PAM

Compatible Nitrokeys

3A/C/Mini

Passkey

HSM 2

Pro 2

FIDO2

Storage 2

Start

U2F

✓

active

⨯

inactive

⨯

inactive

✓

active

⨯

inactive

✓

active

✓

active

⨯

inactive

Jak nastavit přihlášení

Máte dvě možnosti: pam_p11 nebo PAM Poldi.

Řešení s pam_p11 je obtížnější a je založeno na certifikátech S/MIME. Více informací naleznete v dokumentaci.

Poldi 0.4.1 funguje bezchybně s Nitrokey pro ověřování PAM s klíči RSA (informace o klíčích ECC najdete v části Řešení problémů). Kromě instalace poldi (např. ‚sudo apt-get install libpam-poldi‘ v Ubuntu) je pro zprovoznění potřeba provést následující kroky.

Je nutné mít již vygenerované klíče na Nitrokey, protože autentizační klíč používá PAM.

  1. Nejprve je třeba zjistit ID aplikace Nitrokey. Vypadá to jako D00600012401020000000000xxxxxxxx nebo podobně.

    gpg --card-status | grep Application

  2. Now you have to add a line to /etc/poldi/localdb/users which contains the following information <YourApplicationID> <YourUsername>. This could look like D00600012401020000000000xxxxxxxx nitrokeyuser. Now dump the public key from the Nitrokey into Poldi’s local database:

    This could look like D00600012401020000000000xxxxxxxx nitrokeyuser. Now dump the public key from the Nitrokey into Poldi’s local db:

    sudo sh -c 'gpg-connect-agent "/datafile /etc/poldi/localdb/keys/<YourApplicationID>" "SCD READKEY --advanced OPENPGP.3" /bye'

    Uvědomte si, že do řádku výše musíte vložit své ID žádosti s ID vaší hole!

    Pak je třeba nakonfigurovat PAM. Stačí přidat „auth sufficient pam_poldi.so“ do konfiguračních souborů pam podle vašich potřeb:

    • /etc/pam.d/common-auth pro grafické přihlášení uživatele

    • /etc/pam.d/login pro přihlášení do konzole

    • /etc/pam.d/sudo pro ověření sudo

    • /etc/pam.d/gnome-screensaver pro přihlášení zpět ze zamčené obrazovky

    • a další soubory na /etc/pam.d

    Poznámka

    Poznámka: Pam je nebezpečný, proto se ujistěte, že máte možnost se k němu dostat, pokud autentizaci zcela porušíte. Nezapomeňte, že spuštění do záchranného režimu z Grubu vyžaduje heslo roota, takže jej nebo live CD, které umí číst souborové systémy, mějte po ruce.

Zde najdete další pokyny (v němčině, částečně zastaralé).

Řešení problémů

Pokud se zobrazí chyba podobná chybě ‚ERR 100663414 Invalid ID <SCD>‘, měli byste zkusit místo toho.

poldi-ctrl -k > <YourApplicationID>; sudo mv <YourApplicationID> /etc/poldi/localdb/keys

Uvědomte si, že do řádku výše musíte vložit své ID žádosti s ID vaší hole!

Klíče ECC

Použití klíčů ECC vyžaduje minimálně verzi 0.4.2 systému Poldi.