਹੋਵੇ, ਮੋਡੀਊਲ ਦੀ ਤਰਜੀਹ, ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਪੈਰਾਮੀਟਰ।
ਪ੍ਰਮਾਣਿਕਤਾ ਪੈਰਾਮੀਟਰਾਂ ਵਿੱਚ ਕਾਰਵਾਈ ਦੀ ਸਫਲਤਾ ਲਈ ਲੋੜਾਂ ਸ਼ਾਮਲ ਹਨ:

• ਲੋੜੀਂਦਾ: ਅਜਿਹੇ ਮੋਡੀਊਲ ਨੂੰ ਇੱਕ ਸਕਾਰਾਤਮਕ ਜਵਾਬ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ। ਜੇਕਰ ਇੱਕ ਮੋਡੀਊਲ ਕਾਲ ਦੇ ਨਤੀਜੇ ਵਿੱਚ ਇੱਕ ਨਕਾਰਾਤਮਕ ਜਵਾਬ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਇਸਦਾ ਨਤੀਜਾ ਇੱਕ ਪ੍ਰਮਾਣੀਕਰਨ ਗਲਤੀ ਵਿੱਚ ਹੋਵੇਗਾ। ਬੇਨਤੀ ਛੱਡ ਦਿੱਤੀ ਜਾਵੇਗੀ, ਪਰ ਬਾਕੀ ਮਾਡਿਊਲਾਂ ਨੂੰ ਬੁਲਾਇਆ ਜਾਵੇਗਾ।
• ਲੋੜੀਂਦਾ: ਲੋੜੀਂਦੇ ਸਮਾਨ, ਪਰ ਤੁਰੰਤ ਪ੍ਰਮਾਣਿਕਤਾ ਨੂੰ ਅਸਫਲ ਕਰਦਾ ਹੈ ਅਤੇ ਹੋਰ ਮੋਡੀਊਲਾਂ ਨੂੰ ਅਣਡਿੱਠ ਕਰਦਾ ਹੈ।
• sufficient: ਜੇਕਰ ਅਜਿਹੇ ਮੋਡੀਊਲ ਤੋਂ ਪਹਿਲਾਂ ਲੋੜੀਂਦੇ ਜਾਂ ਲੋੜੀਂਦੇ ਮੌਡਿਊਲਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਨਕਾਰਾਤਮਕ ਨਤੀਜਾ ਨਹੀਂ ਦਿੰਦਾ, ਤਾਂ ਮੋਡੀਊਲ ਇੱਕ ਸਕਾਰਾਤਮਕ ਜਵਾਬ ਦੇਵੇਗਾ। ਬਾਕੀ ਮਾਡਿਊਲਾਂ ਨੂੰ ਅਣਡਿੱਠ ਕੀਤਾ ਜਾਵੇਗਾ।
• ਵਿਕਲਪਿਕ: ਜੇਕਰ ਸਟੈਕ 'ਤੇ ਕੋਈ ਲੋੜੀਂਦੇ ਮੋਡੀਊਲ ਨਹੀਂ ਹਨ ਅਤੇ ਕੋਈ ਵੀ ਲੋੜੀਂਦਾ ਮੋਡੀਊਲ ਸਕਾਰਾਤਮਕ ਨਤੀਜਾ ਨਹੀਂ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਘੱਟੋ-ਘੱਟ ਵਿਕਲਪਿਕ ਮੋਡੀਊਲਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੂੰ ਸਕਾਰਾਤਮਕ ਨਤੀਜਾ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ।

ਪੂਰੀ ਫਾਈਲ ਸਮੱਗਰੀ /usr/share/pam-configs/rutoken-gost-pam:
Name: Rutoken PAM GOST
Default: yes
Priority: 800
Auth-Type: Primary
Auth: sufficient /usr/lib/librtpam.so.1.0.0 /usr/lib/librtpkcs11ecp.so

ਫਾਈਲ ਸੇਵ ਕਰੋ, ਫਿਰ ਐਗਜ਼ੀਕਿਊਟ ਕਰੋ
$ sudo pam-auth-update
ਦਿਖਾਈ ਦੇਣ ਵਾਲੀ ਵਿੰਡੋ ਵਿੱਚ, ਇਸਦੇ ਅੱਗੇ ਇੱਕ ਤਾਰਾ ਲਗਾਓ Rutoken PAM GOST ਅਤੇ ਦਬਾਓ OK

8) ਸੈਟਿੰਗਾਂ ਦੀ ਜਾਂਚ ਕਰੋ

ਇਹ ਸਮਝਣ ਲਈ ਕਿ ਸਭ ਕੁਝ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ ਉਸੇ ਸਮੇਂ ਸਿਸਟਮ ਵਿੱਚ ਲੌਗਇਨ ਕਰਨ ਦੀ ਯੋਗਤਾ ਨੂੰ ਨਾ ਗੁਆਓ, ਕਮਾਂਡ ਦਿਓ
$ sudo login
ਆਪਣਾ ਉਪਭੋਗਤਾ ਨਾਮ ਦਰਜ ਕਰੋ। ਜੇਕਰ ਸਿਸਟਮ ਨੂੰ ਇੱਕ ਡਿਵਾਈਸ ਪਿੰਨ ਕੋਡ ਦੀ ਲੋੜ ਹੈ ਤਾਂ ਸਭ ਕੁਝ ਸਹੀ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ।

9) ਜਦੋਂ ਟੋਕਨ ਕੱਢਿਆ ਜਾਂਦਾ ਹੈ ਤਾਂ ਕੰਪਿਊਟਰ ਨੂੰ ਬਲੌਕ ਕਰਨ ਲਈ ਕੌਂਫਿਗਰ ਕਰੋ

ਪੈਕੇਜ ਵਿੱਚ ਸ਼ਾਮਲ ਹੈ libpam-pkcs11 ਸਹੂਲਤ ਸ਼ਾਮਲ ਹੈ pkcs11_eventmgr, ਜੋ ਤੁਹਾਨੂੰ PKCS#11 ਘਟਨਾਵਾਂ ਵਾਪਰਨ 'ਤੇ ਵੱਖ-ਵੱਖ ਕਾਰਵਾਈਆਂ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ।
ਸੈਟਿੰਗਾਂ ਲਈ pkcs11_eventmgr ਇੱਕ ਸੰਰਚਨਾ ਫਾਇਲ ਦੇ ਤੌਰ ਤੇ ਕੰਮ ਕਰਦਾ ਹੈ: /etc/pam_pkcs11/pkcs11_eventmgr.conf
ਵੱਖ-ਵੱਖ ਲੀਨਕਸ ਡਿਸਟਰੀਬਿਊਸ਼ਨਾਂ ਲਈ, ਸਮਾਰਟ ਕਾਰਡ ਜਾਂ ਟੋਕਨ ਨੂੰ ਹਟਾਏ ਜਾਣ 'ਤੇ ਖਾਤਾ ਲਾਕ ਕਰਨ ਦਾ ਕਾਰਨ ਬਣਨ ਵਾਲੀ ਕਮਾਂਡ ਵੱਖਰੀ ਹੋਵੇਗੀ। ਸੀ.ਐਮ. event card_remove.
ਇੱਕ ਉਦਾਹਰਨ ਸੰਰਚਨਾ ਫਾਈਲ ਹੇਠਾਂ ਦਿਖਾਈ ਗਈ ਹੈ:

pkcs11_eventmgr
{
    # Запуск в бэкграунде
    daemon = true;
     
    # Настройка сообщений отладки
    debug = false;
 
    # Время опроса в секундах
    polling_time = 1;
 
    # Установка тайм-аута на удаление карты
    # По-умолчанию 0
    expire_time = 0;
 
    # Выбор pkcs11 библиотеки для работы с Рутокен
    pkcs11_module = usr/lib/librtpkcs11ecp.so;
 
    # Действия с картой
    # Карта вставлена:
    event card_insert {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore ;
 
        action = "/bin/false";
    }
 
    # Карта извлечена
    event card_remove {
        on_error = ignore;
         
        # Вызываем функцию блокировки экрана
        
        # Для GNOME 
        action = "dbus-send --type=method_call --dest=org.gnome.ScreenSaver /org/gnome/ScreenSaver org.gnome.ScreenSaver.Lock";
        
        # Для XFCE
        # action = "xflock4";
        
        # Для Astra Linux (FLY)
        # action = "fly-wmfunc FLYWM_LOCK";
    }
 
    # Карта долгое время извлечена
    event expire_time {
        # Оставляем значения по умолчанию (ничего не происходит)
        on_error = ignore;
 
        action = "/bin/false";
    }
}

ਇਸ ਤੋਂ ਬਾਅਦ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਸ਼ਾਮਲ ਕਰੋ pkcs11_eventmgr ਸ਼ੁਰੂਆਤ ਕਰਨ ਲਈ. ਅਜਿਹਾ ਕਰਨ ਲਈ, .bash_profile ਫਾਈਲ ਨੂੰ ਸੰਪਾਦਿਤ ਕਰੋ:
$ nano /home/<имя_пользователя>/.bash_profile
ਫਾਈਲ ਦੇ ਅੰਤ ਵਿੱਚ pkcs11_eventmgr ਲਾਈਨ ਜੋੜੋ ਅਤੇ ਰੀਬੂਟ ਕਰੋ।

ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਸਥਾਪਤ ਕਰਨ ਲਈ ਵਰਣਿਤ ਕਦਮਾਂ ਨੂੰ ਘਰੇਲੂ ਲੀਨਕਸ ਸਮੇਤ ਕਿਸੇ ਵੀ ਆਧੁਨਿਕ ਲੀਨਕਸ ਵਿਤਰਣ ਵਿੱਚ ਨਿਰਦੇਸ਼ਾਂ ਵਜੋਂ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ।

ਸਿੱਟਾ

ਲੀਨਕਸ ਪੀਸੀ ਰੂਸੀ ਸਰਕਾਰੀ ਏਜੰਸੀਆਂ ਵਿੱਚ ਤੇਜ਼ੀ ਨਾਲ ਪ੍ਰਸਿੱਧ ਹੋ ਰਹੇ ਹਨ, ਅਤੇ ਇਸ OS ਵਿੱਚ ਭਰੋਸੇਯੋਗ ਦੋ-ਕਾਰਕ ਪ੍ਰਮਾਣਿਕਤਾ ਸਥਾਪਤ ਕਰਨਾ ਹਮੇਸ਼ਾ ਆਸਾਨ ਨਹੀਂ ਹੁੰਦਾ ਹੈ। ਸਾਨੂੰ ਇਸ ਗਾਈਡ ਦੇ ਨਾਲ "ਪਾਸਵਰਡ ਦੀ ਸਮੱਸਿਆ" ਨੂੰ ਹੱਲ ਕਰਨ ਵਿੱਚ ਤੁਹਾਡੀ ਮਦਦ ਕਰਨ ਵਿੱਚ ਖੁਸ਼ੀ ਹੋਵੇਗੀ ਅਤੇ ਇਸ 'ਤੇ ਬਹੁਤ ਸਾਰਾ ਸਮਾਂ ਬਿਤਾਏ ਬਿਨਾਂ ਤੁਹਾਡੇ PC ਤੱਕ ਪਹੁੰਚ ਨੂੰ ਭਰੋਸੇਯੋਗਤਾ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕਰੋ।

ਸਰੋਤ: www.habr.com