PAM

Compatible Nitrokeys

3A/C/Mini

Passkey

HSM 2

Pro 2

FIDO2

Storage 2

Start

U2F

✓

active

⨯

inactive

⨯

inactive

✓

active

⨯

inactive

✓

active

✓

active

⨯

inactive

Kirjautumisen määrittäminen

Sinulla on kaksi vaihtoehtoa: pam_p11 tai PAM Poldi.

Ratkaisu pam_p11:n kanssa on vaikeampi toteuttaa, ja se perustuu S/MIME-varmenteisiin. Katso lisätietoja dokumentaatiosta.

PAM Poldi 0.4.1 toimii moitteettomasti Nitrokeyn kanssa PAM-todennusta varten RSA-avaimilla (katso ECC-avaimia koskevat tiedot kohdasta Vianmääritys). Poldin asennuksen lisäksi (esim. sudo apt-get install libpam-poldi Ubuntussa) tarvitaan seuraavat vaiheet, jotta se saadaan toimimaan.

On välttämätöntä, että Nitrokey-avaimet on jo luotu, koska PAM käyttää todentamisavainta.

  1. Ensin sinun on selvitettävä Nitrokey-avaimesi sovellustunnus. Se näyttää tai muistuttaa D00600012401020000000000xxxxxxxx.

    gpg --card-status | grep Application

  2. Now you have to add a line to /etc/poldi/localdb/users which contains the following information <YourApplicationID> <YourUsername>. This could look like D00600012401020000000000xxxxxxxx nitrokeyuser. Now dump the public key from the Nitrokey into Poldi’s local database:

    This could look like D00600012401020000000000xxxxxxxx nitrokeyuser. Now dump the public key from the Nitrokey into Poldi’s local db:

    sudo sh -c 'gpg-connect-agent "/datafile /etc/poldi/localdb/keys/<YourApplicationID>" "SCD READKEY --advanced OPENPGP.3" /bye'

    Huomaa, että sinun on lisättävä hakemustunnuksesi yllä olevalle riville Nitrokey-tunnuksesi kanssa!

    Sitten sinun on määritettävä PAM. Lisää vain auth sufficient pam_poldi.so PAM-konfiguraatiotiedostoihin tarpeidesi mukaan:

    • /etc/pam.d/common-auth graafista käyttäjäkirjautumista varten

    • /etc/pam.d/login konsolin kirjautumista varten

    • /etc/pam.d/sudo sudo-todennusta varten

    • /etc/pam.d/gnome-screensaver kirjautumiseen takaisin lukitulta näytöltä

    • ja muut tiedostot osoitteessa /etc/pam.d

    Muista

    PAMin kanssa on vaarallista leikkiä, joten varmista, että sinulla on keino päästä koneelle, jos autentikointi katkeaa kokonaan. Muista, että käynnistys pelastustilaan GRUBista vaatii root-salasanan, joten pidä se tai live-CD, joka osaa lukea tiedostojärjestelmiäsi, käsillä.

Täältä löydät lisäohjeita (saksaksi, osittain vanhentunut).

Vianmääritys

Jos saat virheilmoituksen, joka on samanlainen kuin ERR 100663414 Invalid ID <SCD>, kokeile sen sijaan seuraavaa

poldi-ctrl -k > <YourApplicationID>; sudo mv <YourApplicationID> /etc/poldi/localdb/keys

Huomaa, että sinun on lisättävä hakemustunnuksesi yllä olevalle riville tikkusi tunnuksen kanssa!

ECC-avaimet

ECC-avainten käyttö edellyttää vähintään Poldin versiota 0.4.2.