Dass ich tippfaul bin, sollte ich an dieser Stelle vielleicht nicht all zusehr betonen, jedoch um bei der Wahrheit zu bleiben, es war der ausschlaggebende Faktor um nach einer angenehmen Methode zu suchen. Authentifizieren per Fingerabdruck ist zwar eine M\u00f6glichkeit, jedoch bietet sie immer wieder ihre Macken, wenn es darum geht, das ‚Passwort‘ einmal weiterzugeben. Au\u00dferdem ist die Sicherheit fragw\u00fcrdig.<\/p>\n
Netterweise habe ich ja das Problem nicht als einziger Benutzer, und so kommt es, dass es das Paket sys-auth\/pam_usb gibt – Authentifizieren via USB Ger\u00e4t. Damit es klappt, empfiehlt es sich eine Version gr\u00f6\u00dfer 0.4.1, welche wir unter Gentoo zuerst unmaskieren m\u00fcssen:<\/p>\n
# echo „sys-auth\/pam_usb“ >> \/etc\/portage\/package.keywords
\n# emerge -av „>=sys-auth\/pam_usb-0.4.1“<\/p><\/blockquote>\nIst der Bau abgeschlossen, geht es an den Lieblingsteil, die Konfiguration, f\u00fcr welche ich mir einen SanDisk Corp. Cruzer Titanium ausgesucht habe. Mit den beigelegten Werkzeugen konfigurieren wir einmal den USB Stick:<\/p>\n
# pamusb-conf –add-device MySecretDevice
\nPlease select the device you wish to add.
\n* Using „SanDisk Corp. Cruzer Titanium (SNDKXXXXXXXXXXXXXXXX)“ (only option)
\nWhich volume would you like to use for storing data ?
\n* Using „\/dev\/sdb1 (UUID: <6F6B-42FC>)“ (only option)
\nName : MySecretDevice
\nVendor : SanDisk Corp.
\nModel : Cruzer Titanium
\nSerial : SNDKXXXXXXXXXXXXXXXX
\nVolume UUID : 6F6B-42FC (\/dev\/sdb1)
\nSave to \/etc\/pamusb.conf ?
\n[Y\/n] y
\nDone.<\/p><\/blockquote>\nWenn das genauso wie bei mir geklappt hat, dann wird es Zeit die entsprechenden Benutzer zu konfigurieren. Weil ich es einfach praktisch finde, nehme ich hier ‚root‘ als unser Opfer:If things work the same way they do on my howto, the USB stick is now set up for authentication in general. Now let’s add users. I’d say using root is pretty cool – so let’s try. <\/p>\n
# pamusb-conf –add-user root
\nWhich device would you like to use for authentication ?
\n* Using „MyDevice“ (only option)
\nUser : root
\nDevice : MySecretDevice
\nSave to \/etc\/pamusb.conf ?
\n[Y\/n] y
\nDone.<\/p><\/blockquote>\nNun sollte der Benutzer ‚root‘ theoretisch mit dem Ger\u00e4t authentifiziert werden k\u00f6nnen. Ob dem wirklich so ist, zeigt uns folgender Test:<\/p>\n
# pamusb-check root
\n* Authentication request for user „root“ (pamusb-check)
\n* Device „MySecretDevice“ is connected (good).
\n* Performing one time pad verification…
\n* Verification match, updating one time pads…
\n* Access granted.<\/p><\/blockquote>\nDa das geschafft ist, ist es Zeit, unser System zu versauen. Um also in der generellen System-Authentifikation herumschrauben zu k\u00f6nnen, passe ich die Datei \/etc\/pam.d\/system-auth an:Well – the basic stuff is done. Now let’s start with the difficult part: we’re dangling on PAM. As I want to make the changes system wide, I’m working with the file \/etc\/pam.d\/system-auth where I am looking for the line saying<\/p>\n
auth required pam_unix.so nullok_secure<\/p><\/blockquote>\n
wird somit zu:<\/p>\n
auth sufficient pam_usb.so
\nauth required pam_unix.so nullok_secure<\/p><\/blockquote>\nEs folgt der Praxistest:<\/p>\n
pavilion $ su
\n* pam_usb v.0.4.3
\n* Authentication request for user „root“ (su)
\n* Device „MySecretDevice“ is connected (good).
\n* Performing one time pad verification…
\n* Verification match, updating one time pads…
\n* Access granted.<\/p>\nKlappt doch wunderbar. Durch anpassen der entsprechenden PAM-Module kann man sogar mit kdm, gdm oder gar den Bildschirmschonern herumbasteln. Wobei – da f\u00e4llt mir ein, dass es doch auch cool w\u00e4re, wenn der USB Stick gleich den Bildschirmschoner ausl\u00f6st, wenn man ihn abzieht.<\/p>\n
Doch selbst dazu gibt es eine L\u00f6sung. Der pamusb-agent. Ein Eintrag in der Config dazu k\u00f6nnte etwa so aussehen, wenn man wie ich KDE benutzt:<\/p>\n
\n\r\n MySecretDevice<\/device>\r\n dcop kdesktop KScreensaverIface lock<\/agent>\r\n dcop kdesktop KScreensaverIface quit<\/agent>\r\n <\/user><\/pre>\n<\/blockquote>\n Nun muss nur noch der Agent beim Starten des KDE geladen werden und die Sache sollte rund laufen.<\/p>\n
\ncd ~\/.kde\/Autostart
\nln -s \/usr\/bin\/pamusb-agent pamusb-agent<\/p><\/blockquote>\nDas war’s dann auch schon – Viel Spass beim Nachbau<\/p>","protected":false},"excerpt":{"rendered":"
Dass ich tippfaul bin, sollte ich an dieser Stelle vielleicht nicht all zusehr betonen, jedoch um bei der Wahrheit zu bleiben, es war der ausschlaggebende Faktor um nach einer angenehmen Methode zu suchen. Authentifizieren per Fingerabdruck ist zwar eine M\u00f6glichkeit, jedoch bietet sie immer wieder ihre Macken, wenn es darum geht, das ‚Passwort‘ einmal weiterzugeben. Au\u00dferdem ist die […]<\/p>\n","protected":false},"author":7,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4],"tags":[39,24,170],"class_list":["post-840","post","type-post","status-publish","format-standard","hentry","category-it-related-stuff","tag-gentoo","tag-kde","tag-security"],"_links":{"self":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/posts\/840","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/users\/7"}],"replies":[{"embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/comments?post=840"}],"version-history":[{"count":0,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/posts\/840\/revisions"}],"wp:attachment":[{"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/media?parent=840"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/categories?post=840"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/my.stargazer.at\/de\/wp-json\/wp\/v2\/tags?post=840"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}