URL: https://linuxfr.org/users/wallaye/journaux/installation-pam_usb Title: Installation pam_usb Authors: Cédric Chantepie Date: 2004年09月20日T09:44:43+02:00 Tags: Score: 1 **Rapel bref** pam_usb est un module PAM permettant l'authentification sous linux par échange de clé DSA (public/privée). La clé privée étant stockée de manière privilégiée sur une clé USB -- ça devrait aussi fonctionner avec n'importe quel média amovible montable sous linux à priori --. **Installation du package** Ca depend de votre distribution, sous gentoo un petit emerge pam_usb est suffisant. Le package doit installer un "pam_usb.so" dans les libraries, sous gentoo c'est "/lib/security/pam_usb.so" (si je me souviens bien). **Génération des clés** La génération des clés se fait grâce à "usbadm" installé par le package pam_usb : monter la clé usb (ex: mount -t vfat /dev/sda1 /mnt/usbkey), Génération des clés DSA usbadm keygen [mon_mountpoint] [mon_user] [taille_en_bit_de_la_clé] (ex: usbadm keygen /mnt/usbkey toto 2048). Pour plus de sécurité il est possible de "chiffrer" la clé privée en 3des ou blowfish avec un usbadm cipher [mon_mountpoint] [mon_user] (3des|blowfish). Il est également possible de ne permettre l'authentification que par une clé usb connue en gérant une liste de numéro de série avec usbadm addserial (à faire avec le clé branchée). **Configuration** Pour "pluggé" le module pam_usb au niveau du login linux il faut modifier le fichier "/etc/pam.d/login" et rajouter avant la ligne du style auth request [un_path]/(pam_stack.so|pam_unix.so) une nouvelle ligne auth required [un_path]/pam_usb.so force_device=[mon_dev] fs=[ma_fs] check_if_mounted=1 (ex: auth /lib/security/pam_usb.so force_device=/dev/sda1 fs=vfat check_if_mounted=1 debug=1). **Finitions** Avec le "required" dans la ligne pour "pam_usb.so" la ligne contenant "pam_stack.so" (ou "pam_unix.so" en fonction des distributions) peut être supprimée si vous ne voulez l'authentification que par clé usb. Avec les deux ensemble le mot de passe sera bien demandé sur la console mais ne fonctionnera pas si la clé n'est pas insérée. Le "required" pour "pam_usb.so" peut également être remplacé par "sufficient" (ex: auth sufficient /lib/security/pam_usb.so [...options...]) pour utiliser soit l'authentification par clé usb, soit l'authentification par login en console. **Autres...** Le module "pam_usb" peut être également "pluggé" sur tous les autres systèmes sous linux utilisant pam, lister le répertoire "/etc/pam.d", par exemple pour modifier l'authentification du "sudo" et y adjoindre l'authentification par clé usb il suffit de faire le même type de configuration mais dans le fichier "/etc/pam.d/sudo" (au lieu de "/etc/pam.d/linux").