L'idée ici est assez simple : utiliser la partition d'un clef usb pour s'authentifier sur un serveur grâce au plugin pam_usb. Ainsi, plus aucun mot de passe n'est demandé.

L'authentification sous Linux est aujourd'hui quasi-universellement confiée à PAM pour Plugin Authentification Module. PAM est utilisé à chaque fois que vous vous connectez sur votre système. Son fonctionnement consiste à confier à une série de modules enfichables, des plugins, le soin de déterminer si votre accès est autorisé ou pas. Les plugins sont appelés les uns après les autres et chacun dit oui ou non. Le paramétrage de PAM permet alors de savoir si un OUI est nécessaire ou s'il suffisant pour vous accepter.

En standard, PAM utilise surtout un seule plugin, pam_unix, qui va vérifier votre mot de passe dans /etc/shadow. Mais il est possible d'ajouter toute sorte de plugins pour enrichir la politique d'authentification. Par exemple pam_ldap pour s'authentifier sur un serveur LDAP. Et dans notre cas pam_usb pour le faire via une simple clef USB.

Les modules PAM sont situés en /lib/security et leur configuration en /etc/pam.d. Dans le cas d'une Mandriva, ce dossier contient un fichier par application utilisant PAM (imap, sshd, etc..) qui contient généralement des directives include permettant d'avoir un comportement commun par défaut, via le fichier system-auth. Les lignes qui nous intéressent ici sont celles qui régissent l'authentification et qui commencent par le mot clef auth:

Dans ce fragment, on s'aperçoit que l'authentification va d'abord se faire via le système classique d'UNIX (fichier /etc/shadow), puis, le cas échéant, via LDAP. Si aucun des deux n'as fonctionné, c'est pam_deny qui prends le relais et vous envois balader.

Le mot clef sufficient indique que si le module a correctement authentifié l'utilisateur, les modules suivants ne sont pas interrogés. Le mot clef required indique quant à lui que l'on doit passer par lui obligatoirement. Ainsi dans l'exemple précédent si nous avions remplacé (ne le faite pas !) les sufficient par des required, il faudrait pour qu'un utilisateur qui s'autentifie, soit présent dans /etc/shadow ET sur LDAP.

Préparation de la clef USB

Première étape, préparer le clef usb. Soit vous utilisez une veille clef et vous la dédiez totalement, soit vous pouvez créer sur votre clef de travail une minuscule partition dédiée au stockage des clefs. Dans un cas comme dans l'autre la partition ne peut être formatté qu'en EXT3 ou REISER. Pas de FAT32 donc. C'est pour cela que sur ma clef de 1GO, j'ai formatté une première partition de 1GO-7Mo en FAT32 pour une utilisation classique, et une petite partition de 7Mo (j'ai pas réussi à faire moins) en EXT3 pour mes clefs. A 2ko la clef, cela en fait 3500, ce qui me semble suffisant

Pour créer et formatter la ou les partitions, je vous conseille d'utiliser drakdisk. Il vous faut donc supprimer les partitions existantes, en créez deux nouvelles en ne laissant que 1mo à la seconde. Puis enfin formatter la deuxième partition en EXT3 ou Reiser. La première partitions peut quant à elle être formattée selon vos goûts.

La clef formattée, nous allons donner un label à la seconde partition. Ce label va nous permettre de localiser la clef plus facilement par la suite et aussi, pour les unix modernes, va être utilisé lors d'une insertion comme nom pour le point de montage automatique. Pour changer le label d'une partition, allez voir par là. Tapez sync puis débranchez et rebranchez la clef pour être sur que tout va bien.

Pour la suite de ce tutorial, je part du principe que la partition a pour label usb-pass. Qu'elle est donc accessible via /dev/disk/by-label/usb-pass et qu'elle dispose d'un UUID proprement définit.

Installation de pam usb

La solution adoptée par pam_usb est d'écrire une série de nombre aléatoire sur notre partition de 1Mo. A la connexion, cette série de chiffre (nommée pad) est comparée à celle qui a été copie dans le dossier utilisateur. Si ça colle, l'utilisateur est validé et pam_usb générée une nouvelle série de chiffres qui stock à nouveau sur la clef et dans le dossier utilisateur. Et ainsi de suite. Cette méthode garantie que toute donnée copies deviendra vite caduque à un détail près. En effet, si je débranche ma clef, que quelqu'un la copie, et se reconnecte avant moi, je suis grillé... La solution a donc ses limites qu'il est important de connaître.

La version 0.4.1 incluse dans la Mandriva 2008.0 était un peu buggée, il est plus sage de compiler soit même la dernière version du module. Il faut pour cela aller sur le site de pam_usb pour télécharger le dernier tarball (pam_usb-0.4.2.tar.gz) et le compiler :

Ceci fait, branchez votre clef USB, et lancez la commande suivante. Il va vous être demandé de choisir parmi les partitions de clef usb présente sur le système celle qui contiendra les données d'authentification. Choisissez la petite partition pass-usb. Tapez enfin Y pour sauver ces informations dans le fichier de configuration /etc/pamusb.conf.

Ensuite nous allons ajouter un utilisateur authentifiable sur la clef. Pour cela utilisez la commande suivante en indiquant en paramètre l'utilisateur à rajouter.

Voilà, c'est terminé. Il suffit maintenant d'ajouter dans /etc/pam.d/system-auth la ligne indiquant à PAM que la clef USB est le premier moyen suffisant pour s'authentifier sur ce système :

Il ne reste maintenant plus qu'à tester. Une fois que tout est bon, vous pouvez rendre pam_usb moins bavard en modifiant /etc/pamusb.conf comme suite :

Commentaires