Table of Contents

Введение

В данной инструкции описывается, как настроить модуль pam_pkcs11 для работы с библиотекой librtpkcs11ecp.so.

Стенд

Нам понадобится токен или смарт-карта семейства Рутокен ЭЦП, отформатированные через Панель управления Рутокен Утилита администрирования Рутокен (rtadmin).

Настройки для токена и смарт-карты идентичны.

Проверка модели токена

Подключите USB-токен к компьютеру.
Для определения названия модели USB-токена откройте Терминал и введите команду:

...

В результате в окне Терминала отобразится название модели USB-токена:

Image RemovedImage Added

Убедитесь, что используете: Aktiv Rutoken ECP

Если вы используете смарт-карту Рутокен, то проверку проходить не требуется.

Общий порядок действий

...

Установка необходимых пакетов и их

...

зависимостей

Для этого вы можете воспользоваться Терминалом:

sudo

$

su

#

apt-get install opensc pam_pkcs11 pcsc-lite-ccid openssl-engine_pkcs11

Или из меню запустить Приложения - Системные - Программа управления пакетами Synaptic и используя быстрый поиск выбрать для установки пакеты:

opensc,
pam_pkcs11,
pcsc-lite-ccid,
openssl-engine_pkcs11.

...

Установка библиотеки PKCS#11 для вашей системы

Если установка завершилась корректно, то в папке /usr/lib (или /usr/lib64) появится библиотека librtpkcs11ecp.so.

...

Проверка работы токена или смарт-карты

Подключаем токен или смарт-карту к компьютеру. Запускаем dmesg Запускаем dmesg и убедимся в том, что устройство опредилось определилось корректно.

Для 32-битной версии используйте команду:

$ pkcs11

$ pkcs11-tool --module

/usr/lib/librtpkcs11ecp.so -T

Для 64-битной версии используйте команду:

$ pkcs11

$ pkcs11-tool --module

/usr/lib64/librtpkcs11ecp.so -T

...

Создание ключевой пары

Если у вас уже имеется выписанная на токен ключевая пара RSA с привязанным к ней сертификатом, то вы можете использовать их для аутентификации.

...

Для 32-битной версии используйте команду:

$ pkcs11

$ pkcs11-tool --module

/usr/lib/librtpkcs11ecp.so --keypairgen --key-type

rsa:2048 -l --id

45

Для 64-битной версии используйте команду:

$ pkcs11

$ pkcs11-tool --module

/usr/lib64/librtpkcs11ecp.so --keypairgen --key-type

rsa:2048 -l --id

45

Image RemovedImage Added

Утилита pkcs11-tool входит в состав opensc.

Параметры, задаваемые в этой строке:

`--module <arg>`	путь к библиотеке pkcs11 (обязательный параметр)
`--keypairgen`	генерация ключевой пары
`-- key-type <arg>`	задает тип и длину ключа. В нашем случае тип – rsa, длина - 2048 бит (с длиной ключа 1024 бит возникают проблемы)
`-l`	запрос PIN-кода токена до каких-либо операций с ним (обязательный параметр)
`--id <arg>`	определяет id создаваемого объекта (понадобится при создании сертификата)

...

Создание сертификата в формате PEM

Запускаем openssl и подгружаем модуль поддержки pkcs11:

Для 32-битной версии используйте команду:

$ openssl

OpenSSL> engine

OpenSSL> engine dynamic -pre SO_PATH:/usr/

lib

lib64/openssl/engines

/libpkcs11_gost

-1.1/pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:

1

1 -pre LOAD -pre MODULE_PATH:/usr/lib/librtpkcs11ecp.so

Для 64-битной версии используйте команду:

$ openssl

OpenSSL> engine

OpenSSL> engine dynamic -pre SO_PATH:/usr/lib64/openssl/engines

/libpkcs11_gost

-1.1/pkcs11.so -pre ID:pkcs11 -pre LIST_ADD:

1

1 -pre LOAD -pre MODULE_PATH:/usr/lib64/librtpkcs11ecp.so

Image RemovedImage Added

Создаем сертификат в PEM-формате. Внимание! При выполнении этой команды запрашивается PIN-код пользователя.

OpenSSL> req -engine pkcs11 -new -key 0:45 -keyform engine -x509 -out cert.pem -text

Image RemovedImage Added

Здесь:

`-key`	указывает закрытый ключ (в нашем случае 0:45 – слот:ID ключа)
`-x509`	выдает самоподписанный сертификат

...

Конвертация сертификата из формата PEM в формат CRT (DER)

OpenSSL> x509 -in cert.pem -out cert.crt -outform DER

...

Сохранение сертификата на аутентифицирующий носитель

Закрываем openssl (используя команду exit). Cохраняем сертификат CRT на Рутокен. Внимание! При выполнении этой команды запрашивается PIN-код пользователя.

Для 32-битной версии используйте команду:

$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -l -y cert -w cert.crt --id 45

Для 64-битной версии используйте команду:

$ pkcs11-tool --module /usr/lib64/librtpkcs11ecp.so -l -y cert -w cert.crt --id 45

Image RemovedImage Added

Здесь:

`-y <arg>`	тип объекта (может быть `cert, privkey, pubkey, data)`
`-w <arg>`	записать объект на токен

...

Проверка, что на токене есть всё, что необходимо

Внимание! При выполнении команды запрашивается PIN-код пользователя.

Для 32-битной версии используйте команду:

$ pkcs11-tool --module /usr/lib/librtpkcs11ecp.so -O -l

Для 64-битной версии используйте команду:

$ pkcs11-tool --module /usr/lib64/librtpkcs11ecp.so -O -l

9 Создаем файлы конфигурации pam_pkcs11

Image Added

Включение аутентификации по внешнему носителюВоспольуемся примерами, которые предоставляют разработчики pam_pkcs11.

Потребуются права суперпользователя:

$

su

Password

:
#

...

# cp /usr/share/pam_pkcs11/pam_pkcs11.conf.example /etc/security/pam_pkcs11/pam_pkcs11.conf

:

...

#

cp /usr/share/pam_pkcs11/subject_mapping.example /etc/security/pam_pkcs11/subject_mapping

...

#

cp /usr/share/doc/pam_pkcs11/pam_pkcs11.conf.example /etc/security/pam_pkcs11/pam_pkcs11.conf
# cp /usr/share/doc/pam_pkcs11/subject_mapping.example /etc/security/pam_pkcs11/subject_mapping

на вопрос о переписывании файла следует ответить "y"

10 Включаем аутентификацию по внешнему носителю

#

rm /etc/pam.d/system-auth
# ln -s /etc/pam.d/system-auth-pkcs11 /etc/pam.d/system-auth

на вопрос об удалении ссылки следует ответить "y"

...

Редактирование конфигурации аутентификации в системе

Отредактируем вторую строчкупервую строку файла конфигурации /etc/pam.d/system-auth.

...

Для редактирования можно воспользоваться редактором mceditpluma

#

mcedit

pluma /etc/pam.d/system-auth

Для 32-битной версии используйте строку:

auth [success=1 default=ignore] pam_pkcs11.so pkcs11_module=/usr/lib/librtpkcs11ecp.so

Для 64-битной версии используйте строку:

auth [success=1 default=ignore] pam_pkcs11.so pkcs11_module=/usr/lib64/librtpkcs11ecp.so

...

Редактирование конфигурации pam_pkcs11

Отредактируем файл /etc/security/pam_pkcs11/pam_pkcs11.conf

...

Для редактирования можно воспользоваться редактором mceditpluma

#

mcedit

pluma /etc/security/pam_pkcs11/pam_pkcs11.conf

Для 32-битной версии используйте:

pam_pkcs11 {
  nullok = false;
  debug = false;
  use_first_pass = false;
  use_authtok = false;
  card_only = false;
  wait_for_card = false;
  use_pkcs11_module = rutokenecp;
 
  # Aktiv Rutoken ECP
  pkcs11_module rutokenecp {
    module = /usr/lib/librtpkcs11ecp.so
    slot_num = 0;
    support_thread =

true

 true;

ca

    ca_dir = /etc/security/pam_pkcs11/cacerts;

crl

    crl_dir = /etc/security/pam_pkcs11/crls;

cert

    cert_policy = signature;
  }

use

  use_mappers =

subject

 opensc;

mapper

  mapper_search_path = /lib/pam_pkcs11;

mapper subject {
debug =

# Search certificates from $HOME/.eid/authorized_certificates to match users
mapper opensc {
debug = false;

module

= internal;
ignorecase = false;
mapfile = file:///etc/security/

 = /lib64/pam_pkcs11/

subject

opensc_

mapping

mapper.so;

}
}

Для 64-битной версии замените строку

module = /usr/lib/librtpkcs11ecp.so на строку module = /usr/lib64/librtpkcs11ecp.so

и строку

mapper_search_path = /lib/pam_pkcs11; на строку mapper_search_path = /lib64/pam_pkcs11;

...

Добавление связки сертификата на токене с пользователем системы ALT Linux.

Для этого выполняем команду pkcs11_inspect

# pkcs11_inspect > /etc/security/pam_pkcs11/subject_mapping

Используя текстовый редактор закомментируем или удаляем ненужные строчки

Для этого можно использовать редактор mcedit

# mcedit /etc/security/pam_pkcs11/subject_mapping

# Printing data for mapper subject:
/C=RU/ST=Moscow/L=Moscow/O=Aktiv/OU=Aktiv/CN=alt/emailAddress=alt@mail.ru -> alt

Внимание! Вместо alt нужно установить имя пользователя в вашей системе

Если вы не знаете имя пользователя запустите команду whoami (без прав суперпользователя)

$ whoami

...

Добавляем сертификат в список доверенных сертификатов

$ mkdir ~/.eid
$ chmod 0755 ~/.eid
$ cat cert.pem >> ~/.eid/authorized_certificates
$ chmod 0644 ~/.eid/authorized_certificates

Проверка настроек

Проверьте, что настройка была выполнена верно, используя команду login. Не завершайте свою сессию, пока не убедитесь в том, что все работает корректно.

Если команда login выполняется успешно, то вы можете завершать свою сессию и использовать аутентификацию по токенам и смарт-картам Rutoken.

Image RemovedImage Added

В случае возникновения ошибок еще раз проверьте все настройки. Для выявления проблемы вы так же можете включить вывод дополнительной информации при аутетификацииаутентификации.

Для этого:

В файле pam_pkcs11.conf исправьте все строки вида "debug = false;", на строки "debug = true;".
В конец второй строки файла конфигурации /etc/pam.d/system-auth добавьте слово "debug".

Не забудьте отключить вывод дополнительной инфомации информации после настройки системы.

...

На этом настройка закончена. После перезапуска ОС окно входа в систему будет выглядеть так:

Image RemovedImage Added

...

Другие пользователи

При необходимости добавить вход по токену для других пользователей следует:

...

В обоих случаях в файле subject_mapping должно оказаться две (или несколько) записей.

Page tree

Versions Compared

Old Version 1

New Version Current

Key

Введение

Стенд

Проверка модели токена

Общий порядок действий

Установка необходимых пакетов и их

зависимостей

Установка библиотеки PKCS#11 для вашей системы

Проверка работы токена или смарт-карты

Создание ключевой пары

Создание сертификата в формате PEM

Конвертация сертификата из формата PEM в формат CRT (DER)

Сохранение сертификата на аутентифицирующий носитель

Проверка, что на токене есть всё, что необходимо

9 Создаем файлы конфигурации pam_pkcs11

Image Added

10 Включаем аутентификацию по внешнему носителю

Редактирование конфигурации аутентификации в системе

Редактирование конфигурации pam_pkcs11

Добавление связки сертификата на токене с пользователем системы ALT Linux.

Проверка настроек

Другие пользователи

Page tree

Pages … Портал документации Рутокен Рутокен для двухфакторной аутентификации Linux Локальная аутентификация в ALT Linux 9.0 и новее по Рутокен ЭЦП Page History

Versions Compared

Old Version 1

New Version Current

Key

Введение

Стенд

Проверка модели токена

Общий порядок действий

Установка необходимых пакетов и их

зависимостей

Установка библиотеки PKCS#11 для вашей системы

Проверка работы токена или смарт-карты

Создание ключевой пары

Создание сертификата в формате PEM

Конвертация сертификата из формата PEM в формат CRT (DER)

Сохранение сертификата на аутентифицирующий носитель

Проверка, что на токене есть всё, что необходимо

9 Создаем файлы конфигурации pam_pkcs11

Image Added

10 Включаем аутентификацию по внешнему носителю

Редактирование конфигурации аутентификации в системе

Редактирование конфигурации pam_pkcs11

Добавление связки сертификата на токене с пользователем системы ALT Linux.

Проверка настроек

Другие пользователи

Pages

Портал документации Рутокен
Рутокен для двухфакторной аутентификации
Linux
Локальная аутентификация в ALT Linux 9.0 и новее по Рутокен ЭЦП

Page History