PAM

Nitrokey 3	Nitrokey Passkey	Nitrokey FIDO2	Nitrokey U2F	Nitrokey HSM 2	Nitrokey Pro 2	Nitrokey Start	Nitrokey Storage 2
✓	⨯	⨯	⨯	⨯	✓	✓	✓

Kirjautumisen määrittäminen

Sinulla on kaksi vaihtoehtoa: pam_p11 tai PAM Poldi.

Ratkaisu pam_p11:n kanssa on vaikeampi toteuttaa, ja se perustuu S/MIME-varmenteisiin. Katso lisätietoja dokumentaatiosta.

PAM Poldi 0.4.1 toimii moitteettomasti Nitrokeyn kanssa PAM-todennusta varten RSA-avaimilla (katso ECC-avaimia koskevat tiedot kohdasta Vianmääritys). Poldin asennuksen lisäksi (esim. sudo apt-get install libpam-poldi Ubuntussa) tarvitaan seuraavat vaiheet, jotta se saadaan toimimaan.

On välttämätöntä, että Nitrokey-avaimet on jo luotu, koska PAM käyttää todentamisavainta.

1. Ensin sinun on selvitettävä Nitrokey-avaimesi sovellustunnus. Se näyttää tai muistuttaa D00600012401020000000000xxxxxxxx.

   gpg --card-status | grep Application
   

2. Nyt sinun on lisättävä rivi osoitteeseen /etc/poldi/localdb/users, joka sisältää seuraavat tiedot <YourApplicationID> <YourUsername>.

   Tämä voisi näyttää seuraavalta: D00600012401020000000000xxxxxxxx nitrokeyuser. Kaada nyt julkinen avain Nitrokey:stä Poldisin paikalliseen tietokantaan:

   sudo sh -c 'gpg-connect-agent "/datafile /etc/poldi/localdb/keys/<YourApplicationID>" "SCD READKEY --advanced OPENPGP.3" /bye'
   

   Huomaa, että sinun on lisättävä hakemustunnuksesi yllä olevalle riville Nitrokey-tunnuksesi kanssa!

   Sitten sinun on määritettävä PAM. Lisää vain auth sufficient pam_poldi.so PAM-konfiguraatiotiedostoihin tarpeidesi mukaan:

   • /etc/pam.d/common-auth graafista käyttäjäkirjautumista varten

   • /etc/pam.d/login konsolin kirjautumista varten

   • /etc/pam.d/sudo sudo-todennusta varten

   • /etc/pam.d/gnome-screensaver kirjautumiseen takaisin lukitulta näytöltä

   • ja muut tiedostot osoitteessa /etc/pam.d

   Muista

   PAMin kanssa on vaarallista leikkiä, joten varmista, että sinulla on keino päästä koneelle, jos autentikointi katkeaa kokonaan. Muista, että käynnistys pelastustilaan GRUBista vaatii root-salasanan, joten pidä se tai live-CD, joka osaa lukea tiedostojärjestelmiäsi, käsillä.

Täältä löydät lisäohjeita (saksaksi, osittain vanhentunut).

Vianmääritys

Jos saat virheilmoituksen, joka on samanlainen kuin ERR 100663414 Invalid ID <SCD>, kokeile sen sijaan seuraavaa

poldi-ctrl -k > <YourApplicationID>; sudo mv <YourApplicationID> /etc/poldi/localdb/keys

Huomaa, että sinun on lisättävä hakemustunnuksesi yllä olevalle riville tikkusi tunnuksen kanssa!

ECC-avaimet

Valitettavasti Poldi ei vielä tue ECC-avaimia. Mutta on olemassa -korjaus Nitrokey Start kanssa käytettäviä ECC-avaimia varten. Tämä on jo sisällytetty Poldi-kehitysarkiston master-haaraan, joten se julkaistaan jossain uudemmassa versiossa. Sillä välin ainoa vaihtoehto on rakentaa Poldi lähdekoodista.