Портал документации Рутокен

Page tree

Общая информация

В статье описана настройка локальной аутентификации в РЕД ОС с помощью устройства Рутокен MFA по технологиям U2F и FIDO2. Аутентификация выполняется через модуль PAM, который проверяет прикосновение к устройству и, опционально, ввод PIN-кода при входе пользователя в систему.

Установка необходимых пакетов

Для работы понадобится 3 пакета:
- pam-u2f – модуль PAM с поддержкой технологий аутентификации U2F и FIDO2.
- pamu2fcfg – пакет создает конфигурацию для модуля pam-u2f и осуществляет процедуру регистрации аутентификатора U2F/FIDO2.
- fido2-tools – пакет для управления аутентификатором U2F/FIDO2 (например, сброс токена или назначения PIN-кода).

Для установки этих пакетов необходимо открыть терминал и выполнить команду:

$ sudo dnf install fido2-tools pam-u2f pamu2fcfg -y

В РЕД ОС Рутокен MFA можно использовать в двух сценариях аутентификации:

  • Как второй фактор после ввода логина и пароля в виде прикосновения к токену.
  • Как замена ввода пароля на ввод PIN-кода Рутокен MFA и прикосновение к токену.

Установка нового PIN-кода для Рутокен MFA

  1. Запустите терминал.
  2. Подключите Рутокен MFA.

  3. Выведите список подключенных устройств. Для этого выполните команду:

    $ fido2-token -L

    Вывод команды должен быть следующим:

    /dev/hidraw1: vendor=0x0a89, product=0x0093 (Aktiv Co. FIDO)

    Нужна строка /dev/hidraw1

  4. Выполните команду установки нового PIN-кода:

    $ fido2-token -S /dev/hidraw1

  5. Дважды введите новый PIN-код:

    Enter new PIN for /dev/hidraw1: 
Enter the same PIN again: 

    Рутокен MFA готов к работе.

Настройка второго фактора

  1. Запустите терминал.

  2. Выполните команду:

    $ mkdir -p /tmp/aktivco
  3. Подключите Рутокен MFA.

  4. Выполните команду:

    $ pamu2fcfg > /tmp/aktivco/u2f_keys

    В процессе выполнения команды необходимо будет прикоснуться к устройству Рутокен MFA.

  5. Выполните команду:

    $ sudo mkdir -p /etc/aktivco

  6. Выполните команду:

    $ sudo mv /tmp/aktivco/u2f_keys /etc/aktivco/u2f_keys

  7. Выполните команду:

    $ sudo nano /etc/pam.d/system-auth

  8. Добавьте строку:

    auth sufficient pam_u2f.so authfile=/etc/aktivco/u2f_keys
  9. Сохраните файл /etc/pam.d/system-auth

  10. Выполните команду:

    $ sudo nano /etc/pam.d/password-auth

  11. Добавьте строку:

    auth sufficient pam_u2f.so authfile=/etc/aktivco/u2f_keys
  12. Сохраните файл /etc/pam.d/password-auth

  13. Проверьте, что запрашивается касание в момент входа пользователя, выполнив команду:

    $ su user

Настройка связки PIN-код+касание

  1. Запустите терминал.

  2. Выполните команду:

    $ pamu2fcfg -u <username> > /tmp/u2f_mappings 
# В случае ввода команды без параметра <username> файл конфигурации будет создан для текущего пользователя

    В процессе выполнения команды необходимо будет прикоснуться к устройству Рутокен MFA.

    В результате должен появиться файл со следующим содержимым:

    $ cat /tmp/u2f_mappings 
user:hOzdi1ekgoVWLEzQH20uWJmoA3Dwno53zd2WCvlApHwfMVp/zz3+awUbeCL0E3pe,jzL+t6w7vhBgR2wwO+61/g8aliGNbDUpYZj6mxLXain4F1bQB0rvnwzP3n+n/GIXUp5Oiui0Du7/aKP/pE27PQ==,es256,+presence

    Настройка для нескольких пользователей

    Если необходимо настроить аутентификацию для двух пользователей на одно устройство Рутокен MFA, выполните шаг 3 с указанием нужных пользователей.
    Выводы команд cat /tmp/u2f_mappings, необходимо скопировать и внести в файл /etc/u2f_mappings в любом доступном текстовом редакторе.
    Файл будет иметь следующий вид:

    root:8lMm/uSyoGpsGB479EhldWLQEhiGHbPl6q20ATVVprpqtEDR/WomNoDwVHe9ic71,ndk/EAiGuQjgbsWpKSq8NMrJljp+NkLWli5P45fjmh5gKQnZUQ5E1pQd3CMtQ4aRvUod6YQoenAIsIVZiuM4iA==,es256,+presence

    user:PIhZbyWfUOgJjeBkXApuP+OMynOwl7lW7jCfEqhTjYAgbi0OTaPHhzZ4s+VeM6db,es9oaEOS5L4yo9DNnoesJqiq8/y2E+xs89BwxNK2mn1g463yCpRaDTkEd9bQE3YRDj6El1suKjv5GUAvwjxevg==,es256,+presence

  3. Выполните команду:

    $ sudo mv /tmp/u2f_mappings /etc/u2f_mappings

  4. Выполните команду:

    $ sudo nano /etc/pam.d/system-auth

  5. Добавьте строку:

    auth sufficient pam_u2f.so authfile=/etc/u2f_mappings cue pinverification=1
  6. Сохраните файл /etc/pam.d/system-auth

  7. Выполните команду:

    $ sudo nano /etc/pam.d/password-auth

  8. Добавьте строку:

    auth sufficient pam_u2f.so authfile=/etc/u2f_mappings cue pinverification=1
  9. Сохраните файл /etc/pam.d/password-auth

  10. Проверьте, что запрашивается PIN-код Рутокен MFA при входе пользователя, выполнив команду:

    $ su user
Please enter the PIN: 
Please touch the device.
  11. Проверьте графический вход в систему. Вводите PIN-код и прикаснитесь к токену:


  • No labels