Autenticazione via token con PAM USB: differenze tra le versioni

{{Versioni compatibili|ONLY|Squeeze|Wheezy|Jessie}}

L'uso combinato di due diverse forme di autenticazione è molto diffuso in ambienti professionali dove la sicurezza ricopre un'importanza critica, e l'uso di <code>libpam-usb</code> e di una comune chiavetta USB possono rappresentare una soluzione molto economica e alla portata di tutti.

Per maggiori dettagli riguardo PAM e <code>libpam-usb</code> rimando all'articolo di pmate e Aki uscito nel [http://e-zine.debianizzati.org/web-zine/numero_4/?page=48 numero 4 dell'e-zine]. In questa guida vedremo solo come cambiare il comportamento di tutto ciò che si appoggia a tale libreria, in modo consistente anche in presenza di aggiornamenti del sistema o uso di altri moduli, senza mai modificare direttamente i file nella directory <code>/etc/pam.d</code>, anche se così si rinuncia a una maggiore possibilità di personalizzazione.

=== Usando APT con Debian 6 (Squeeze) ===

<pre># apt-get install libpam-usb pamusb-tools</pre>

Finito! Ora bisogna solo associare la memoria USB agli utenti che si desidera e creare un profilo.

=== Usando APT con Debian 7 (Wheezy) e Debian 8 (Jessie) ===

Esiste già un profilo di default in tali distribuzioni, il file <code>/usr/share/pam-configs/usb</code> fornito dal pacchetto <code>libpam-runtime</code> già presente nel sistema, corrispondente alla '''Alternative mode'''. Pertanto è necessario modificarlo unicamente se si intende scegliere un'altra modalità.

== Configurazione di pamusb ==

L'unico requisito è la disponibilità di una penna USB, nella quale verranno salvate le password richieste per l'autenticazione nella sessione successiva.

Verrà richiesta una conferma e si potrà scegliere una qualunque tra le memorie USB collegate, che sarà aggiunta al file <code>/etc/pamusb.conf</code>.

Se si desidera disabilitare l'output, che in caso di autenticazione via console o terminale rende chiaro se il modulo USB è stato autenticato o meno, modificare con [[privilegi di amministrazione]] i defaults nel file <code>/etc/pamusb.conf</code>, aggiungendoci la riga con <code>'''<option name="quiet">true</option>'''</code>:

     <option name="quiet">true</option>

Ora '''pamusb''' è configurato, resta da modificare soltanto il comportamento dei file di configurazione di PAM affinché il modulo sia richiamato.

== Creazione di un profilo ==

Se si utilizza '''Debian Wheezy''' o una più recente, si possiede già il profilo per la '''Alternative mode'''. Non è quindi necessario fare alcunché e si può passare direttamente alla fase di test, salvo si voglia un'altra modalità.

Se la modalità di default non va bene o si utilizza '''Debian Squeeze''', va scelta la policy da adottare tra quelle presentate nelle sottosezioni successive. Si tratta poi di modificare (o di creare con '''Squeeze''') con [[privilegi di amministrazione]] e il proprio editor preferito il file <code>/usr/share/pam-configs/usb</code> con il contenuto scelto.

 

In caso di problemi per bypassare il modulo l'unico modo sarà durante l'avvio, scegliendo la modalità singolo utente messa a disposizione da ''grub''.}}

 

Il file creato costituisce il profilo utilizzato per la generazione automatica dei file di configurazione di default di PAM (<code>/etc/pam.d/common-*</code>), che non modificheremo manualmente. Per una veloce introduzione sul suo funzionamento, si consideri a titolo esemplificativo quanto segue:

* <code>Default</code> indica se il modulo di default è abilitato (l'impostazione manuale effettuata con <code>pam-auth-update</code> ha priorità su quella di default, ma se non si cambia nulla verrà mantenuta questa) e lo imposteremo sempre su ''yes'';

* <code>Priority</code> determina l'ordine in cui verrà caricato il modulo, seguendo un ordinamento decrescente. Considerando che <code>pam_unix.so</code> che si occupa dell'autenticazione locale mediante richiesta di password ha priorità ''256'', ''257'' andrà bene se si vuole che venga richiamato prima il modulo '''pamusb''' mentre ''255'' altrimenti. In questa guida verrà usato quasi sempre ''257'';

* <code>Auth-Type</code> può essere ''Primary'' o ''Additional''. Nel primo caso viene eseguito solo se l'autenticazione non è già stata provvista da un altro modulo (purché sufficiente), nel secondo a prescindere ma non contribuirà all'esito dell'autenticazione. Le priorità tra i due tipi sono risolte separatamente e per i nostri usi andrà sempre bene ''Primary'';

* infine <code>Auth</code> indica se considerare l'autenticazione del modulo sufficiente (con ''sufficient'') se tutti quelle con priorità maggiore non falliscono, oppure se considerarla un requisito necessario (con ''required'') e richiama il modulo <code>pam_usb.so</code> (eventualmente passandoci anche dei parametri). È la parte più importante e quella che siamo interessati a modificare.

Utilizzare ''requisite'' in luogo di ''required'' per non chiedere la password in caso di fallimento. Con ''required'' tuttavia non si riuscirà a capire quale modulo ha fallito ed è l'impostazione più sicura.

     [success=done default=die]    pam_usb.so</pre>

Si è impostata una priorità molto maggiore, visto che deve sostituire ogni altra forma di autenticazione locale (che devono avere priorità inferiore a 512).

In luogo di ''sufficient'' e ''requisite'' per le due modalità già viste si è utilizzata una forma intermedia, che salta l'esecuzione delle regole rimanenti tanto in caso di successo (''success=done'') che di fallimento (''default=die''), in modo che l'autenticazione dipenda soltanto da questo modulo. Per maggiori dettagli si veda il manuale (<code>man pam.d</code>).

<code>pam_succeed_if.so</code> è un modulo che ha successo unicamente se la condizione è soddisfatta, e chiaramente uid è uguale a zero soltanto per l'utente root, mentre è maggiore per tutti gli altri. Al posto di ''sufficient'' e ''required'' si è impostata una policy più complessa, e per un'analisi più dettagliata si rimanda alla pagina di manuale (<code>man pam.d</code>), nella quale in caso di fallimento del modulo non succede niente (''default=ignore'') ma se la condizione è soddisfatta vengono saltate un certo numero di righe (''success=N'').

Quindi un utente normale soddisferà la prima condizione (''uid > 0'') e salterà una riga (''success=1''), eseguendo direttamente l'ultima che coincide con la '''Alternative mode'''. Al contrario root leggerà la seconda riga, corrispondente alla policy per la '''Additional mode'''; infatti in caso di successo salterà la terza riga e passerà ai moduli di priorità inferiore (la richiesta di password) mentre in tutti gli altri casi l'autenticazione fallirà (''default=bad''). Impostare ''default=die'' in luogo di ''default=bad'' se si vuole far capire all'utente che il fallimento è dovuto alla mancata autenticazione USB.

{{Box | Sudo | È da notare che con <code>sudo</code> verrà usata la policy dipendente dalla password richiesta, di default quella dell'utente che invoca il comando e quindi si userebbe una '''Alternative mode'''. Ma i comandi permessi con il tag ''NOPASSWD:'' saranno eseguibili come sempre senza alcuna forma di autenticazione.}}

Se è deselezionata, spuntare la casella di "USB authentication", lasciare le altre come sono e confermare su "Ok". Verranno rigenerati i file con prefisso "<code>common-</code>" nella directory <code>/etc/pam.d</code>, richiamati da (quasi) tutti gli altri file di configurazione.

Per controllare se abbiamo fatto giusto, usiamo <code>pamusb-check</code> e il nome utente da verificare al posto di NOME_UTENTE:

Se abbiamo disabilitato l'output non restituirà niente a schermo, controlliamo allora il suo valore di uscita (0 significa tutto ok, qualunque altro valore che il testo è fallito) eseguendo questo comando ''subito dopo'' il precedente, dato che restituisce il valore di ritorno dell'ultimo comando eseguito:

Proviamo tutti gli utenti, e in particolare root se utilizziamo una modalità diversa dalla '''Alternative'''.

È sufficiente eseguire '''pam-auth-update''':

Dopo aver riconfigurato o rimosso il file, rendere effettivi i cambiamenti con:

<pre># pam-auth-update</pre>

 

<pre># apt-get remove libpam-usb pamusb-tools</pre>

<pre># apt-get purge libpam-usb pamusb-tools</pre>

 

 

 

Per completare l'opera di pulizia del sistema si possono eliminare manualmente anche la directory <code>.pamusb</code> nella home di tutti gli utenti aggiunti a questo modulo.

* [https://github.com/aluzzardi/pam_usb Sito ufficiale del modulo pamusb]

|Autore = [[Utente:HAL 9000|HAL 9000]] 11:28, 9 dic 2011 (CEST)