Lea Linux - Contributions [fr]

S'identifier par une clé USB

2007-08-28T18:45:21Z

Seafire :

[[Catégorie:Sécurité]]
[[Catégorie:Administration_système]]
== Objectif ==
Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en complément du mot de passe

== Logiciels et matériel utilisés ==
Distribution : Debian, mais cela est normalement possible avec toutes...

Logiciel : pam_usb, un module dédié à cette utilisation pour PAM. PAM est un mécanisme d'authentification intégré à beaucoup de distributions GNU/Linux.
Attention cette méthode ne fonctionne pas avec les gestionnaires de connexion graphique comme KDM, GDM, XDM, etc. Elle est uniquement valable pour un login en mode texte.

N'importe quelle clé USB reconnue sous Linux devrait convenir. La capacité nécessaire est infime : 1 Ko suffit pour un utilisateur, avec une clé DSA de 1024 bits !

Une bonne solution pour encore plus de sécurité est de partitionner votre clé : vous pouvez créer une petite partition à la fin de la clé, d'environ 1 Mo (ce qui est largement suffisant pour stocker quelques clés, en théorie on pourrait en mettre 500 dans 1 Mo !)
Ainsi, vos clés ne seront pas confondues avec le reste de vos données et il n'y a pas de risque de les effacer.

== Installation du module ==
Il n'existe malheureusement pas (encore) de paquet pour Debian. Si vous utilisez une autre distribution, essayer de vérifier s'il n'existe pas un paquet, si vous êtes sous Debian, téléchargez les sources sur le site officiel : [http://www.pamusb.org]

Sur une Debian "'sarge" les dépendances requises sont : libssl-dev, libreadline4-dev, libpam0g-dev, libpam-usb, que vous pouvez installer par apt-get. Sur Debian "etch" (testing", il faut installer tout ca et en plus libreadline5 et libreadline5-dev

Ensuite, il faut extraire les sources et lancer la compilation :
<code>$ tar xvzf pam_usb-version.tar.gz
$ cd pam_usb_version
$ make
$ su puis taper le mot de passe ''root''
# make install</code>

Et c'est tout, le module est normalement installé, s'il vous n'obtenez pas d'erreur à la compilation, auquel cas il vous faut vérifier que toutes les dépendances sont bien installées...

== Préparation du système ==
=== Montage automatique de la clé ===
Il faut que votre clé soit montée automatiquement lorsque vous l'insérez, sinon, ca ne fonctionnera pas (encore que sur mon système cela à fonctionné sans monter la clé...)
Il faut donc créer une ligne dans votre /etc/fstab qui ressemble à celle-ci :

<code multi>/dev/sda1 /media/cle auto rw,user,auto 0 0</code>

en remplaçant /dev/sda1 par le périphérique qui correspond à votre clé, /media/cle par son point de montage, et auto par son système de fichiers (vous pouvez aussi laisser auto pour une détection automatique)

Pour plus de détails sur l'utilisation des clés USB vous pouvez consulter cet article
[[Hardware-hard stock-cleusb]]

== Génération des clés ==
=== Génération des clés ===
Il faut à présent générer la paire de clés publique/privée qui sera utilisée pour vous identifier.
Dans une console tapez
<code>
% usbadm keygen /media/cle login 2048</code>

en remplaçant /media/cle par le point de montage de votre clé et login par le nom d'utilisateur pour lequel vous voulez générer les clés. 2048 correspond à la taille de la clé, on estime que c'est suffisant, compte tenu de la puissance des ordinateurs actuels, pour une assez grande sécurité. Cependant, n'oubliez pas que n'importe quelle clé sera ''toujours'' "piratable".

Vous obtiendrez :
<code>[!] Generating 2048 DSA key pair for thomas@p3thomas
[!] Extracting private key...
[+] Private key extracted.
[+] Private key successfully written.
[!] Writing public key...
[+] Public key successfully written.</code>

Vos clés ont donc été générées dans un dossier caché nommé .auth de votre clé USB.

Il faut répéter cette opération pour tous les utilisateurs qui veulent utiliser leur clé pour s'identifier.

=== Facultatif : cryptage des clés ===
Pour plus de sécurité, il est possible de crypter les clés, par la commande
<code>
% usbadm cipher /media/cle login</code>
il vous sera demandé l'algorythme à utiliser :
<code multi>
[!] Importing the private key...
[+] Private key imported
[!] Encrypting the private key may prevent someone to authenticate with
your key. The drawback is that pam_usb will prompt you for password
every time you authenticate.
[?] Which algorithm want you to use ? (none/des3/twofish):
</code>

Pour pouvoir protéger votre clé par une ''passphrase'', il faut choisir des3.

Il vous sera demandé la ''passphrase'', qu'il vous sera ensuite nécessaire de taper à chaque utilisation de la clé, c'est à dire à chaque identification.

Et votre clé est cryptée !

== Paramètrage du système ==
Il ne reste plus qu'à modifier le comportement de PAM pour qu'il prenne en compte le module pam_usb.
Trois cas (ou plus ?) sont possibles :
* Identification par clé USB uniquement. Aucun mot de passe (sauf la ''passphrase'' de la clé DSA si vous en avez une) ne sera requis
* Identification par clé '''et''' par mot de passe. Votre mot de passe sera comme avant demandé, mais si la clé USB n'est pas présente vous ne pourrez pas vous identifier. C'est la solution la plus sure, mais aussi la moin pratique.
* Identification par clé USB '''ou''' par mot de passe. L'un ou l'autre suffit.

Dans les trois cas tout se passera dans les fichiers du répertoire /etc/pam.d
Pour utiliser cette méthode uniquement au moment du login, il faut modifier le fichier /etc/pam.d/login. Pour l'utiliser à toutes les identifications, il faut agir sur le fichier /etc/pam.d/common-auth

=== Identification par clé uniquement ===
Il faut modifier le fichier /etc/pam.d/common-auth comme suit :
<code>auth required usb_pam.so
</code>
et commenter la ligne :
<code>auth required pam_unix.so nullok_secure
</code>

=== Identification par clé et mot de passe ===
Il faut comme précédemment ajouter la ligne
<code>auth required usb_pam.so
</code>
et laisser le reste du fichier tel quel.

=== Identification par clé ou par mot de passe ===
Ajouter la ligne au fichier /etc/pam.d/common-auth
<code>auth sufficient usb_pam.so
</code>

== Faire les essais ! ==
Normalement vous pouvez vous délogguer, et faire l'essai !
Dans un premier temps je vous conseille d'utiliser l'authentification par clé ou par mot de passe, car, si l'identification par clé ne fonctionne pas, vous pourrez toujours vous logguer avec votre mot de passe pour corriger ce qui ne va pas.

=== Rattraper les erreurs ===
Si par malheur vous avez modifié le fichier en mettant
auth required pam_sub.so
et que votre clé ne fonctionne plus, alors vous ne pouvez plus vous loguer !
La solution consiste à booter sur un Live-CD, monter votre partition système, et modifier le fichier pour supprimer l'identification par clé.

(à tester) Une autre solution consiste à booter sur un kernel avec l'option '''single'''. En général les kernels marqués par '''failsafe''' dans le bootloader comportent cette option.

{{Copy|28 fév 2006|[[Utilisateur:Thomas.debay|Thomas.debay]]|CC-BY-SA}}

S'identifier par une clé USB

2007-08-28T18:43:38Z

Seafire : /* Logiciels et matériel utilisés */

[[Catégorie:Sécurité]]
[[Catégorie:Administration_système]]
== Objectif ==
Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en complément du mot de passe

== Logiciels et matériel utilisés ==
Distribution : Debian, mais cela est normalement possible avec toutes...

Logiciel : pam_usb, un module dédié à cette utilisation pour PAM. PAM est un mécanisme d'authentification intégré à beaucoup de distributions GNU/Linux.
Attention cette méthode ne fonctionne pas avec les gestionnaires de connexion graphique comme KDM, GDM, XDM, etc. Elle est uniquement valable pour un login en mode texte.

N'importe quelle clé USB reconnue sous Linux devrait convenir. La capacité nécessaire est infime : 1 Ko suffit pour un utilisateur, avec une clé DSA de 1024 bits !

Une bonne solution pour encore plus de sécurité est de partitionner votre clé : vous pouvez créer une petite partition à la fin de la clé, d'environ 1 Mo (ce qui est largement suffisant pour stocker quelques clés, en théorie on pourrait en mettre 500 dans 1 Mo !)
Ainsi, vos clés ne seront pas confondues avec le reste de vos données et il n'y a pas de risque de les effacer.

== Installation du module ==
Il n'existe malheureusement pas (encore) de paquet pour Debian. Si vous utilisez une autre distribution, essayer de vérifier s'il n'existe pas un paquet, si vous êtes sous Debian, téléchargez les sources sur le site officiel : [http://www.pamusb.org]

Sur une Debian "'sarge" les dépendances requises sont : libssl-dev, libreadline4-dev, libpam0g-dev, libpam-usb, que vous pouvez installer par apt-get. Sur Debian "etch" (testing", il faut installer tout ca et en plus libreadline5 et libreadline5-dev

Ensuite, il faut extraire les sources et lancer la compilation :
<code>$ tar xvzf pam_usb-version.tar.gz
$ cd pam_usb_version
$ make
$ su puis taper le mot de passe ''root''
# make install</code>

Et c'est tout, le module est normalement installé, s'il vous n'obtenez pas d'erreur à la compilation, auquel cas il vous faut vérifier que toutes les dépendances sont bien installées...

== Préparation du système ==
=== Montage automatique de la clé ===
Il faut que votre clé soit montée automatiquement lorsque vous l'insérez, sinon, ca ne fonctionnera pas (encore que sur mon système cela à fonctionné sans monter la clé...)
Il faut donc créer une ligne dans votre /etc/fstab qui ressemble à celle-ci :

<code multi>/dev/sda1 /media/cle auto rw,user,auto 0 0</code>

en remplacant /dev/sda1 par le périphérique qui correspond à votre clé, /media/cle par son point de montage, et auto par son système de fichiers (vous pouvez aussi laisser auto pour une détection automatique)

Pour plus de détails sur l'utilisation des clés USB vous pouvez consulter cet article
[[Hardware-hard stock-cleusb]]

== Génération des clés ==
=== Génération des clés ===
Il faut à présent générer la paire de clés publique/privée qui sera utilisée pour vous identifier.
Dans une console tapez
<code>
% usbadm keygen /media/cle login 2048</code>

en remplacant /media/cle par le point de montage de votre clé et login par le nom d'utilsateur pour lequel vous voulez générer les clés. 2048 correspond à la taille de la clé, on estime que c'est suffisant, compte tenu de la puissance des ordinateurs actuels, pour une assez grande sécurité. Cependant, n'oubliez pas que n'importe quelle clé sera ''toujours'' "piratable".

Vous obtiendrez :
<code>[!] Generating 2048 DSA key pair for thomas@p3thomas
[!] Extracting private key...
[+] Private key extracted.
[+] Private key successfully written.
[!] Writing public key...
[+] Public key successfully written.</code>

Vos clés ont donc été générées dans un dossier caché nommé .auth de votre clé USB.

Il faut répéter cette opération pour tous les utilsateurs qui veulent utiliser leur clé pour s'identifier.

=== Facultatif : cryptage des clés ===
Pour plus de sécurité, il est possible de crypter les clés, par la commande
<code>
% usbadm cipher /media/cle login</code>
il vous sera demandé l'algorythme à utiliser :
<code multi>
[!] Importing the private key...
[+] Private key imported
[!] Encrypting the private key may prevent someone to authenticate with
your key. The drawback is that pam_usb will prompt you for password
every time you authenticate.
[?] Which algorithm want you to use ? (none/des3/twofish):
</code>

Pour pouvoir protéger votre clé par une ''passphrase'', il faut choisir des3.

Il vous sera demandé la ''passphrase'', qu'il vous sera ensuite nécessaire de taper à chaque utilisation de la clé, c'est à dire à chaque identification.

Et votre clé est cryptée !

== Paramètrage du système ==
Il ne reste plus qu'à modifier le comportement de PAM pour qu'il prenne en compte le module pam_usb.
Trois cas (ou plus ?) sont possibles :
* Identification par clé USB uniquement. Aucun mot de passe (sauf la ''passphrase'' de la clé DSA si vous en avez une) ne sera requis
* Identification par clé '''et''' par mot de passe. Votre mot de passe sera comme avant demandé, mais si la clé USB n'est pas présente vous ne pourrez pas vous identifier. C'est la solution la plus sure, mais aussi la moin pratique.
* Identification par clé USB '''ou''' par mot de passe. L'un ou l'autre suffit.

Dans les trois cas tout se passera dans les fichiers du répertoire /etc/pam.d
Pour utiliser cette méthode uniquement au moment du login, il faut modifier le fichier /etc/pam.d/login. Pour l'utiliser à toutes les identifications, il faut agir sur le fichier /etc/pam.d/common-auth

=== Identification par clé uniquement ===
Il faut modifier le fichier /etc/pam.d/common-auth comme suit :
<code>auth required usb_pam.so
</code>
et commenter la ligne :
<code>auth required pam_unix.so nullok_secure
</code>

=== Identification par clé et mot de passe ===
Il faut comme précèdemment ajouter la ligne
<code>auth required usb_pam.so
</code>
et laisser le reste du fichier tel quel.

=== Identification par clé ou par mot de passe ===
Ajouter la ligne au fichier /etc/pam.d/common-auth
<code>auth sufficient usb_pam.so
</code>

== Faire les essais ! ==
Normalement vous pouvez vous délogguer, et faire l'essai !
Dans un premier temps je vous conseille d'utiliser l'authentification par clé ou par mot de passe, car, si l'identification par clé ne fonctionne pas, vous pourrez toujours vous logguer avec votre mot de passe pour corriger ce qui ne va pas.

=== Rattrapper les erreurs ===
Si par malheur vous avez modifié le fichier en mettant
auth required pam_sub.so
et que votre clé ne fonctionne plus, alors vous ne pouvez plus vous loguer !
La solution consiste à booter sur un Live-CD, monter votre partition système, et modifier le fichier pour supprimer l'identification par clé.

(à tester) Une autre solution consiste à booter sur un kernel avec l'option '''single'''. En général les kernels marqués par '''failsafe''' dans le bootloader comportent cette option.

{{Copy|28 fév 2006|[[Utilisateur:Thomas.debay|Thomas.debay]]|CC-BY-SA}}