Autenticazione via token con PAM USB: differenze tra le versioni

== Introduzione ==

L'autenticazione a un servizio del sistema, che si tratti del login a una console o un display manager oppure di una qualunque operazione per cui siano necessari determinati privilegi (<code>su</code>, <code>sudo</code>, ecc... ), è gestita in maniera centralizzata dalla libreria PAM e solitamente effettuata mediante la richiesta di una password associata all'utente.

== Installazione ==

È sufficiente installare due pacchetti:

Finito! Ora bisogna solo associare la memoria USB agli utenti che si desidera e creare un profilo.

Anche per queste distribuzioni è sufficiente installare due pacchetti, solo che <code>pamusb-common</code> sostituisce il precedente <code>pamusb-tools</code>, che in '''Wheezy''' e successive è solo un metapacchetto presente per permettere un aggiornamento indolore, quindi installiamo direttamente il primo:

== Configurazione di pamusb ==

L'unico requisito è la disponibilità di una penna USB, nella quale verranno salvate le password richieste per l'autenticazione nella sessione successiva.

Si può utilizzare la stessa per più utenti, anche se la cosa ha senso unicamente se a tali utenti del sistema corrisponde un unico utente fisico, e anche per più utenti di più sistemi, purché con hostname diverso (e per cui ancor più vale la stessa considerazione).

Inserire la pendrive nella porta USB e darle un nome che ci consenta di identificarla, inserendolo al posto di NOME:

Nuovamente verrà richiesta una conferma, e in caso si siano aggiunte più chiavette si potrà scegliere quale associare all'utente scelto. Per una guida passo-passo alla configurazione si veda al solito l'e-zine.  

<pre><defaults>

</defaults></pre>

È possibile anche disabilitarlo solo per alcuni utenti e solo per alcuni servizi.

== Creazione di un profilo ==

Se si utilizza '''Debian Wheezy''' o una più recente, si possiede già il profilo per la '''Alternative mode'''. Non è quindi necessario fare alcunché e si può passare direttamente alla fase di test, salvo si voglia un'altra modalità.

{{Warningbox | Tutti gli utenti per cui è richiesta - e non solo sufficiente - questa forma di autenticazione devono essere aggiunti a una pendrive USB, oppure non potranno più autenticarsi al sistema. Lo stesso root, se abilitato, non fa eccezione.

=== Alternative mode ===

Modalità di autenticazione che prevede la richiesta di password soltanto se il token USB non è inserito. È possibile permetterla soltanto a un insieme limitato di utenti, visto che il fallimento dell'autenticazione via USB non compromette l'autenticazione, ma porta solo alla richiesta della password.

=== Additional mode ===

Modalità che prevede la richiesta contemporanea di password e l'inserimento della penna USB.

Default: yes

Priority: 257

Auth:

     required      pam_usb.so</pre>

=== Unique mode ===

Modalità che prevede soltanto l'autenticazione via token USB.

=== Custom mode ===

Modalità personalizzata, che consente l'uso di una modalità ''Alternative'' o ''Additional'' a seconda dell'utente. Quella qui presentata richiede entrambe le forme di autenticazione per root, mentre una qualsiasi per gli altri utenti.

Quindi un utente normale soddisferà la prima condizione (''uid > 0'') e salterà una riga (''success=1''), eseguendo direttamente l'ultima che coincide con la '''Alternative mode'''. Al contrario root leggerà la seconda riga, corrispondente alla policy per la '''Additional mode'''; infatti in caso di successo salterà la terza riga e passerà ai moduli di priorità inferiore (la richiesta di password) mentre in tutti gli altri casi l'autenticazione fallirà (''default=bad''). Impostare ''default=die'' in luogo di ''default=bad'' se si vuole far capire all'utente che il fallimento è dovuto alla mancata autenticazione USB.

== Salvare la configurazione ==

Per rendere effettive le modifiche, una volta scelta la policy più adatta per le nostre esigenze o creata una personalizzata, sarà sufficiente eseguire il seguente comando:

Se è deselezionata, spuntare la casella di "USB authentication", lasciare le altre come sono e confermare su "Ok". Verranno rigenerati i file con prefisso "<code>common-</code>" nella directory <code>/etc/pam.d</code>, richiamati da (quasi) tutti gli altri file di configurazione.

== Test di funzionamento ==

Per controllare se abbiamo fatto giusto, usiamo <code>pamusb-check</code> e il nome utente da verificare al posto di NOME_UTENTE:

<pre>echo $?</pre>

== Disattivazione ==

È sufficiente eseguire '''pam-auth-update''':

<pre># pam-auth-update</pre>

== Disinstallazione ==

Per eliminare i pacchetti installati dal sistema è prima necessario ripristinare (in '''Debian Wheezy''' e successive contiene il profilo della '''Alternative mode''') o rimuovere il file <code>/usr/share/pam-configs/usb</code>, annullando le modifiche effettuate in fase di configurazione, e aggiornare PAM.

=== APT con Debian Squeeze ===

<pre># apt-get remove libpam-usb pamusb-tools</pre>

<pre># apt-get purge libpam-usb pamusb-tools</pre>

<pre># apt-get remove libpam-usb pamusb-common</pre>

=== Pulizia del sistema ===

Per completare l'opera di pulizia del sistema si possono eliminare manualmente anche la directory <code>.pamusb</code> nella home di tutti gli utenti aggiunti a questo modulo.

== Fonti e link aggiuntivi ==

* [https://github.com/aluzzardi/pam_usb Sito ufficiale del modulo pamusb]

* [http://e-zine.debianizzati.org/web-zine/numero_4/?page=48 Articolo sull'e-zine n. 4 di debianizzati]

{{Autori

}}

[[Categoria:Debian e sicurezza]]