Настройка двухфакторной аутентификации в ОС ROSA Desktop

Короткая ссылка: Delete16

Ссылки сюда (2) →

Настройка двухфакторной аутентификации в ОС ROSA Desktop Fresh R9

Применимость

Назначение

В данной инструкции описан процесс настройки двухфакторной аутентификации (2FA) в ОС ROSA Desktop Fresh R9.

Зачем использовать двухфакторную (многофакторную) аутентификацию и для чего она нужна?

Двухфакторная (многофакторная) аутентификация нужна для усиления безопасности при попытке входа в операционную систему и во всех остальных случаях, когда требуется подтверждение подлинности пользователя. Таким образом, она существенно повышает безопасность всякий раз, когда нужно ввести пароль.

Пароль необходим, чтобы:

• Осуществить штатный вход в графическую оболочку ОС
• Разблокировать компьютер (ноутбук) при работающем хранителе экрана
• Осуществить повторный вход (скажем, когда требуется параллельно войти в систему ещё раз)
• Осуществить удалённое подключение к операционной системе (например, по протоколу SSH)
• Осуществить вход в текстовый терминал getty (Alt+F2...F6)
• Переключить контекст пользователя (если нужно использовать su, sudo и выполнить действия от имени другого пользователя или администратора root).

А теперь представьте:

• Вы подозреваете, что кому-то, возможно, стал известен ваш текущий пароль, а поменять его сразу нет возможности
• Ваш текущий пароль кто-то может подсмотреть во время ввода, например, незаметно встав у вас за спиной или применив зеркальце
• Вы подключаетесь к своему компьютеру по SSH из интернет-кафе или с чужого компьютера. Можно предположить, что когда вы набираете на чужом компьютере символы вашего имени и пароля, информация может быть перехвачена и использована злоумышленником
  • в интернете есть масса простых и бесплатных программ, которые осуществляют перехват ввода с клавиатуры и запись его в файл. Файл затем можно скопировать или передать;
  • в интернете можно приобрести особую клавиатуру, которая запишет ввод символов во встроенную в неё флеш-память. Также можно купить (или спаять самостоятельно) специальный USB-переходник для клавиатуры, который делает то же самое
• Вы опасаетесь, что ваш пароль слишком слабый или очевидный, и может быть легко подобран в уме злобными железными дядьками и тётьками из Мегатрона

Во всех перечисленных случаях хорошей мерой противодействия может быть использование двухфакторной аутентификации. Как это сделать, вам подскажет данное руководство. В результате вы научитесь настраивать ещё один барьер безопасности в своей системе. И вам останется лишь криво ухмыляться (ну или адски гоготать), глядя на работу интернет-бота, тщетно пытающегося подобрать пароли к вашей системе.

Многофакторная (в т. ч. двухфакторная) аутентификация основана на принципе, гласящем, что для подтверждения подлинности пользователя необходимо сочетание нескольких факторов:

• Пользователь знает что-то, чего не знает никто (например, свой пароль)
• Пользователь имеет что-то, чего не имеет никто (это может быть, например, одноразовый пароль или токен, содержащий ключ, и т. п.)
• Пользователь неотъемлемо обладает чем-то (как субъект материального мира), чем кроме него, не обладает никто (отпечаток пальца, радужка глаза, голос, и т. п.). В последнем случае, речь, как правило, идёт о применении т. н. биометрической аутентификации или биометрии.

Для ОС ROSA Desktop Fresh R9 мы предлагаем использовать двухфакторную аутентификацию с использованием одноразовых TOTP-паролей, которые актуальны всего 30 секунд.

Строго говоря, ниже описана двухэтапная аутентификация.

Тем, кто «в теме» и понимает разницу, а также специалистам по ИБ рекомендуем сразу читать последний параграф данной статьи.

Процесс настройки, описанный ниже, рекомендуется нами как наиболее удобный для пользователя. Вам не нужно производить каких-либо сложных действий, не требуется применять редкие программы или использовать дорогостоящее оборудование. К тому же после правильной настройки двухфакторную аутентификацию можно будет использовать без подключения к интернету.

Список поддерживаемых ОС семейства РОСА

В настоящее время поддерживаются следующие ОС (не ниже):

• ROSA Desktop Fresh R9 GNOME
• ROSA Desktop Fresh R9 KDE (при условии изменения менеджера входа с KDM на LightDM)
• ROSA Desktop Fresh R9 Plasma (при условии изменения менеджера входа с SDDM на LightDM)
• Любая ОС ROSA (Fresh/RED) платформы 2014.1 или 2016.1 с менеджером входа GDM либо LightDM

Что потребуется для настройки

• Установить на компьютер из нашего репозитория программу google-authenticator
• Взять смартфон или планшет (Windows Phone©, Android© или Apple© iOS©, без разницы), который превратится в ваш токен с ключом и станет генератором одноразовых паролей
• Сделать так, чтобы время на смартфоне и на компьютере совпадало. Допускается только незначительное расхождение по времени между устройствами
  • Для синхронизации времени лучше всего использовать серверы точного времени. Например, вы можете использовать наши публичные и общедоступные серверы времени — ntp.rosalinux.ru и ntp2.rosalinux.ru или любые другие по вашему желанию
• Шапочка из фольги (шутка)

Ограничения, о которых нужно знать

• Если вы потеряете смартфон или в нём сядет батарейка, вы не сможете зайти в ОС штатным способом
• Если у вас будет различаться время на компьютере и на телефоне, вы также не сможете зайти в ОС штатным способом
• Помните, что с ростом безопасности снижается удобство использования. Вам теперь постоянно придётся иметь под рукой работающий телефон и вводить два пароля вместо одного
• Переключение в контекст другого пользователя может стать проблемой: помимо пароля другого пользователя нужно будет знать его одноразовый пароль

Что вы получите в итоге

• Существенно вырастет безопасность. Теперь можно не опасаться скомпрометировать пароль пользователя или даже администратора (root)
• Вам не потребуется покупать дорогостоящее оборудование или программное обеспечение, чтобы повысить безопасность. Вы сможете сделать это себе бесплатно после несложной настройки (или соседу за тысячу рублей)
• Вы будете знать, что ваша система повышения безопасности — только ваша и ничья ещё. Никакие сторонние сервисы не используются
• Вы будете на практике использовать современные технологии информационной безопасности в повседневной жизни
• Кто-то может перенять ваш опыт и начать использовать 2FA, чем повысит безопасность своей системы
• Вы сможете повысить свою самооценку перед родными, друзьями и знакомыми :)

Принцип настройки и работы 2FA в ROSA Desktop Fresh R9

Работа 2FA в ROSA Fresh базируется на следующих принципах:

• Используется односторонний алгоритм аутентификации по одноразовым паролям на основе времени — TOTP (Time-based One Time Password Algorithm, RFC 6238)
• На компьютере при установке и первичной настройке для каждого пользователя генерируется 80-битный секретный ключ. Он отображается с помощью QR-кода (по умолчанию) или отображается как 16- (по умолчанию), 26- или 32-значный код в кодировке Base32
• QR-код сканируется прямо с экрана компьютера специальным приложением смартфона (или в телефонное приложение вручную вводится образованный на компьютере цифровой 16-значный код)
• Приложение на телефоне создаёт HMAC-SHA1, используя этот секретный QR-код (16-значный код) в качестве основы (ключа) для расчётов
• Затем часть HMAC извлекается и преобразуется в шестизначный (по умолчанию) одноразовый пароль, отображаемый программой на экране смартфона
• Одноразовый пароль действует 30 секунд (по умолчанию)

Программы для смартфонов/планшетов, необходимые к установке

Ниже приведён список доступных на момент написания данной статьи бесплатных программ для генерации одноразовых паролей. Мы постарались охватить весь спектр современных смартфонов, по крайней мере, абсолютное их большинство.

Помимо бесплатных приложений есть ещё и платные, но в данном руководстве мы их описывать не будем.

Для смартфона/планшета с системой Android©

• FreeOTP Authenticator;
• Google Authenticator;

Для смартфона/планшета компании Apple© с системой iOS©

• FreeOTP Authenticator;
• Google Authenticator;

Для смартфона с системой Microsoft© Windows Phone© или планшета Microsoft© Surface©

• Microsoft Authenticator.

Настройка операционной системы ROSA Desktop Fresh R9 (GNOME) для работы двухфакторной аутентификации

Установка приложения на компьютер и синхронизация часов

Прежде всего убедитесь, что время на компьютере и время на смартфоне/планшете совпадает! Иначе ничего не выйдет.

Для настройки времени на компьютере можно использовать программу drakclock. Запустите её (Alt+F2 и команда drakclock) и проверьте время и часовой пояс. Хорошим решением будет использование любого сервера времени из списка программы drakclock. Также вы можете сами вписать любой сервер времени. Например, можно использовать наши собственные серверы времени — ntp.rosalinux.ru и ntp2.rosalinux.ru.

Рисунок 1. Синхронизация времени с помощью drakclock

Установка приложения на смартфон/планшет

Устанавливайте программу только после синхронизации времени на компьютере на смартфоне/планшете.

Установите google-authenticator:

urpmi google-authenticator

Создание на компьютере QR-кода (ключа) для администратора (root)

На компьютере переключитесь в контекст администратора (суперпользователя) root:

su - или sudo -i

Для администратора лучше в первую очередь настроить одноразовый пароль, чтобы избежать сложностей при дальнейшей настройке. Если что-то пойдёт не так, вам пригодится уже настроенный вход администратора (root). Создайте ключ для администратора следующей командой (лучше всего это делать в терминале xterm):

google-authenticator

Рисунок 2. Получение QR-кода или цифрового ключа

Ввод QR-кода (цифрового ключа) в приложение на смартфоне/планшете

Запустите на смартфоне или планшете установленное приложение, и, следуя его подсказкам, просканируйте получившийся QR-код. Либо, если ваше приложение не поддерживает сканирование QR-кодов, вручную введите шестнадцатизначный ключ, сгенерированный прямо под QR-кодом и подписанный следующим образом:

Your new secret key is: ABCDEFGH12345678

Пример сканирования QR-кода:

Рисунок 3. Пример сканирования QR-кода приложением на смартфоне

Создание на компьютере и ввод в смартфон/планшет QR-кода для обычного пользователя

Создание QR-кода для рядового пользователя системы ничем не отличается от создания его для администратора.

Сначала запустите терминал, затем переключитесь в контекст этого пользователя:

su - <имя_желаемого_пользователя>

Выполните команду:

google-authenticator

В ответ вы увидите ещё один QR-код для пользователя. Пример QR-кода показан на рисунке 2.

Далее, как уже было описано выше, просканируйте вашим смартфоном/планшетом ещё один QR-код или введите шестнадцатизначный ключ. Пример этой операции показан на рисунке 3.

Повторите операции по генерации QR-кодов столько раз, сколько потребуется.

Скорее всего, вам потребуется создать свой QR-код для каждого пользователя системы. Ведь, как только вы закончите настройку, войти в систему без одноразового пароля станет невозможно.

Не забывайте при создании QR-кодов каждый раз переключаться в контекст нового пользователя.

Настройка графического менеджера GDM

Если у вас установлена ОС ROSA Fresh R9 с графическим окружением GNOME, ниже вы можете прочитать, как настроить GNOME Dislay Manager (GDM) для работы с 2FA.

Для настройки GDM Вам потребуются полномочия администратора root.

Отредактируйте файл /etc/pam.d/gdm-password. Измените верхние строки, как указано в примере:

#%PAM-1.0
auth       required    pam_env.so
auth       required    pam_unix.so
auth       sufficient  pam_google_authenticator.so
auth       sufficient  pam_succeed_if.so user ingroup nopasswdlogin

Помните, что настройки модуля PAM применяются немедленно, и перезагрузку выполнять не нужно.

Введите первый пароль как обычно.

Рисунок 4. Ввод пароля в GDM

Запустите приложение на вашем смартфоне, выберите учетную запись и приготовьтесь ввести одноразовый пароль.

Помните, что он действует 30 секунд. В приложении обычно имеется индикатор срока действия.

Рисунок 5. Работа генератора одноразового пароля на смартфоне

Введите цифры с экрана смартфона в менеджер входа GDM, как только будет запрошен одноразовый пароль.

Теперь у вас настроена двухфакторная аутентификация для входа в графическую оболочку.

Рисунок 6. Ввод одноразового пароля в GDM.

Однако ещё не настроены:

• Вход в текстовую консоль и переключение контекста пользователя
• Механизм sudo
• Удалённый вход по протоколу SSH

Как настроить всё это, описано далее.

Настройка 2FA для текстовой консоли, а также для переключения контекста пользователя

Для этой настройки вам опять потребуются полномочия администратора root. Отредактируйте файл /etc/pam.d/system-auth и приведите первые 4 строчки к следующему виду:

  auth        required      pam_env.so
  auth        required      pam_unix.so try_first_pass nullok
  auth        sufficient    pam_google_authenticator.so
  auth        required      pam_deny.so

Немедленно после этого для входа в текстовую консоль также потребуется вводить одноразовый пароль.

Рисунок 7. 2FA в текстовой консоли getty.

То же самое заработает и для переключения контекста полномочий. Например, при использовании команды su.

Рисунок 8. 2FA при переключении контекста полномочий пользователя.

Настройка 2FA для использования sudo

Потребуются полномочия администратора root:

visudo

Поменять строку

Defaults    env_reset

на

Defaults    env_reset, timestamp_timeout=0

Двухфакторная аутентификация для sudo работает уже после редактирования файла system-auth. В данном случае мы лишь сделали так, чтобы пароль при использовании sudo запрашивался каждый раз, повысив таким образом безопасность системы.

Настройка 2FA для удаленного входа по SSH

Сперва переключитесь в контекст администратора root.

В файле /etc/ssh/sshd_config найдите строку:

  UsePAM no

и измените no на yes

Должно получиться:

  UsePAM yes

Затем перезапустите службу sshd:

  systemctl restart sshd

После перезапуска службы sshd у Вас заработает двухфакторная аутентификация при использовании удалённого подключения по SSH к своему компьютеру.

Настройка 2FA в ОС ROSA Fresh с рабочим столом KDE или Plasma

Настройка двухфакторной аутентификации ROSA Fresh с окружениями рабочего стола KDE либо PLASMA практически полностью совпадает с описанной выше.

Отличия минимальны. Как обычно, не забудьте сверить время. Для настройки потребуются полномочия администратора root.

• Сперва установите программу LightDM:

  urpmi lightdm

• Затем отключите текущий менеджер входа и активизируйте lightdm:

  systemctl disable sddm — если вы используете Plasma 

  systemctl disable kdm — если Вы используете KDE

  systemctl enable lightdm

• Отредактируйте файл /etc/pam.d/lightdm:

Первые три строки должны принять вид:

  auth       required    pam_env.so
  auth       required    pam_unix.so
  auth       sufficient  pam_google_authenticator.so

После этого можно будет выполнить перезагрузку и получить двухфакторную аутентификацию в графической консоли.

Процедуры настройки 2FA для входа в текстовый терминал, для переключения контекста полномочий и для работы с sudo и ssh идентичны версии для Gnome.

Известные на данный момент ошибки и способы их исправления

В процессе использования были отмечены случаи, когда пользователь не может пройти аутентификацию.

Симптомы:

• пользователь не может зайти, при попытке аутентификации возникает отказ.
• в домашнем каталоге пользователя образуется файл ~/.google-authenticator~

Рецепт лечения:

• зайдите в систему в контексте учетной записи администратора (root)
• удалите из каталога пользователя файл ~/.google-authenticator~

Существенная оговорка для специалистов по ИБ

Да, мы знаем, что, строго говоря, речь в статье выше шла не про двухфакторную (Two-factor authentication), а т. н. двухэтапную (Two-step authentication) аутентификацию.

Да, мы понимаем отличия между сертификатом, расположенным в хранилище токена (которое (хранилище) закрыто PIN-кодом), или отпечатком пальца и одноразовым паролем.

Да, мы отдаем себе отчёт, что, строго говоря, двухфакторная аутентификация должна:

а) быть строгой;

б) основываться на действительно независимом факторе, которым, вообще говоря, не является одноразовый пароль;

в) независимо проверенной (например, путём испытаний a.k.a «сертификационные испытания») и подтвержденной с помощью, например, испытательной лаборатории.

Но, с другой стороны, мы опубликовали эту статью, чтобы наши пользователи могли иметь возможность быстро и без особых усилий повысить безопасность своих данных.

Мы хотим, чтобы обычный домашний пользователь мог позволить себе немного более высокий уровень защиты. Способ, описанный выше, для этого отлично подходит. У нас в стране не так много бесплатных решений для этого.

Просим простить нам эту неточность, ибо простого пользователя необязательно погружать в тонкости терминологии и описывать отличия между двухфакторной и двухэтапной аутентификацией.

Более того, обычно, если пользователь использует телефон для просмотра OTP, а телефон предварительно требует для разблокирования ввода собственного пароля, жеста или отпечатка пальца, тогда это начинает сильно напоминать 2FA :)

С уважением, команда разработчиков ROSA Linux.