S'identifier par une clé USB - Historique des versions

Lea le 28 décembre 2023 à 09:03

2023-12-28T09:03:01Z

← Version précédente		Version du 28 décembre 2023 à 09:03
Ligne 1 :		Ligne 1 :
	~~[[Catégorie:Sécurité]]~~
	~~[[Catégorie:Administration_système]]~~

	= S'identifier par une clef USB =		= S'identifier par une clef USB =

Ligne 132 :		Ligne 129 :
	<br/>		<br/>
	<br/>		<br/>
	'''<b>[[~~Reseau-index~~\|@ Retour à la rubrique ~~Réseau~~ et ~~sécurité~~]]</b>'''		'''<b>[[Sécurité et vie privée\|@ Retour à la rubrique Sécurité et vie privée]]</b>'''
	<br/>		<br/>

	{{Copy\|28 fév 2006\|[[Utilisateur:Thomas.debay\|Thomas.debay]]\|CC-BY-SA}}		{{Copy\|28 fév 2006\|[[Utilisateur:Thomas.debay\|Thomas.debay]]\|CC-BY-SA}}

			[[Catégorie:Sécurité et vie privée]]

Jiel : balises code

2012-05-17T13:27:07Z

balises code

← Version précédente		Version du 17 mai 2012 à 13:27
Ligne 1 :		Ligne 1 :
	[[Catégorie:Sécurité]]		[[Catégorie:Sécurité]]
	[[Catégorie:Administration_système]]		[[Catégorie:Administration_système]]

			= S'identifier par une clef USB =

	== Objectif ==		== Objectif ==
	Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en complément du mot de passe		Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en complément du mot de passe
Ligne 21 :		Ligne 24 :

	Ensuite, il faut extraire les sources et lancer la compilation :		Ensuite, il faut extraire les sources et lancer la compilation :
	<code>$ tar xvzf pam_usb-version.tar.gz		<div class="code">
	$ cd pam_usb_version		$ tar xvzf pam_usb-version.tar.gz
	$ make		$ cd pam_usb_version
	$ su puis taper le mot de passe ''root''		$ make
	# make install</~~code~~>		$ su puis taper le mot de passe ''root''
			# make install</div>

	Et c'est tout, le module est normalement installé, s'il vous n'obtenez pas d'erreur à la compilation, auquel cas il vous faut vérifier que toutes les dépendances sont bien installées...		Et c'est tout, le module est normalement installé, s'il vous n'obtenez pas d'erreur à la compilation, auquel cas il vous faut vérifier que toutes les dépendances sont bien installées...
Ligne 34 :		Ligne 38 :
	Il faut donc créer une ligne dans votre /etc/fstab qui ressemble à celle-ci :		Il faut donc créer une ligne dans votre /etc/fstab qui ressemble à celle-ci :

	<code ~~multi~~>/dev/sda1 /media/cle auto rw,user,auto 0 0</~~code~~>		<div class="code">/dev/sda1 /media/cle auto rw,user,auto 0 0</div>

	en remplaçant /dev/sda1 par le périphérique qui correspond à votre clé, /media/cle par son point de montage, et auto par son système de fichiers (vous pouvez aussi laisser auto pour une détection automatique)		en remplaçant /dev/sda1 par le périphérique qui correspond à votre clé, /media/cle par son point de montage, et auto par son système de fichiers (vous pouvez aussi laisser auto pour une détection automatique)
Ligne 45 :		Ligne 49 :
	Il faut à présent générer la paire de clés publique/privée qui sera utilisée pour vous identifier.		Il faut à présent générer la paire de clés publique/privée qui sera utilisée pour vous identifier.
	Dans une console tapez		Dans une console tapez
	<code>		<div class="code">
	% usbadm keygen /media/cle login 2048</~~code~~>		% usbadm keygen /media/cle login 2048</div>

	en remplaçant /media/cle par le point de montage de votre clé et login par le nom d'utilisateur pour lequel vous voulez générer les clés. 2048 correspond à la taille de la clé, on estime que c'est suffisant, compte tenu de la puissance des ordinateurs actuels, pour une assez grande sécurité. Cependant, n'oubliez pas que n'importe quelle clé sera ''toujours'' "piratable".		en remplaçant /media/cle par le point de montage de votre clé et login par le nom d'utilisateur pour lequel vous voulez générer les clés. 2048 correspond à la taille de la clé, on estime que c'est suffisant, compte tenu de la puissance des ordinateurs actuels, pour une assez grande sécurité. Cependant, n'oubliez pas que n'importe quelle clé sera ''toujours'' "piratable".

	Vous obtiendrez :		Vous obtiendrez :
	<code>[!] Generating 2048 DSA key pair for thomas@p3thomas		<div class="code">
	[!] Extracting private key...		[!] Generating 2048 DSA key pair for thomas@p3thomas
	[+] Private key extracted.		[!] Extracting private key...
	[+] Private key successfully written.		[+] Private key extracted.
	[!] Writing public key...		[+] Private key successfully written.
	[+] Public key successfully written.</~~code~~>		[!] Writing public key...
			[+] Public key successfully written.</div>

	Vos clés ont donc été générées dans un dossier caché nommé .auth de votre clé USB.		Vos clés ont donc été générées dans un dossier caché nommé .auth de votre clé USB.
Ligne 64 :		Ligne 69 :
	=== Facultatif : cryptage des clés ===		=== Facultatif : cryptage des clés ===
	Pour plus de sécurité, il est possible de crypter les clés, par la commande		Pour plus de sécurité, il est possible de crypter les clés, par la commande
	<code>		<div class="code">
	% usbadm cipher /media/cle login</~~code~~>		% usbadm cipher /media/cle login</div>
	il vous sera demandé l'algorithme à utiliser :		il vous sera demandé l'algorithme à utiliser :
	<code ~~multi~~>		<div class="code">
	[!] Importing the private key...		[!] Importing the private key...
	[+] Private key imported		[+] Private key imported
	[!] Encrypting the private key may prevent someone to authenticate with		[!] Encrypting the private key may prevent someone to authenticate with
	your key. The drawback is that pam_usb will prompt you for password		your key. The drawback is that pam_usb will prompt you for password
	every time you authenticate.		every time you authenticate.
	[?] Which algorithm want you to use ? (none/des3/twofish):		[?] Which algorithm want you to use ? (none/des3/twofish):
	</~~code~~>		</div>

	Pour pouvoir protéger votre clé par une ''passphrase'', il faut choisir des3.		Pour pouvoir protéger votre clé par une ''passphrase'', il faut choisir des3.
Ligne 95 :		Ligne 100 :
	=== Identification par clé uniquement ===		=== Identification par clé uniquement ===
	Il faut modifier le fichier /etc/pam.d/common-auth comme suit :		Il faut modifier le fichier /etc/pam.d/common-auth comme suit :
	<code>auth required usb_pam.so		<div class="code">auth required usb_pam.so
	</~~code~~>		</div>
	et commenter la ligne :		et commenter la ligne :
	<code>auth required pam_unix.so nullok_secure		<div class="code">auth required pam_unix.so nullok_secure
	</~~code~~>		</div>

	=== Identification par clé et mot de passe ===		=== Identification par clé et mot de passe ===
	Il faut comme précédemment ajouter la ligne		Il faut comme précédemment ajouter la ligne
	<code>auth required usb_pam.so		<div class="code">auth required usb_pam.so
	</~~code~~>		</div>
	et laisser le reste du fichier tel quel.		et laisser le reste du fichier tel quel.

	=== Identification par clé ou par mot de passe ===		=== Identification par clé ou par mot de passe ===
	Ajouter la ligne au fichier /etc/pam.d/common-auth		Ajouter la ligne au fichier /etc/pam.d/common-auth
	<code>auth sufficient usb_pam.so		<div class="code">auth sufficient usb_pam.so
	</~~code~~>		</div>

	== Faire les essais ! ==		== Faire les essais ! ==

Jiel le 31 décembre 2010 à 13:57

2010-12-31T13:57:51Z

← Version précédente		Version du 31 décembre 2010 à 13:57
Ligne 123 :		Ligne 123 :

	(à tester) Une autre solution consiste à booter sur un kernel avec l'option '''single'''. En général les kernels marqués par '''failsafe''' dans le bootloader comportent cette option.		(à tester) Une autre solution consiste à booter sur un kernel avec l'option '''single'''. En général les kernels marqués par '''failsafe''' dans le bootloader comportent cette option.


			<br/>
			<br/>
			'''<b>[[Reseau-index\|@ Retour à la rubrique Réseau et sécurité]]</b>'''
			<br/>

	{{Copy\|28 fév 2006\|[[Utilisateur:Thomas.debay\|Thomas.debay]]\|CC-BY-SA}}		{{Copy\|28 fév 2006\|[[Utilisateur:Thomas.debay\|Thomas.debay]]\|CC-BY-SA}}

Janotin : /* Facultatif : cryptage des clés */

2008-12-22T12:11:11Z

Facultatif : cryptage des clés

← Version précédente		Version du 22 décembre 2008 à 12:11
Ligne 66 :		Ligne 66 :
	<code>		<code>
	% usbadm cipher /media/cle login</code>		% usbadm cipher /media/cle login</code>
	il vous sera demandé l'~~algorythme~~ à utiliser :		il vous sera demandé l'algorithme à utiliser :
	<code multi>		<code multi>
	[!] Importing the private key...		[!] Importing the private key...

Seafire le 28 août 2007 à 18:45

2007-08-28T18:45:21Z

← Version précédente		Version du 28 août 2007 à 18:45
Ligne 36 :		Ligne 36 :
	<code multi>/dev/sda1 /media/cle auto rw,user,auto 0 0</code>		<code multi>/dev/sda1 /media/cle auto rw,user,auto 0 0</code>

	en ~~remplacant~~ /dev/sda1 par le périphérique qui correspond à votre clé, /media/cle par son point de montage, et auto par son système de fichiers (vous pouvez aussi laisser auto pour une détection automatique)		en remplaçant /dev/sda1 par le périphérique qui correspond à votre clé, /media/cle par son point de montage, et auto par son système de fichiers (vous pouvez aussi laisser auto pour une détection automatique)

	Pour plus de détails sur l'utilisation des clés USB vous pouvez consulter cet article		Pour plus de détails sur l'utilisation des clés USB vous pouvez consulter cet article
Ligne 48 :		Ligne 48 :
	% usbadm keygen /media/cle login 2048</code>		% usbadm keygen /media/cle login 2048</code>

	en ~~remplacant~~ /media/cle par le point de montage de votre clé et login par le nom d'~~utilsateur~~ pour lequel vous voulez générer les clés. 2048 correspond à la taille de la clé, on estime que c'est suffisant, compte tenu de la puissance des ordinateurs actuels, pour une assez grande sécurité. Cependant, n'oubliez pas que n'importe quelle clé sera ''toujours'' "piratable".		en remplaçant /media/cle par le point de montage de votre clé et login par le nom d'utilisateur pour lequel vous voulez générer les clés. 2048 correspond à la taille de la clé, on estime que c'est suffisant, compte tenu de la puissance des ordinateurs actuels, pour une assez grande sécurité. Cependant, n'oubliez pas que n'importe quelle clé sera ''toujours'' "piratable".

	Vous obtiendrez :		Vous obtiendrez :
Ligne 60 :		Ligne 60 :
	Vos clés ont donc été générées dans un dossier caché nommé .auth de votre clé USB.		Vos clés ont donc été générées dans un dossier caché nommé .auth de votre clé USB.

	Il faut répéter cette opération pour tous les ~~utilsateurs~~ qui veulent utiliser leur clé pour s'identifier.		Il faut répéter cette opération pour tous les utilisateurs qui veulent utiliser leur clé pour s'identifier.

	=== Facultatif : cryptage des clés ===		=== Facultatif : cryptage des clés ===
Ligne 102 :		Ligne 102 :

	=== Identification par clé et mot de passe ===		=== Identification par clé et mot de passe ===
	Il faut comme ~~précèdemment~~ ajouter la ligne		Il faut comme précédemment ajouter la ligne
	<code>auth required usb_pam.so		<code>auth required usb_pam.so
	</code>		</code>
Ligne 116 :		Ligne 116 :
	Dans un premier temps je vous conseille d'utiliser l'authentification par clé ou par mot de passe, car, si l'identification par clé ne fonctionne pas, vous pourrez toujours vous logguer avec votre mot de passe pour corriger ce qui ne va pas.		Dans un premier temps je vous conseille d'utiliser l'authentification par clé ou par mot de passe, car, si l'identification par clé ne fonctionne pas, vous pourrez toujours vous logguer avec votre mot de passe pour corriger ce qui ne va pas.

	=== ~~Rattrapper~~ les erreurs ===		=== Rattraper les erreurs ===
	Si par malheur vous avez modifié le fichier en mettant		Si par malheur vous avez modifié le fichier en mettant
	auth required pam_sub.so		auth required pam_sub.so

Seafire : /* Logiciels et matériel utilisés */

2007-08-28T18:43:38Z

Logiciels et matériel utilisés

← Version précédente		Version du 28 août 2007 à 18:43
Ligne 7 :		Ligne 7 :
	Distribution : Debian, mais cela est normalement possible avec toutes...		Distribution : Debian, mais cela est normalement possible avec toutes...

	Logiciel : pam_usb, un module dédié à cette utilisation pour PAM. PAM est un ~~méchanisme~~ d'authentification intégré à beaucoup de distributions GNU/Linux.		Logiciel : pam_usb, un module dédié à cette utilisation pour PAM. PAM est un mécanisme d'authentification intégré à beaucoup de distributions GNU/Linux.
	Attention cette méthode ne fonctionne pas avec les gestionnaires de connexion graphique comme KDM, GDM, XDM, etc. Elle est uniquement valable pour un login en mode texte.		Attention cette méthode ne fonctionne pas avec les gestionnaires de connexion graphique comme KDM, GDM, XDM, etc. Elle est uniquement valable pour un login en mode texte.

	N'importe quelle clé USB reconnue sous Linux devrait convenir. La capacité nécessaire est infime : 1 Ko suffit pour un utilisateur, avec une clé DSA de 1024 bits !		N'importe quelle clé USB reconnue sous Linux devrait convenir. La capacité nécessaire est infime : 1 Ko suffit pour un utilisateur, avec une clé DSA de 1024 bits !

	Une bonne solution pour encore plus de sécurité est de ~~partionner~~ votre clé : vous pouvez créer une petite partition à la fin de la clé, d'environ 1 Mo (ce qui est largement suffisant pour stocker quelques clés, en théorie on pourrait en mettre 500 dans 1 Mo !)		Une bonne solution pour encore plus de sécurité est de partitionner votre clé : vous pouvez créer une petite partition à la fin de la clé, d'environ 1 Mo (ce qui est largement suffisant pour stocker quelques clés, en théorie on pourrait en mettre 500 dans 1 Mo !)
	Ainsi, vos clés ne seront pas confondues avec le reste de vos données et il n'y a pas de risque de les effacer.		Ainsi, vos clés ne seront pas confondues avec le reste de vos données et il n'y a pas de risque de les effacer.

Legranblon : /* Objectif */

2007-07-04T06:53:34Z

Objectif

← Version précédente		Version du 4 juillet 2007 à 06:53
Ligne 2 :		Ligne 2 :
	[[Catégorie:Administration_système]]		[[Catégorie:Administration_système]]
	== Objectif ==		== Objectif ==
	Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en ~~complèment~~ du mot de passe		Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en complément du mot de passe

	== Logiciels et matériel utilisés ==		== Logiciels et matériel utilisés ==

Jmelyn : /* Faire les essais ! */

2007-06-06T14:56:37Z

Faire les essais !

← Version précédente		Version du 6 juin 2007 à 14:56
Ligne 114 :		Ligne 114 :
	== Faire les essais ! ==		== Faire les essais ! ==
	Normalement vous pouvez vous délogguer, et faire l'essai !		Normalement vous pouvez vous délogguer, et faire l'essai !
	Dans un premier temps je vous conseille d'utiliser l'authentification par clé ou par mot de passe, car, si l'identification par clé ne fonctionne pas, vous pourrez toujours vous logguer avec votre mot de passe pour corriger ce qui ne ~~vas~~ pas.		Dans un premier temps je vous conseille d'utiliser l'authentification par clé ou par mot de passe, car, si l'identification par clé ne fonctionne pas, vous pourrez toujours vous logguer avec votre mot de passe pour corriger ce qui ne va pas.

	=== Rattrapper les erreurs ===		=== Rattrapper les erreurs ===
	Si par malheur vous avez modifié le fichier en mettant		Si par malheur vous avez modifié le fichier en mettant
	auth required pam_sub.so		auth required pam_sub.so
	et que votre clé ne fonctionne plus, alors vous ne pouvez plus vous ~~loogguer~~ !		et que votre clé ne fonctionne plus, alors vous ne pouvez plus vous loguer !
	La solution consiste en booter sur un Live-CD, monter votre partition système, et modifier le fichier pour supprimer l'identification par clé.		La solution consiste à booter sur un Live-CD, monter votre partition système, et modifier le fichier pour supprimer l'identification par clé.

	(à tester) Une autre solution consiste à booter sur un kernel avec l'option '''single'''. En général les kernels marqués par '''failsafe''' dans le bootloader comportent cette option.		(à tester) Une autre solution consiste à booter sur un kernel avec l'option '''single'''. En général les kernels marqués par '''failsafe''' dans le bootloader comportent cette option.

	{{Copy\|28 fév 2006\|[[Utilisateur:Thomas.debay\|Thomas.debay]]\|CC-BY-SA}}		{{Copy\|28 fév 2006\|[[Utilisateur:Thomas.debay\|Thomas.debay]]\|CC-BY-SA}}

Jmelyn : /* Logiciels et matériel utilisés */

2007-06-06T14:52:53Z

Logiciels et matériel utilisés

← Version précédente		Version du 6 juin 2007 à 14:52
Ligne 12 :		Ligne 12 :
	N'importe quelle clé USB reconnue sous Linux devrait convenir. La capacité nécessaire est infime : 1 Ko suffit pour un utilisateur, avec une clé DSA de 1024 bits !		N'importe quelle clé USB reconnue sous Linux devrait convenir. La capacité nécessaire est infime : 1 Ko suffit pour un utilisateur, avec une clé DSA de 1024 bits !

	Une bonne solution pour encore plus de sécurité est de partionner votre clé : vous pouvez créer une petite partition à la fin de la clé, d'environ 1 Mo (ce qui est largement suffisant pour stocker quelques clés, en ~~thérories~~ on pourrait en mettre 500 dans 1 Mo !)		Une bonne solution pour encore plus de sécurité est de partionner votre clé : vous pouvez créer une petite partition à la fin de la clé, d'environ 1 Mo (ce qui est largement suffisant pour stocker quelques clés, en théorie on pourrait en mettre 500 dans 1 Mo !)
	Ainsi, vos clés ne seront pas confondues avec le reste de vos données et il n'y a pas de risque de les effacer.		Ainsi, vos clés ne seront pas confondues avec le reste de vos données et il n'y a pas de risque de les effacer.

Fred : catégorisation

2007-06-06T12:35:56Z

catégorisation

← Version précédente		Version du 6 juin 2007 à 12:35
Ligne 1 :		Ligne 1 :
	[[Catégorie:Sécurité]]		[[Catégorie:Sécurité]]
			[[Catégorie:Administration_système]]
	== Objectif ==		== Objectif ==
	Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en complèment du mot de passe		Permettre l'identification d'un utilisateur par une clé USB, en remplacement ou en complèment du mot de passe

S'identifier par une clé USB - Historique des versions

Lea le 28 décembre 2023 à 09:03

Jiel : balises code

Jiel le 31 décembre 2010 à 13:57

Janotin : /* Facultatif : cryptage des clés */

Seafire le 28 août 2007 à 18:45

Seafire : /* Logiciels et matériel utilisés */

Legranblon : /* Objectif */

Jmelyn : /* Faire les essais ! */

Jmelyn : /* Logiciels et matériel utilisés */