[HWnews] Automaticky login

[Thomas Shaddack]

On Tue, 13 Apr 2004, Wek wrote:
> Existuje nieco take, ze strcim to napr. do USB a priloguje ma to do
> Win/Linuxu? Vytiahnem a odloguje ma? Ak nie, ako by sa dalo ist na vec
> (nemyslim zo strany toho "cohosi do USB" ale zo strany OS)?

Pro Linux se da napsat specificky PAM (Pluggable-Authentication-Module),
a napsat prislusne konfigurace do /etc/pam.d/* souboru. To je co se tyce
autentizace samotne.

Pro hardwarovou realizaci existuje mnoho moznosti; od tokenu s
mikrokontrolerem a napr. FT232BM na USB az po interface pro Dallas
Semiconductors iButtons. Daji se pouzivat i smartkarty vsemoznych druhu.

Low-cost low-security reseni by mohlo byt pouziti USB disku s ulozenym
nejakym udajem. Nevyhoda je ze se da snadno zkopirovat, vyhoda je
jednoduchost. Pak se da prepsat /etc/hotplug/usb.agent aby registroval
eventy pro zasunuti a odpojeni tokenu. (Totez plati pro token s FT232BM,
pokud bude mit sve specificke ID v konfiguracni EEPROM podle ktere ho
system pozna.)

Taky se da udelat neco ciste na seriovy port, natvrdo nakonfigurovane, a
prislusny PAM modul co posila challenge a ceka na response a pokud dostane
prislusny response, schvali autorizaci. Vzhledem k modularite PAM
architektury je mozny i fallback zpatky na mechanismus s passwordem.

Pokud je pouzity token s mikrokontrolerem, at uz RS232 nebo USB, je mozne
do tokenu zabudovat i numerickou klavesnici pro odemknuti tokenu zadanim
PINu, coz implementuje dvoufaktorovou autorizaci. (Coz mne vede k dotazu:
vyzna se tu nekdo v implementaci kryptografickych algoritmu pro
mikrokontrolery PIC/Atmel (radsi PIC)? Hotove rutiny pro MD5/SHA1/SHA256,
AES128/AES256, a pokud mozno i neco asymetrickeho? Ja o tom zatim vim
houby. Aspon kde hledat...) Tamper-resistance by sla implementovat i u
tohoto typu, pokud by se klic ulozil v baterii zalohovane SRAM pobliz
mikrokontroleru, zamotane do dratku od baterie a zalite epoxidem tak, aby
pokus o odbrouseni nebo odleptani vedl k vyzkratovani baterie a vynulovani
SRAM.

Reseni s iButtons je vhodne zvlaste tam, kde je potreba mit token co je
prakticky neznicitelny. Podle pozadovane urovne zabezpeceni je mozne
pouzit bud jednoduchy iButton se seriovym cislem, nebo totez s SHA1 hash
enginem uvnitr pro challenge-response schema. Nejdrazsi ($50/ks) ale
nejlepsi by byl iButton s Java enginem uvnitr a s 1024-bit RSA
akceleratorem na cipu (to pak umi i delat digitalni podpisy), ale bude
problem je sehnat, jelikoz vyrobce odmita zasilat je mimo USA/Kanadu kvuli
exportnim omezenim na kryptograficke technologie (protoze je to banda
krkounu), takze by se to muselo nejak propasovat, jako se to delavalo za
Zelezne Opony (nejspis nechat to koupit od nekoho v Kanade a pak poslat
postou nebo UPS?). Dulezitou vlastnosti tohoto typu iButtonu je
tamper-resistance; pokud detekuje pokus o prunik dovnitr pouzdra, zapomene
soukromy klic ulozeny uvnitr.

Tohle je dost rozsahla problematika se SPOUSTOU reseni. Ja se zatim
orientuji jenom v principech. (Ale kibicovat muzu. ;) ) Zalezi na tom, co
konkretne potrebujete a pro jakou uroven zabezpeceni - jestli jde o
ochranu tuctu MP3, bankovniho konta, nebo o zivoty agentu v oblasti
zamorene Protivnikem.