Настройка двухфакторной аутентификации в ОС ROSA Desktop — различия между версиями

Материал из Rosalab Wiki
Перейти к: навигация, поиск
(Настройка 2FA в ОС ROSA Desktop Fresh с рабочим столом KDE или Plasma)
 
(не показаны 23 промежуточные версии 5 участников)
Строка 1: Строка 1:
<big>[[Настройка двухфакторной аутентификации в ОС РОСА Desktop Fresh R9]]</big>
+
<big>Настройка двухфакторной аутентификации в ОС ROSA Desktop Fresh R9</big>
 
== Применимость ==
 
== Применимость ==
  
 
=== Назначение ===
 
=== Назначение ===
  
Инструкция предназначена для описания процесса настройки двухфакторной аутентификации (2FA) в ОС ROSA Desktop Fresh R9.  
+
В данной инструкции описан процесс настройки двухфакторной аутентификации (2FA) в ОС ROSA Desktop Fresh R9.
  
 
=== Зачем использовать двухфакторную (многофакторную) аутентификацию и для чего она нужна? ===
 
=== Зачем использовать двухфакторную (многофакторную) аутентификацию и для чего она нужна? ===
  
Двухфакторная (многофакторная) аутентификация нужна для '''усиления безопасности''' при попытке входа в операционную систему и во всех остальных случаях, требующих подтверждения подлинности пользователя.
+
Двухфакторная (многофакторная) аутентификация нужна для ''усиления безопасности'' при попытке входа в операционную систему и во всех остальных случаях, когда требуется подтверждение подлинности пользователя. Таким образом, она существенно повышает безопасность всякий раз, когда нужно ввести пароль.
Таким образом, она существенно повышает безопасность всякий раз, когда требуется ввести пароль.  
+
  
Пароль требуется для того, чтобы:
+
Пароль необходим, чтобы:
  
* осуществить штатный вход в графическую оболочку ОС;
+
* Осуществить штатный вход в графическую оболочку ОС
* разблокировать компьютер (ноутбук) при работающем хранителе экрана;
+
* Разблокировать компьютер (ноутбук) при работающем хранителе экрана
* осуществить повторный вход (скажем, требуется войти в систему параллельно еще раз);
+
* Осуществить повторный вход (скажем, когда требуется параллельно войти в систему ещё раз)
* осуществить удаленное подключение к операционной системе (например по протоколу SSH);
+
* Осуществить удалённое подключение к операционной системе (например, по протоколу SSH)
* осуществить вход в текстовый терминал getty (ALT+F2...F6);
+
* Осуществить вход в текстовый терминал getty (<Alt+F2...F6>)
* переключить контекст пользователя - если нужно использовать su, sudo или выполнить действия от имени другого пользователя или администратора root.
+
* Переключить контекст пользователя (если нужно использовать <code>su</code>, <code>sudo</code> и выполнить действия от имени другого пользователя или администратора root).
  
 
А теперь представьте:
 
А теперь представьте:
  
* Вы подозреваете, что кому-то возможно стал известен Ваш текущий пароль, а поменять его сразу нет возможности;
+
* Вы подозреваете, что кому-то, возможно, стал известен ваш текущий пароль, а поменять его сразу нет возможности
* Ваш текущий пароль кто-то может подсмотреть во время ввода, к примеру незаметно встав у Вас за спиной;
+
* Ваш текущий пароль кто-то может подсмотреть во время ввода, например, незаметно встав у вас за спиной или применив зеркальце
* Вы подключаетесь к своему компьютеру по SSH из интернет-кафе или используя чужой компьютер. Можно предположить, что когда Вы набираете на чужом компьютере символы Вашего имени и пароля - информация может быть перехвачена и использована злоумышленником;
+
* Вы подключаетесь к своему компьютеру по SSH из интернет-кафе или с чужого компьютера. Можно предположить, что когда вы набираете на чужом компьютере символы вашего имени и пароля, информация может быть перехвачена и использована злоумышленником
** В интернете масса простых и бесплатных программ, которые осуществляют перехват ввода с клавиатуры и запись его в файл. Файл затем можно скопировать или передать;
+
** в интернете есть масса простых и бесплатных программ, которые осуществляют перехват ввода с клавиатуры и запись его в файл. Файл затем можно скопировать или передать
** В интернете можно приобрести особую клавиатуру, которая запишет ввод символов во встроенную в неё флеш-память. В интернете можно купить (или спаять самостоятельно) специальный USB-переходник для клавиатуры, который делает то же самое;
+
** в интернете можно приобрести особую клавиатуру, которая запишет ввод символов во встроенную в неё флеш-память. Также можно купить (или спаять самостоятельно) специальный USB-переходник для клавиатуры, который делает то же самое
* Вы опасаетесь, что ваш пароль слишком слабый или очевидный. И может быть легко подобран в уме злобными железными дядьками и тётьками из Мегатрона.
+
* Вы опасаетесь, что ваш пароль слишком слабый или очевидный, и может быть легко подобран
  
Во всех перечисленных случаях хорошей мерой противодействия может быть использование двухфакторной аутентификации.
+
Во всех перечисленных случаях хорошей мерой противодействия может быть использование двухфакторной аутентификации. Как это сделать, вам подскажет данное руководство. В результате вы научитесь настраивать ещё один барьер безопасности в своей системе.  
И в этом Вам поможет это руководство. Дочитав его до конца, Вы научитесь настраивать еще один барьер безопасности в своей системе. И Вам останется лишь криво ухмыляться (ну или адски гоготать), глядя на работу интернет-бота, тщетно пытающегося подобрать пароли к Вашей системе.
+
  
Многофакторная (в т.ч. двухфакторная) аутентификация основана на принципе, гласящем, что для подтверждения подлинности пользователя необходимо '''сочетание нескольких факторов''':
+
Многофакторная (в т.&nbsp;ч. двухфакторная) аутентификация основана на принципе, гласящем, что для подтверждения подлинности пользователя необходимо ''сочетание нескольких факторов'':
  
* Пользователь '''знает''' что-то, чего не знает никто (например, свой '''пароль''');
+
* Пользователь ''знает'' что-то, чего не знает никто (например, свой ''пароль'')
* Пользователь '''имеет''' что-то, чего не имеет никто (это может быть, например, '''одноразовый пароль''' или токен, содержащий ключ, и т.п.);
+
* Пользователь ''имеет'' что-то, чего не имеет никто (это может быть, например, ''одноразовый пароль'' или токен, содержащий ключ, и т. п.)
* Пользователь неотъемлемо '''обладает''' чем-то (как субъект материального мира), чем кроме него, не обладает никто (например '''отпечаток пальца''', радужка глаза, голос, и т.п.). В последнем случае, речь, как правило, идет о применении т.н. '''биометрической аутентификации''' или биометрии.
+
* Пользователь неотъемлемо ''обладает'' чем-то (как субъект материального мира), чем кроме него, не обладает никто (''отпечаток пальца'', радужка глаза, голос, и т. п.). В последнем случае, речь, как правило, идёт о применении т. н. ''биометрической аутентификации'' или биометрии.
  
Для ОС ROSA Desktop Fresh R9 мы предлагаем использовать двухфакторную аутентификацию с использованием одноразовых TOTP паролей, которые актуальны всего 30 секунд.
+
Для ОС ROSA Desktop Fresh R9 мы предлагаем использовать двухфакторную аутентификацию с использованием одноразовых TOTP-паролей, которые актуальны всего 30 секунд.
Такая настройка рекомендуется нами как наиболее приемлемая и удобная для пользователя.  
+
  
Для ее применения, в целом, не нужно производить никаких особенно сложных настроек и не требуется применять никаких редких программ или использовать дорогостоящее оборудование. И 2FA можно будет использовать после правильной настройки без всякого подключения к сети Internet.
+
Строго говоря, ниже описана двухэтапная аутентификация. Тем, кто «в теме» и понимает разницу, а также специалистам по ИБ рекомендуем сразу читать последний параграф данной статьи.
  
=== Список поддерживаемых ОС семейства РОСА. ===
+
Процесс настройки, описанный ниже, рекомендуется нами как наиболее удобный для пользователя. Вам не нужно производить каких-либо сложных действий, не требуется применять редкие программы или использовать дорогостоящее оборудование. К тому же после правильной настройки двухфакторную аутентификацию можно будет использовать без подключения к интернету.
 +
 
 +
=== Список поддерживаемых ОС семейства РОСА ===
  
 
В настоящее время поддерживаются следующие ОС (не ниже):
 
В настоящее время поддерживаются следующие ОС (не ниже):
* ROSA Desktop Fresh R9 GNOME;
+
* ROSA Desktop Fresh R9 GNOME
* ROSA Desktop Fresh R9 KDE (обязательно изменить менеджер входа с KDM на LightDM);
+
* ROSA Desktop Fresh R11 KDE  
* ROSA Desktop Fresh R9 PLASMA (обязательно изменить менеджер входа с SDDM на LightDM);
+
* ROSA Desktop Fresh R11 Plasma (при условии изменения менеджера входа с SDDM на LightDM)
* Любая ОС РОСА (Fresh/RED) платформы 2014.1 или 2016.1 с менеджером входа GDM либо LightDM.
+
* Любая ОС ROSA (Fresh/RED) платформы 2014.1 или 2016.1 с менеджером входа KDM, GDM либо LightDM
  
=== Что Вам потребуется для настройки. ===
+
=== Что потребуется для настройки ===
  
* Вам понадобится установить на компьютер из нашего репозитория программу google-authenticator.
+
* Установить на компьютер из нашего репозитория программу {{pkg|google-authenticator}}
* Вам понадобится смартфон или планшет (Windows Phone&copy;, Android&copy; или Apple&copy; iOS&copy;, без разницы), который превратится в ваш токен с ключом и станет генератором одноразовых паролей;
+
* Взять смартфон или планшет (Windows Phone&copy;, Android&copy; или Apple&copy; iOS&copy;, без разницы), который превратится в ваш токен с ключом и станет генератором одноразовых паролей
* Время на смартфоне и на компьютере должно будет совпадать, это ключевое. Допустимо только незначительное отклонение времени между устройствами;
+
* Сделать так, чтобы время на смартфоне и на компьютере совпадало. Допускается только незначительное расхождение по времени между устройствами
** Для синхронизации времени лучше всего использовать серверы точного времени.  
+
** Для синхронизации времени лучше всего использовать серверы точного времени. Например, вы можете использовать наши публичные и общедоступные серверы времени —  ntp.rosalinux.ru и ntp2.rosalinux.ru или любые другие по вашему желанию
** Например, Вы можете использовать наши публичные и общедоступные серверы времени: ntp.rosalinux.ru и ntp2.rosalinux.ru или любые другие по Вашему желанию.
+
* Шапочка из фольги (шутка).
+
  
=== Ограничения, о которых нужно знать. ===
+
=== Ограничения, о которых нужно знать ===
  
* Если Вы утратите смартфон или там сядет батарейка, то Вы не сможете без своего работающего смартфона зайти в ОС штатным способом;
+
* Если вы потеряете смартфон или в нём сядет батарейка, вы не сможете зайти в ОС штатным способом
* Если у Вас будет отличаться время на компьютере и на телефоне, то Вы тоже не сможете зайти в ОС штатным способом;
+
* Если у вас будет различаться время на компьютере и на телефоне, вы также не сможете зайти в ОС штатным способом
* Помните, что с ростом безопасности снижается удобство использования. Вам теперь постоянно придется иметь под рукой работающий телефон и вводить два пароля вместо одного;
+
* Помните, что с ростом безопасности снижается удобство использования. Вам теперь постоянно придётся иметь под рукой работающий телефон и вводить два пароля вместо одного
* Осуществить переключение в контекст другого пользователя может стать проблемой. Помимо пароля другого пользователя, потребуется раздобыть его одноразовый пароль.
+
* Переключение в контекст другого пользователя может стать проблемой: помимо пароля другого пользователя нужно будет знать его одноразовый пароль
  
=== Что Вы получите в итоге. ===
+
=== Что вы получите в итоге ===
  
* Существенно вырастет безопасность. Теперь можно не опасаться, что Вы случайно или специально скомпрометируете пароль пользователя или даже администратора (root);
+
* Существенно возрастёт безопасность. Теперь можно будет не опасаться скомпрометировать пароль пользователя или даже администратора (root)
* Вам не потребуется покупать дорогостоящее оборудование или программное обеспечение, чтобы повысить безопасность. Вы сможете сделать это себе бесплатно после несложной настройки (или соседу за тысячу рублей);
+
* Повышение безопасности не будет стоить вам ни рубля
* Вы будете знать, что Ваша система повышения безопасности - только Ваша, и ничья еще, никакие сторонние сервисы не используются;
+
* Вы будете знать, что ваша система повышения безопасности только ваша и ничья ещё. Никакие сторонние сервисы не используются
* Вы будете на практике использовать современные технологии информационной безопасности в повседневной жизни;
+
* Вы будете на практике использовать современные технологии информационной безопасности в повседневной жизни
* Кто-то может перенять Ваш опыт, и начать использовать 2FA и тоже повысит безопасность своей системы;
+
* Кто-то может перенять ваш опыт и начать использовать 2FA, чем повысит безопасность своей системы
* Вы теперь сможете повысить свою самооценку перед родными, друзьями и знакомыми :)))
+
  
=== Принцип настройки и работы 2FA в ОС ROSA Desktop Fresh R9. ===
+
=== Принцип настройки и работы 2FA в ROSA Desktop ===
  
Работа 2FA в ОС РОСА базируется на следующих принципах:
+
Работа 2FA в ROSA Desktop базируется на следующих принципах:
  
* требуется установить программу google-authenticator;
+
* Используется односторонний алгоритм аутентификации по одноразовым паролям на основе времени TOTP (Time-based One Time Password Algorithm, [https://tools.ietf.org/html/rfc6238 RFC 6238])
* будет использоваться односторонний алгоритм аутентификации по одноразовым паролям на основе времени TOTP (Time-based One Time Password Algorithm, [https://tools.ietf.org/html/rfc6238 RFC 6238]);
+
* На компьютере при установке и первичной настройке для каждого пользователя генерируется 80-битный секретный ключ. Он отображается с помощью QR-кода (по умолчанию) или отображается как 16- (по умолчанию), 26- или 32-значный код в кодировке Base32
* на компьютере при установке и первичной настройке для каждого пользователя генерируется 80-битный секретный ключ. Он отображается с помощью QR кода (по-умолчанию) или отображается как 16-ти (по-умолчанию), 26-ти или 32-ух значный код в кодировке Base32.;
+
* QR-код сканируется прямо с экрана компьютера специальным приложением смартфона (или в телефонное приложение вручную вводится образованный на компьютере цифровой 16-значный код)
* QR код сканируется прямо с экрана компьютера специальным приложением телефона (или в телефонное приложение вручную вводится образованный на компьютере цифровой 16-ти значный код);
+
* Приложение на телефоне создаёт HMAC-SHA1, используя этот секретный QR-код (16-значный код) в качестве основы (ключа) для расчётов
* приложение на телефоне создает HMAC-SHA1 используя этот секретный QR код (16-ти значный код) в качестве основы (ключа) для расчетов;
+
* Затем часть HMAC извлекается и преобразуется в шестизначный (по умолчанию) одноразовый пароль, отображаемый программой на экране смартфона
* затем часть HMAC извлекается и преобразуется в шестизначный (по-умолчанию) одноразовый пароль, отображаемый телефонной программой на экране телефона;
+
* Одноразовый пароль действует 30 секунд (по умолчанию)
* одноразовый пароль действует 30 секунд (по-умолчанию).
+
  
=== Программы для смартфонов или планшетов, необходимые к установке. ===
+
=== Программы для смартфонов/планшетов, необходимые к установке ===
  
Ниже приведен список бесплатных программ (на момент написания статьи) для генерации одноразовых паролей.
+
Ниже приведён список доступных на момент написания данной статьи бесплатных программ для генерации одноразовых паролей. Мы постарались охватить всё многообразие современных смартфонов по крайней мере, абсолютное их большинство.
Мы постарались охватить в этом руководстве весь спектр современных смартфонов, по крайней мере, абсолютное большинство.
+
 
Помимо бесплатных приложений, есть еще и платные. Но в данном руководстве мы их описывать не будем.
+
Помимо бесплатных приложений есть ещё и платные, но в данном руководстве мы их описывать не будем.
Мы в руководстве охватили только самые популярные приложения для телефона. Нет нужды описывать их все.
+
  
 
==== Для смартфона/планшета с системой Android&copy; ====  
 
==== Для смартфона/планшета с системой Android&copy; ====  
  
* установите программу [https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp FreeOTP Authenticator];
+
* [https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp FreeOTP Authenticator];
* установите программу [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Google Authenticator];
+
* [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Google Authenticator];
  
 
==== Для смартфона/планшета компании Apple&copy; с системой iOS&copy; ====
 
==== Для смартфона/планшета компании Apple&copy; с системой iOS&copy; ====
  
* установите программу [https://itunes.apple.com/ru/app/freeotp-authenticator/id872559395?mt=8 FreeOTP Authenticator];
+
* [https://itunes.apple.com/ru/app/freeotp-authenticator/id872559395?mt=8 FreeOTP Authenticator];
* установите программу [https://itunes.apple.com/ru/app/google-authenticator/id388497605?mt=8 Google Authenticator];
+
* [https://itunes.apple.com/ru/app/google-authenticator/id388497605?mt=8 Google Authenticator];
  
 
==== Для смартфона с системой Microsoft&copy; Windows Phone&copy; или планшета Microsoft&copy; Surface&copy; ====
 
==== Для смартфона с системой Microsoft&copy; Windows Phone&copy; или планшета Microsoft&copy; Surface&copy; ====
  
* установите программу [https://www.microsoft.com/ru-ru/store/p/microsoft-authenticator/9nblgggzmcj6 Microsoft Authenticator].
+
* [https://www.microsoft.com/ru-ru/store/p/microsoft-authenticator/9nblgggzmcj6 Microsoft Authenticator].
  
== Настройка операционной системы ROSA Desktop Fresh R9 Gnome для работы двухфакторной аутентификации ==
+
== Настройка операционной системы ROSA Desktop Fresh R9 (GNOME) для работы двухфакторной аутентификации ==
  
=== Установка приложения на компьютер и синхронизация часов. ===
+
=== Установка приложения на компьютер и синхронизация часов ===
  
  '''Сперва обязательно проверьте точное время и убедитесь, что оно верное!'''
+
'''Прежде всего убедитесь, что время на компьютере и на смартфоне/планшете совпадает!'''
  
Иначе ничего не выйдет. Если время отличается от эталонного - сначала настройте его как можно точнее.
+
Для настройки времени на компьютере можно использовать программу ''drakclock''. Запустите её (<Alt+F2> и команда <code>drakclock</code>) и проверьте время и часовой пояс. Хорошим решением будет использование любого сервера времени из списка программы ''drakclock''. Также вы можете сами вписать любой сервер времени. Например, один из наших серверов времени — ntp.rosalinux.ru или ntp2.rosalinux.ru.
  
Для настройки времени можно использовать программу '''drakclock'''. Запустите её ('''ALT+F2''' и напишите '''drakclock''') и проверьте время и часовой пояс.
+
[[File:drakclock.png|300px|center|thumb|Рисунок 1. Синхронизация времени с помощью ''drakclock'']]
  
Хорошим решением будет использование любого сервера времени из списка программы drakclock. Либо вы можете сами вписать любой сервер времени, по Вашему желанию.
+
=== Установка приложения на смартфон/планшет ===
  
Например, можно использовать наши собственные серверы времени - ntp.rosalinux.ru и ntp2.rosalinux.ru.
+
'''Устанавливайте программу только после синхронизации времени на компьютере и на смартфоне/планшете!'''
  
[[File:drakclock.png|300px|center|thumb|Рисунок 1. Синхронизация времени с помощью '''drakclock'''.]]
+
* Установите {{pkg|google-authenticator}}:
  
Затем установите '''google-authenticator''':
+
urpmi google-authenticator
  
  '''urpmi google-authenticator'''
+
=== Создание на компьютере QR-кода (ключа) для администратора (root) ===
  
=== Установка приложения на смартфон (планшет). ===
+
* На компьютере переключитесь в контекст администратора (root):
  
Прежде чем Вы установите приложение:
+
su - или sudo -i
  
  '''Первым делом, проверьте точное время. Если на вашем смартфоне или планшете оно неправильное, то обязательно установите его верно!'''
+
Для администратора лучше в первую очередь настроить одноразовый пароль, чтобы избежать сложностей при дальнейшей настройке. Если что-то пойдёт не так, вам пригодится уже настроенный вход администратора (root).
  
Иначе ничего не получится. Сверьтесь с документацией на Ваш телефон или планшет, чтобы установить на нём точное время.
+
* Создайте ключ для администратора следующей командой (лучше всего это делать в терминале ''xterm''):
  
==== Для смартфона/планшета с системой Android&copy; ====
+
google-authenticator
  
* установите программу [https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp FreeOTP Authenticator];
+
[[File:2FA_pic1.png|640px|center|thumb|Рисунок 2. Получение QR-кода или цифрового ключа]]
* установите программу [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Google Authenticator];
+
  
==== Для смартфона/планшета компании Apple&copy; с системой iOS&copy; ====
+
=== Ввод QR-кода (цифрового ключа) в приложение на смартфоне/планшете ===
  
* установите программу [https://itunes.apple.com/ru/app/freeotp-authenticator/id872559395?mt=8 FreeOTP Authenticator];
+
Запустите на смартфоне или планшете установленное приложение, и, следуя его подсказкам, просканируйте получившийся QR-код. Либо, если ваше приложение не поддерживает сканирование QR-кодов, вручную введите шестнадцатизначный ключ, сгенерированный прямо под QR-кодом и подписанный следующим образом:
* установите программу [https://itunes.apple.com/ru/app/google-authenticator/id388497605?mt=8 Google Authenticator];
+
  
==== Для смартфона с системой Microsoft&copy; Windows Phone&copy; или планшета Microsoft&copy; Surface&copy; ====
+
Your new secret key is: ABCDEFGH12345678
  
* установите программу [https://www.microsoft.com/ru-ru/store/p/microsoft-authenticator/9nblgggzmcj6 Microsoft Authenticator].
+
Пример сканирования QR-кода:
  
=== Создание на компьютере QR кода (ключа) для администратора ('''root'''). ===
+
[[File:2FA_pic2.png|200px|center|thumb|Рисунок 3. Пример сканирования QR-кода приложением на смартфоне]]
  
Затем переключитесь на Вашем компьютере в контекст суперпользователя (администратора) '''root''':
+
=== Создание на компьютере и ввод в смартфон/планшет QR-кода для обычного пользователя ===
  
  '''su -''' или '''sudo -i'''
+
Создание QR-кода для рядового пользователя системы ничем не отличается от создания его для администратора.  
+
Для администратора лучше в первую очередь настроить одноразовый пароль. Так как если что-то пойдет не так, то Вы возможно получите сложности при дальнейшей настройке.
+
И тогда Вам пригодится уже настроенный вход администратора ('''root'''). Создайте ключ для администратора командой (лучше всего это делать в терминале '''xterm'''):
+
  
  '''google-authenticator'''
+
* Запустите терминал и переключитесь в контекст этого пользователя:
  
[[File:2FA_pic1.png|640px|center|thumb|Рисунок 2. Получение QR кода или цифрового ключа.]]
+
su - <имя_желаемого_пользователя>
  
=== Ввод QR кода (цифрового ключа) в приложение на смартфоне (планшете). ===
+
* Выполните:
  
Затем запустите на Ваш смартфон или планшет уже установленное выше приложение, и, следуя его подсказкам, просканируйте получившийся QR-код.
+
google-authenticator
Либо, если Ваше приложение не поддерживает сканирование QR кодов, то вручную введите шестнадцатизначный ключ, сгенерированный прямо под QR кодом и подписанный как:
+
  
Your new secret key is: ABCDEFGH12345678
+
В ответ вы увидите ещё один QR-код для пользователя. Пример QR-кода показан на рисунке 2.
  
Пример сканирования QR кода на рисунке ниже:
+
* Далее, как уже было описано выше, просканируйте вашим смартфоном/планшетом ещё один QR-код или введите шестнадцатизначный ключ. Пример этой операции показан на рисунке 3.
  
[[File:2FA_pic2.png|200px|center|thumb|Рисунок 3. Пример сканирования QR кода приложением на смартфоне.]]
+
* Повторите операции по генерации QR-кодов столько раз, сколько нужно. Скорее всего, вам потребуется создать свой QR-код для каждого пользователя системы. Ведь, как только вы закончите настройку, войти в систему без одноразового пароля станет невозможно.
  
=== Создание на компьютере и ввод в смартфон QR кода для обычного пользователя. ===
+
Не забывайте при создании QR-кодов каждый раз переключаться в контекст нового пользователя.
  
Создание QR кода для рядового пользователя системы ничем не отличается от создания его для администратора.
+
=== Настройка графического менеджера GDM ===
Сперва запустите '''xterm'''. Затем переключитесь в контекст этого пользователя командой:
+
  
  '''su - <имя_желаемого_пользователя>''',  
+
Если у вас установлена ОС ROSA Fresh R9 с графическим окружением GNOME, ниже вы можете прочитать, как настроить GNOME Dislay Manager (GDM) для работы с 2FA.
  
и выполните команду:
+
Для настройки GDM вам потребуются полномочия администратора (root).
  
  '''google-authenticator'''
+
* Отредактируйте файл /etc/pam.d/gdm-password. Измените верхние строки, как указано в примере:
  
В ответ Вы увидите еще один QR-код для пользователя. Пример QR-кода уже показан на '''рисунке 2'''.
+
#%PAM-1.0
 +
auth      required    pam_env.so
 +
auth      required    pam_unix.so
 +
auth      sufficient  pam_google_authenticator.so
 +
auth      sufficient  pam_succeed_if.so user ingroup nopasswdlogin
  
Далее, как уже было описано выше, введите (просканируете) в Ваш смартфон (планшет) еще один QR-код. Или введите шестнадцатизначный ключ.
+
Помните, что настройки модуля PAM применяются немедленно, и перезагрузку выполнять не нужно.  
Пример этой операции уже показан на '''рисунке 3'''.  
+
  
Повторите операции по генерации QR-кодов столько раз, сколько потребуется.  
+
* Введите первый пароль как обычно.
  
Скорее всего, Вам потребуется создать свой QR код для каждого пользователя Вашей системы. Ведь как только Вы закончите настройку - войти в систему без одноразового пароля станет невозможно.
+
[[File:gdmscreen2.png|640px|center|thumb|Рисунок 4. Ввод пароля в GDM]]
  
Не забываете при создании QR кодов каждый раз переключаться в контекст нового пользователя.
+
* Запустите приложение на вашем смартфоне, выберите учётную запись и приготовьтесь ввести одноразовый пароль. Помните, что он действует 30 секунд. В приложении обычно имеется индикатор срока действия.
  
=== Настройка графического менеджера GDM ===
+
[[File:2FA_pic3.png|200px|center|thumb|Рисунок 5. Работа генератора одноразового пароля на смартфоне]]
 +
 
 +
* Введите цифры с экрана смартфона в менеджер входа GDM, как только будет запрошен одноразовый пароль.
 +
 
 +
Теперь у вас настроена двухфакторная аутентификация для входа в графическую оболочку.
 +
 
 +
[[File:gdmscreen1.png|640px|center|thumb|Рисунок 6. Ввод одноразового пароля в GDM]]
  
Если у Вас установлена ОС ROSA Fresh R9 с графическим окружением GNOME, то ниже описывается как настроить Gnome Dislay Manager (GDM) для работы с 2FA.
+
Однако ещё ''не'' настроены:
 +
* Вход в текстовую консоль и переключение контекста пользователя
 +
* Механизм sudo
 +
* Удалённый вход по протоколу SSH
  
Для настройки GDM Вам потребуются полномочия администратора '''root'''.  
+
Как настроить всё это, описано далее.
  
Отредактируйте файл '''/etc/pam.d/gdm-password'''. Измените верхние строки, так, как указано в примере:
+
=== Настройка 2FA для текстовой консоли и переключения контекста пользователя ===
  
  '''#%PAM-1.0'''
+
Для этой настройки вам снова потребуются полномочия root.
  '''auth      required    pam_env.so'''
+
  '''auth      required    pam_unix.so'''
+
  '''auth      sufficient  pam_google_authenticator.so'''
+
  '''auth      sufficient  pam_succeed_if.so user ingroup nopasswdlogin'''
+
  
Помните, что настройки модуля PAM применяются немедленно. Никакой перезагрузки выполнять не нужно. Теперь у Вас настроена 2FA для входа в графическую оболочку.
+
* Отредактируйте файл /etc/pam.d/system-auth и приведите первые 4 строчки к следующему виду:
  
Введите первый пароль как обычно.
+
auth        required      pam_env.so
 +
auth        required      pam_unix.so try_first_pass nullok
 +
auth        sufficient    pam_google_authenticator.so
 +
auth        required      pam_deny.so
  
[[File:gdmscreen2.png|640px|center|thumb|Рисунок 4. Ввод пароля в GDM.]]
+
Немедленно после этого для входа в текстовую консоль потребуется вводить одноразовый пароль.
  
Запустите приложение на вашем смартфоне, выберете учетную запись и приготовьтесь ввести одноразовый пароль.
+
[[File:Tty2 2FA.png|300px|center|thumb|Рисунок 7. 2FA в текстовой консоли getty]]
  
Помните, что он действует 30 секунд. В приложении обычно имеется индикатор срока действия.
+
То же самое заработает и для переключения контекста полномочий — например, при использовании команды <code>su</code>.
  
[[File:2FA_pic3.png|200px|center|thumb|Рисунок 5. Работа генератора одноразового пароля на смартфоне.]]
+
[[File:Su 2FA.png|300px|center|thumb|Рисунок 8. 2FA при переключении контекста полномочий пользователя]]
  
Введите цифры с экрана смартфона в менеджер входа GDM как только будет запрошен одноразовый пароль (TOTP).
+
=== Настройка 2FA для использования sudo ===
  
Теперь у Вас настроен вход в графическую оболочку с применением двухфакторной аутентификации.  
+
Для настройки потребуются полномочия root.
  
[[File:gdmscreen1.png|640px|center|thumb|Рисунок 6. Ввод одноразового пароля в GDM.]]
+
* Выполните:
  
Однако, еще НЕ настроено:
+
visudo
* вход в текстовую консоль и переключение контекста пользователя;
+
* механизм sudo;
+
* удаленный вход по протоколу SSH.
+
  
Если Вы хотите все это тоже настроить для применения 2FA - читайте далее.
+
* Поменяйте строку
  
=== Настройка 2FA для текстовой консоли, а также для переключения контекста пользователя. ===
+
Defaults    env_reset
  
Для этой настройки Вам опять потребуются полномочия администратора '''root'''.
+
на
Отредактируйте файл /etc/pam.d/system-auth и приведите первые 4 строчки к следующему виду:
+
  
   '''auth        required      pam_env.so'''
+
Defaults   env_reset, timestamp_timeout=0
  '''auth        required      pam_unix.so try_first_pass nullok'''
+
  '''auth        sufficient    pam_google_authenticator.so'''
+
  '''auth        required      pam_deny.so'''
+
  
Немедленно после этого, для входа в текстовую консоль тоже потребуется вводить одноразовый пароль.
+
Двухфакторная аутентификация для <code>sudo</code> работает уже после редактирования файла system-auth. В данном случае мы лишь сделали так, чтобы пароль при использовании <code>sudo</code> запрашивался каждый раз, повысив таким образом безопасность системы.
  
[[File:Tty2 2FA.png|300px|center|thumb|Рисунок 7. 2FA в текстовой консоли getty.]]
+
=== Настройка 2FA для удаленного входа по SSH ===
  
То же самое заработает и для переключения контекста полномочий. Например, при использовании команды '''su'''.
+
* Переключитесь в контекст root.
  
[[File:Su 2FA.png|300px|center|thumb|Рисунок 8. 2FA при переключении контекста полномочий пользователя.]]
+
* В файле /etc/ssh/sshd_config найдите строку
  
=== Настройка 2FA для использования '''sudo''' ===
+
UsePAM no
  
Добавьте в конец файла '''/etc/pam.d/sudo''' следующую строку (потребуются полномочия администратора '''root'''):
+
и измените <code>no</code> на <code>yes</code>.
  
  '''session   sufficient pam_google_athenticator.so'''
+
* Перезапустите службу ''sshd'':
  
И двухфакторная аутентификация заработает и при использовании '''sudo'''.
+
systemctl restart sshd
  
=== Настройка 2FA для удаленного входа по SSH. ===
+
После перезапуска службы ''sshd'' у вас заработает двухфакторная аутентификация при использовании удалённого подключения по SSH к своему компьютеру.
  
Сперва переключитесь в контекст администратора '''root'''.
+
== Настройка 2FA в ОС ROSA Desktop Fresh с рабочим столом Plasma ==
  
В файле '''/etc/ssh/sshd_config''' найдите строку:
+
Настройка двухфакторной аутентификации ROSA Fresh с окружениями рабочего стола  Plasma практически полностью совпадает с описанной выше.
  
  '''UsePAM no'''
+
Для настройки потребуются полномочия root.
  
и измените '''no''' на '''yes'''
+
* Установите программу LightDM:
  
Должно получится:
+
urpmi lightdm
  
  '''UsePAM yes'''
+
* Отключите текущий менеджер входа и активируйте ''lightdm'':
  
Затем перезапустите службу '''sshd''':
+
systemctl disable sddm ''(если вы используете Plasma)''
  
  '''systemctl restart sshd'''
+
systemctl enable lightdm
  
После перезапуска службы '''sshd''' у Вас заработает двухфакторная аутентификация при использовании удаленного подключения по SSH к своему компьютеру.
+
* Отредактируйте файл /etc/pam.d/lightdm. Первые три строки должны принять вид:
  
== Настройка 2FA в ОС ROSA Fresh с рабочим столом KDE или PLASMA. ==
+
auth      required    pam_env.so
 +
auth      required    pam_unix.so
 +
auth      sufficient  pam_google_authenticator.so
  
Настройка двухфакторной аутентификации ОС ROSA Fresh с окружениями рабочего стола KDE либо PLASMA практически полностью совпадает с описанной выше.  
+
После этого можно будет выполнить перезагрузку и получить двухфакторную аутентификацию в графической консоли.
  
Отличия минимальны. Как обычно, не забудьте сверить время. Для настройки потребуются полномочия администратора '''root'''.
+
Процедуры настройки 2FA для входа в текстовый терминал, для переключения контекста полномочий и для работы с <code>sudo</code> и <code>ssh</code> идентичны версии для GNOME.
  
 +
== Известные ошибки и способы их исправления ==
  
* Сперва установите программу LightDM:
+
В процессе использования были отмечены случаи, когда пользователь не может пройти аутентификацию.
  
  '''urpmi lightdm'''
+
Признаки:
 +
* Пользователь не может зайти, при попытке аутентификации возникает отказ
 +
* В домашнем каталоге пользователя появляется файл ~/.google-authenticator~
  
* Затем отключите текущий менеджер входа и активизируйте '''lightdm''':
+
Способ исправления:
 +
* Зайдите в систему в контексте учётной записи администратора (root)
 +
* Удалите из каталога пользователя файл ~/.google-authenticator~
  
  '''systemctl disable sddm''' - если Вы используете PLASMA
+
== Существенная оговорка для специалистов по ИБ ==
  
  '''systemctl disable kdm''' - если Вы используете KDE
+
Строго говоря, речь в данной статье идёт не о ''двухфакторной'' (two-factor authentication), а о т.&nbsp;н. ''двухэтапной'' (two-step authentication) аутентификации. Существуют различия между сертификатом, расположенным в хранилище токена (которое, в свою очередь, закрыто PIN-кодом), отпечатком пальца и одноразовым паролем.
  
  '''systemctl enable lightdm'''
+
В общем случае двухфакторная аутентификация должна:
  
* Отредактируйте файл '''/etc/pam.d/lightdm''':
+
а) быть строгой<br>
 +
б) основываться на действительно независимом факторе, которым, вообще говоря, не является одноразовый пароль<br>
 +
в) быть независимо проверенной (например, путём сертификационных испытаний) и подтверждённой (например, с помощью испытательной лаборатории)
  
Первые три строки должны принять вид:
+
Но, с другой стороны, мы опубликовали эту статью, чтобы наши пользователи могли быстро и без особых усилий повысить безопасность своих данных. Способ, описанный выше, для этого отлично подходит. Существует не так много бесплатных решений, позволяющих это осуществить.
  
  '''auth      required    pam_env.so'''
+
Просим простить нам эту неточность, ибо простого пользователя необязательно погружать в тонкости терминологии, описывая различия между двухфакторной и двухэтапной аутентификацией.
  '''auth      required    pam_unix.so'''
+
  '''auth      sufficient  pam_google_authenticator.so'''
+
  
 +
С уважением, команда разработчиков ROSA Linux.
  
После этого можно будет выполнить перезагрузку и
+
[[en:Two-factor authentication setup in OS ROSA Desktop Fresh R9]]
 +
[[Категория:"Точка РОСЫ"]]

Текущая версия на 13:16, 1 июня 2019

Настройка двухфакторной аутентификации в ОС ROSA Desktop Fresh R9

Содержание

Применимость

Назначение

В данной инструкции описан процесс настройки двухфакторной аутентификации (2FA) в ОС ROSA Desktop Fresh R9.

Зачем использовать двухфакторную (многофакторную) аутентификацию и для чего она нужна?

Двухфакторная (многофакторная) аутентификация нужна для усиления безопасности при попытке входа в операционную систему и во всех остальных случаях, когда требуется подтверждение подлинности пользователя. Таким образом, она существенно повышает безопасность всякий раз, когда нужно ввести пароль.

Пароль необходим, чтобы:

  • Осуществить штатный вход в графическую оболочку ОС
  • Разблокировать компьютер (ноутбук) при работающем хранителе экрана
  • Осуществить повторный вход (скажем, когда требуется параллельно войти в систему ещё раз)
  • Осуществить удалённое подключение к операционной системе (например, по протоколу SSH)
  • Осуществить вход в текстовый терминал getty (<Alt+F2...F6>)
  • Переключить контекст пользователя (если нужно использовать su, sudo и выполнить действия от имени другого пользователя или администратора root).

А теперь представьте:

  • Вы подозреваете, что кому-то, возможно, стал известен ваш текущий пароль, а поменять его сразу нет возможности
  • Ваш текущий пароль кто-то может подсмотреть во время ввода, например, незаметно встав у вас за спиной или применив зеркальце
  • Вы подключаетесь к своему компьютеру по SSH из интернет-кафе или с чужого компьютера. Можно предположить, что когда вы набираете на чужом компьютере символы вашего имени и пароля, информация может быть перехвачена и использована злоумышленником
    • в интернете есть масса простых и бесплатных программ, которые осуществляют перехват ввода с клавиатуры и запись его в файл. Файл затем можно скопировать или передать
    • в интернете можно приобрести особую клавиатуру, которая запишет ввод символов во встроенную в неё флеш-память. Также можно купить (или спаять самостоятельно) специальный USB-переходник для клавиатуры, который делает то же самое
  • Вы опасаетесь, что ваш пароль слишком слабый или очевидный, и может быть легко подобран

Во всех перечисленных случаях хорошей мерой противодействия может быть использование двухфакторной аутентификации. Как это сделать, вам подскажет данное руководство. В результате вы научитесь настраивать ещё один барьер безопасности в своей системе.

Многофакторная (в т. ч. двухфакторная) аутентификация основана на принципе, гласящем, что для подтверждения подлинности пользователя необходимо сочетание нескольких факторов:

  • Пользователь знает что-то, чего не знает никто (например, свой пароль)
  • Пользователь имеет что-то, чего не имеет никто (это может быть, например, одноразовый пароль или токен, содержащий ключ, и т. п.)
  • Пользователь неотъемлемо обладает чем-то (как субъект материального мира), чем кроме него, не обладает никто (отпечаток пальца, радужка глаза, голос, и т. п.). В последнем случае, речь, как правило, идёт о применении т. н. биометрической аутентификации или биометрии.

Для ОС ROSA Desktop Fresh R9 мы предлагаем использовать двухфакторную аутентификацию с использованием одноразовых TOTP-паролей, которые актуальны всего 30 секунд.

Строго говоря, ниже описана двухэтапная аутентификация. Тем, кто «в теме» и понимает разницу, а также специалистам по ИБ рекомендуем сразу читать последний параграф данной статьи.

Процесс настройки, описанный ниже, рекомендуется нами как наиболее удобный для пользователя. Вам не нужно производить каких-либо сложных действий, не требуется применять редкие программы или использовать дорогостоящее оборудование. К тому же после правильной настройки двухфакторную аутентификацию можно будет использовать без подключения к интернету.

Список поддерживаемых ОС семейства РОСА

В настоящее время поддерживаются следующие ОС (не ниже):

  • ROSA Desktop Fresh R9 GNOME
  • ROSA Desktop Fresh R11 KDE
  • ROSA Desktop Fresh R11 Plasma (при условии изменения менеджера входа с SDDM на LightDM)
  • Любая ОС ROSA (Fresh/RED) платформы 2014.1 или 2016.1 с менеджером входа KDM, GDM либо LightDM

Что потребуется для настройки

  • Установить на компьютер из нашего репозитория программу google-authenticator
  • Взять смартфон или планшет (Windows Phone©, Android© или Apple© iOS©, без разницы), который превратится в ваш токен с ключом и станет генератором одноразовых паролей
  • Сделать так, чтобы время на смартфоне и на компьютере совпадало. Допускается только незначительное расхождение по времени между устройствами
    • Для синхронизации времени лучше всего использовать серверы точного времени. Например, вы можете использовать наши публичные и общедоступные серверы времени — ntp.rosalinux.ru и ntp2.rosalinux.ru или любые другие по вашему желанию

Ограничения, о которых нужно знать

  • Если вы потеряете смартфон или в нём сядет батарейка, вы не сможете зайти в ОС штатным способом
  • Если у вас будет различаться время на компьютере и на телефоне, вы также не сможете зайти в ОС штатным способом
  • Помните, что с ростом безопасности снижается удобство использования. Вам теперь постоянно придётся иметь под рукой работающий телефон и вводить два пароля вместо одного
  • Переключение в контекст другого пользователя может стать проблемой: помимо пароля другого пользователя нужно будет знать его одноразовый пароль

Что вы получите в итоге

  • Существенно возрастёт безопасность. Теперь можно будет не опасаться скомпрометировать пароль пользователя или даже администратора (root)
  • Повышение безопасности не будет стоить вам ни рубля
  • Вы будете знать, что ваша система повышения безопасности — только ваша и ничья ещё. Никакие сторонние сервисы не используются
  • Вы будете на практике использовать современные технологии информационной безопасности в повседневной жизни
  • Кто-то может перенять ваш опыт и начать использовать 2FA, чем повысит безопасность своей системы

Принцип настройки и работы 2FA в ROSA Desktop

Работа 2FA в ROSA Desktop базируется на следующих принципах:

  • Используется односторонний алгоритм аутентификации по одноразовым паролям на основе времени — TOTP (Time-based One Time Password Algorithm, RFC 6238)
  • На компьютере при установке и первичной настройке для каждого пользователя генерируется 80-битный секретный ключ. Он отображается с помощью QR-кода (по умолчанию) или отображается как 16- (по умолчанию), 26- или 32-значный код в кодировке Base32
  • QR-код сканируется прямо с экрана компьютера специальным приложением смартфона (или в телефонное приложение вручную вводится образованный на компьютере цифровой 16-значный код)
  • Приложение на телефоне создаёт HMAC-SHA1, используя этот секретный QR-код (16-значный код) в качестве основы (ключа) для расчётов
  • Затем часть HMAC извлекается и преобразуется в шестизначный (по умолчанию) одноразовый пароль, отображаемый программой на экране смартфона
  • Одноразовый пароль действует 30 секунд (по умолчанию)

Программы для смартфонов/планшетов, необходимые к установке

Ниже приведён список доступных на момент написания данной статьи бесплатных программ для генерации одноразовых паролей. Мы постарались охватить всё многообразие современных смартфонов — по крайней мере, абсолютное их большинство.

Помимо бесплатных приложений есть ещё и платные, но в данном руководстве мы их описывать не будем.

Для смартфона/планшета с системой Android©

Для смартфона/планшета компании Apple© с системой iOS©

Для смартфона с системой Microsoft© Windows Phone© или планшета Microsoft© Surface©

Настройка операционной системы ROSA Desktop Fresh R9 (GNOME) для работы двухфакторной аутентификации

Установка приложения на компьютер и синхронизация часов

Прежде всего убедитесь, что время на компьютере и на смартфоне/планшете совпадает!

Для настройки времени на компьютере можно использовать программу drakclock. Запустите её (<Alt+F2> и команда drakclock) и проверьте время и часовой пояс. Хорошим решением будет использование любого сервера времени из списка программы drakclock. Также вы можете сами вписать любой сервер времени. Например, один из наших серверов времени — ntp.rosalinux.ru или ntp2.rosalinux.ru.

Рисунок 1. Синхронизация времени с помощью drakclock

Установка приложения на смартфон/планшет

Устанавливайте программу только после синхронизации времени на компьютере и на смартфоне/планшете!

  • Установите google-authenticator:
urpmi google-authenticator

Создание на компьютере QR-кода (ключа) для администратора (root)

  • На компьютере переключитесь в контекст администратора (root):
su - или sudo -i

Для администратора лучше в первую очередь настроить одноразовый пароль, чтобы избежать сложностей при дальнейшей настройке. Если что-то пойдёт не так, вам пригодится уже настроенный вход администратора (root).

  • Создайте ключ для администратора следующей командой (лучше всего это делать в терминале xterm):
google-authenticator
Рисунок 2. Получение QR-кода или цифрового ключа

Ввод QR-кода (цифрового ключа) в приложение на смартфоне/планшете

Запустите на смартфоне или планшете установленное приложение, и, следуя его подсказкам, просканируйте получившийся QR-код. Либо, если ваше приложение не поддерживает сканирование QR-кодов, вручную введите шестнадцатизначный ключ, сгенерированный прямо под QR-кодом и подписанный следующим образом:

Your new secret key is: ABCDEFGH12345678

Пример сканирования QR-кода:

Рисунок 3. Пример сканирования QR-кода приложением на смартфоне

Создание на компьютере и ввод в смартфон/планшет QR-кода для обычного пользователя

Создание QR-кода для рядового пользователя системы ничем не отличается от создания его для администратора.

  • Запустите терминал и переключитесь в контекст этого пользователя:
su - <имя_желаемого_пользователя>
  • Выполните:
google-authenticator

В ответ вы увидите ещё один QR-код для пользователя. Пример QR-кода показан на рисунке 2.

  • Далее, как уже было описано выше, просканируйте вашим смартфоном/планшетом ещё один QR-код или введите шестнадцатизначный ключ. Пример этой операции показан на рисунке 3.
  • Повторите операции по генерации QR-кодов столько раз, сколько нужно. Скорее всего, вам потребуется создать свой QR-код для каждого пользователя системы. Ведь, как только вы закончите настройку, войти в систему без одноразового пароля станет невозможно.

Не забывайте при создании QR-кодов каждый раз переключаться в контекст нового пользователя.

Настройка графического менеджера GDM

Если у вас установлена ОС ROSA Fresh R9 с графическим окружением GNOME, ниже вы можете прочитать, как настроить GNOME Dislay Manager (GDM) для работы с 2FA.

Для настройки GDM вам потребуются полномочия администратора (root).

  • Отредактируйте файл /etc/pam.d/gdm-password. Измените верхние строки, как указано в примере:
#%PAM-1.0
auth       required    pam_env.so
auth       required    pam_unix.so
auth       sufficient  pam_google_authenticator.so
auth       sufficient  pam_succeed_if.so user ingroup nopasswdlogin

Помните, что настройки модуля PAM применяются немедленно, и перезагрузку выполнять не нужно.

  • Введите первый пароль как обычно.
Рисунок 4. Ввод пароля в GDM
  • Запустите приложение на вашем смартфоне, выберите учётную запись и приготовьтесь ввести одноразовый пароль. Помните, что он действует 30 секунд. В приложении обычно имеется индикатор срока действия.
Рисунок 5. Работа генератора одноразового пароля на смартфоне
  • Введите цифры с экрана смартфона в менеджер входа GDM, как только будет запрошен одноразовый пароль.

Теперь у вас настроена двухфакторная аутентификация для входа в графическую оболочку.

Рисунок 6. Ввод одноразового пароля в GDM

Однако ещё не настроены:

  • Вход в текстовую консоль и переключение контекста пользователя
  • Механизм sudo
  • Удалённый вход по протоколу SSH

Как настроить всё это, описано далее.

Настройка 2FA для текстовой консоли и переключения контекста пользователя

Для этой настройки вам снова потребуются полномочия root.

  • Отредактируйте файл /etc/pam.d/system-auth и приведите первые 4 строчки к следующему виду:
auth        required      pam_env.so
auth        required      pam_unix.so try_first_pass nullok
auth        sufficient    pam_google_authenticator.so
auth        required      pam_deny.so

Немедленно после этого для входа в текстовую консоль потребуется вводить одноразовый пароль.

Рисунок 7. 2FA в текстовой консоли getty

То же самое заработает и для переключения контекста полномочий — например, при использовании команды su.

Рисунок 8. 2FA при переключении контекста полномочий пользователя

Настройка 2FA для использования sudo

Для настройки потребуются полномочия root.

  • Выполните:
visudo
  • Поменяйте строку
Defaults    env_reset

на

Defaults    env_reset, timestamp_timeout=0

Двухфакторная аутентификация для sudo работает уже после редактирования файла system-auth. В данном случае мы лишь сделали так, чтобы пароль при использовании sudo запрашивался каждый раз, повысив таким образом безопасность системы.

Настройка 2FA для удаленного входа по SSH

  • Переключитесь в контекст root.
  • В файле /etc/ssh/sshd_config найдите строку
UsePAM no

и измените no на yes.

  • Перезапустите службу sshd:
systemctl restart sshd

После перезапуска службы sshd у вас заработает двухфакторная аутентификация при использовании удалённого подключения по SSH к своему компьютеру.

Настройка 2FA в ОС ROSA Desktop Fresh с рабочим столом Plasma

Настройка двухфакторной аутентификации ROSA Fresh с окружениями рабочего стола Plasma практически полностью совпадает с описанной выше.

Для настройки потребуются полномочия root.

  • Установите программу LightDM:
urpmi lightdm
  • Отключите текущий менеджер входа и активируйте lightdm:
systemctl disable sddm (если вы используете Plasma)
systemctl enable lightdm
  • Отредактируйте файл /etc/pam.d/lightdm. Первые три строки должны принять вид:
auth       required    pam_env.so
auth       required    pam_unix.so
auth       sufficient  pam_google_authenticator.so

После этого можно будет выполнить перезагрузку и получить двухфакторную аутентификацию в графической консоли.

Процедуры настройки 2FA для входа в текстовый терминал, для переключения контекста полномочий и для работы с sudo и ssh идентичны версии для GNOME.

Известные ошибки и способы их исправления

В процессе использования были отмечены случаи, когда пользователь не может пройти аутентификацию.

Признаки:

  • Пользователь не может зайти, при попытке аутентификации возникает отказ
  • В домашнем каталоге пользователя появляется файл ~/.google-authenticator~

Способ исправления:

  • Зайдите в систему в контексте учётной записи администратора (root)
  • Удалите из каталога пользователя файл ~/.google-authenticator~

Существенная оговорка для специалистов по ИБ

Строго говоря, речь в данной статье идёт не о двухфакторной (two-factor authentication), а о т. н. двухэтапной (two-step authentication) аутентификации. Существуют различия между сертификатом, расположенным в хранилище токена (которое, в свою очередь, закрыто PIN-кодом), отпечатком пальца и одноразовым паролем.

В общем случае двухфакторная аутентификация должна:

а) быть строгой
б) основываться на действительно независимом факторе, которым, вообще говоря, не является одноразовый пароль
в) быть независимо проверенной (например, путём сертификационных испытаний) и подтверждённой (например, с помощью испытательной лаборатории)

Но, с другой стороны, мы опубликовали эту статью, чтобы наши пользователи могли быстро и без особых усилий повысить безопасность своих данных. Способ, описанный выше, для этого отлично подходит. Существует не так много бесплатных решений, позволяющих это осуществить.

Просим простить нам эту неточность, ибо простого пользователя необязательно погружать в тонкости терминологии, описывая различия между двухфакторной и двухэтапной аутентификацией.

С уважением, команда разработчиков ROSA Linux.