LinuxUser Office Perfekt (Vorschau)

NETZ&SYSTEM
YubiKey (Teil 2)
YubiServer
LU/yubiserver/
README
Der YubiKey-Token von
Yubico dient als USB-
Stick zum Übermitteln
von Einmalpasswörtern
für das Authentifizieren
über unsichere Kanäle
und löst damit Passwort-Probleme.
Wir zeigen,
wie Sie den Yubi-
Key mit eigenen Passworten
versehen und
damit SSH-Zugänge zusätzlich
absichern.
Der erste Teil dieses Beitrags in
LU 09/ 2012 [1] beschrieb die
Prinzipien des YubiKey, die zugehörige
Client-Server-Architektur
zur Authentifizierung sowie die
möglichen Einsatzbereiche. Der
vorliegende Artikel widmet sich
der Einbindung des YubiKey in
die eigene Infrastruktur, der Verwendung
als Pluggable Authentication
Module (PAM) und dem
Zusammenspiel mit einem Yubi-
Key-Authentifizierungsserver.
Sichere Authentifizierung
mit dem YubiKey (Teil 2)
Schlüsselerlebnis
SSH-Zugänge gelten als sicher – sofern die Zugangsdaten
in den richtigen Händen bleiben. Mit dem YubiKey
ergänzen Sie ihr Sicherheitskonzept um eine wirksame
2-Faktor-Authentifizierung. Thomas Osterried, Frank Hofmann
YubiKey-Tools
Grundsätzlich können Sie die auf
dem YubiKey gespeicherten Daten
nicht direkt auslesen. Sie erhalten
lediglich die temporären
Schlüssel als Ergebnis der entsprechend
den beiden Slots zugewiesenen
Aktionen, indem Sie
den Knopf auf dem YubiKey drücken
– weniger als 1,5 Sekunden
für den ersten Slot und rund 3 Sekunden
für den zweiten Slot. Die
ersten zwölf Zeichen des dynamisch
generierten Schlüssels beinhalten
die Geräteidentifikation
des YubiKey („Public ID“), die
man in der Regel administrativ
eindeutig einem Nutzer zuweist.
An dieser Public ID orientiert sich
der Autorisierungsserver zur
Schlüsselüberprüfung.
Die Konfiguration des YubiKey
nehmen Sie entweder über die
Kommandozeile mit dem Werkzeug
Ykpersonalize aus dem Paket
yubikey-personalization [2] vor
oder mit dem grafischen YubiKey
Personalization Tool (YKPT, [3]),
einer Qt-Anwendung (Abbildung
A). Neben kostenlos von
der Herstellerwebseite verfügbaren
Binärversionen für Linux, OS
X und MS Windows stehen bereits
seit Längerem fertige Pakete
für Red Hat, Fedora, Ubuntu und
Debian zur Verfügung. Letztere
gibt es erst ab dem kommenden
Debian-Release als Paket. Beide
Programme liefen in Tests jedoch
soweit fehlerfrei, obwohl die Pakete
bislang nur zum Teil als stabil
klassifiziert wurden. Auf Github
[4] befindet sich ein Repository
mit dem dazugehörigen
Quellcode zum Selberbauen.
Für das Ausführen sowohl von
Ykpersonalize als auch YKPT benötigen
Sie unter Debian und
Ubuntu Root-Rechte (aufgrund
einer vermurksten Udev-Regel),
unter Mac OS X genügen bereits
normale Benutzerrechte. Beide
Werkzeuge zeigen die Seriennummer
des YubiKey, die Versionsnummer
der Firmware und damit
auch die unterstützten Verfahren
zur Authentifizierung an (Abbildung
A, rechts).
© Nikolai Sorokin, Fotolia
68 10 | 12
www.linux-user.de