LINUX.ORG.RU

[Re: Долой логины!][дико хотеть] Универсальный аппаратный Id через USB-брелки?


0

1

Да, я знаю про OpenID, разговор не про то.

Основные пункты мысли:

  • Брелки:
    • Приватный ключ храним на usb-брелке с невозможностью доставания (нет, не в фс), (про него все знают, см Rutoken и eToken), такие под линуксом работают. Пока что такие используются банками.
    • Брелки должны появится в свободной продаже (справки не наводил).
    • Брелки должны иметь встроенный флэш-диск хотя бы метров на 128 (копейки), дальше — от желания пользователя. Такие есть, пример: Rutoken Flash, eToken Flash, в Linux работают.
    • Доступ к встроенному диску может быть защищён паролем (или можно, введя пароль к данным, подписывать компьютеры на право доступа к данным без пароля).
  • Пользователи:
    • Вход в систему осуществляется автоматически через PAM при вставлении нового ключа. Предупреждение выхода — при вытаскивании. Для этого надо допилить все/какие-то из DM на предмет логина через PAM.
    • При вставлении нового ключа при уже имеющемся — спрашиваем, хотим ли мы их объединить (принимать второй в качестве авторизации альтернативно/вместе).Для этого нужно допилить DE, или сделать какой-то универсальный user-демон.
    • Диск служит хранилищем настроек, сеансов, и некоторых из папкок с данными в домашнем разделе. Грубо говоря — хомяк синхронизируется с диском, при этом на папках должна быть иконка синхронизирован/нет. Настройки становятся синхронизироваными автоматически, папки с данными отмечаются как таковые при запросу, кэш не синхронизируем никогда. Для этого надо допилить приложения на предмет соответсвия последнему XDG. И опять же, DE или демон.
    • Система может быть настроена так (галка на видном месте), что при вставлении неизвестного брелка создавался новый пользователь (логин и настройки хранятся на том же встроенном в брелок диске). После вытаскивания брелка — удалять пользователя по желанию пользователя или принудительно (в зависимости от настроек системы). Это позволит сидеть со своего окружения из гостей, без разных уходов в облака. Нужно допилить DM с добавлением пользователей. Тут вопрос по поводу доверия данных конкретной систему, на этот случай можно заводить два брелка: публичный (для шастания по библиотекам и отелям) и личный (для дома, друзей, и близких родственников). Можно ключи совместить в одну железку с выбором/вводом разных паролей.
    • Если какие-то программы или выбранный пользователем DE не стоят — проблема не критична, это опять же проблемы настроек компьютера.
  • Сайты, сервисы, аккаунты.
    • Да, пароли можно хранить в бумажнике на встроенном диске, но это — очень плохой выход, особенно если таскаться с ним по библиотекам.
    • Тут мы вспоминаем, что наш брелок — ключ. Встраиваем в браузеры механизм авторизации с использованием ключа и мастер-пароля, которым ключ подписывается. (См. он-лайн системы банков). Эта система должна быть альтернативной к обычному входу (как OpenID), и, если сайт, браузер, и компьютер поддерживают, а брелок вставлен — должна работать вместо обычной авторизации.
    • Такая же система с почтовыми, IM-клиентами и всем остальным. Тоже нужна поддержка в приложениях.
  • DE, помимо описанного выше.
    • Должна быть возможность таскать сеансы. Это может быть реализовано через уже имеющееся сохранение сеанса при выходе (настройки-то с собой).

Можно разделить внутренние ключи в железке по группам: хомяк/аккаунты/банки, тогда будет три разных пароля. Для получения данных хомяка — надо ввести пароль от зашифрованного раздела. Для авторизации из банков нужно ввести пароль, чтобы подписать ключ токена. Совсем без пароля хранятся только публичные настройки окружения.

Выгоды очевидны. Критикуйте.

★★★★★

Большая часть чудес, перечисленных тобой, уже реализована.

power ()
Ответ на: комментарий от power

Я знаю про то, что почти всё из этого по-отдельности уже есть.

Смысл в объединении, унификации, и повсеместном использовании.

ChALkeR ★★★★★ ()
Ответ на: комментарий от ChALkeR

в объединении, унификации, и повсеместном использовании.

Вот этого вообще любой технологии не хватает, не только токенам, которые лично я считаю бесполезными костылями.

power ()
Ответ на: комментарий от power

Я жирным выделял, что нужно сделать.

Из проблем:

  • USB-токены имеют встроенный диск?
  • С поддержкой PAM не везде всё хорошо.
  • Гуя нет вообще для этого никакого.
  • Браузеры не имеют к этим чудесам доступа. Разве что через яву (которая не скрипт). А сайты это начнут поддерживать только когда появятся готовые библиотеки.
  • DM не умеют добавлять временных пользователей, насколько я знаю.
  • Для скручивания этого всего воедино программно — надо долго танцевать с бубном, а хочется готового, универсального, и работающего решения. Как NetworkManager для сети.
ChALkeR ★★★★★ ()
Ответ на: комментарий от power

Яркий пример того, как надо: NetworkManager. До него был хаос и раздрай с ручной настройкой сетей через конфиги.

ChALkeR ★★★★★ ()

>>Тут мы вспоминаем, что наш брелок — ключ. Встраиваем в браузеры механизм авторизации с использованием ключа и мастер-пароля, которым ключ подписывается. (См. он-лайн системы банков). Эта система должна быть альтернативной к обычному входу (как OpenID), и, если сайт, браузер, и компьютер поддерживают, а брелок вставлен — должна работать вместо обычной авторизации. >>Такая же система с почтовыми, IM-клиентами и всем остальным. Тоже нужна поддержка.

Я это ID-картой делаю.

ViTeX ★★★ ()

>Критикуйте.

Можно создать копию ключа. Делов-то. Потом доказывайте, что это не вы в Найроби взяли кредит на 1G$

AlexCones ★★★ ()
Ответ на: комментарий от ViTeX

Из минусов:

- не везде работает - исправимо - анонимность исчезает - неисправимо

ViTeX ★★★ ()

А ключ на шее носить, даже когда душ принимаешь?

vasilenko ★★ ()

>Приватный ключ храним на usb-брелке с невозможностью доставания

А это вообще возможно?

И что будет если такой ключ украдут? Пароли можно ставить везде разные, а ключ-то один. Да и как-то это всё попахивает зондом, я пока точно не уверен где, но попахивает. Как-то слишком глобально.

Othniel ()
Ответ на: комментарий от AlexCones

Как? Он, во первых, аппаратный, так что компьютер его не стянет. А если его стянут из кармана — он подписывается паролем. Можно разделить внутренние ключи в железке по группам: хомяк/аккаунты/банки, тогда будет три разных пароля.

ChALkeR ★★★★★ ()

Подождите ввода универсальной электронной карты россиянина. Тогда можно пилить системы аутентификации.

ViTeX ★★★ ()
Ответ на: комментарий от Othniel

Усб-брелок — это не обязательно просто флэшка.

ChALkeR ★★★★★ ()
Ответ на: комментарий от ChALkeR

Я просто представить себе не могу, чтобы какие-то данные передавались через порт и их нельзя было бы перехватить. Бред. И да, аппаратными ключами пользовался по работе.

Othniel ()
Ответ на: комментарий от ChALkeR

Яркий пример того, как надо: NetworkManager.

Настройку сети начинаю с удаления этой поделки.

Тебе, похоже пора на винфак — в оффтопике и конфиги в одном реестре, и браузер имеет доступ к чему хочешь, и подписывать там все любят ;)

power ()
Ответ на: комментарий от power

Отсуствие необходимости создавать пароли на сайтах/сервисах, перетаскивание сессий между компьютерами, автологин при вставлении ключа, автоматическое использование своих настроек везде, куда придёшь.

ChALkeR ★★★★★ ()

> Критикуйте

брелок украсть намного проще, чем узнать длинный passphrase.

pekmop1024 ★★★★★ ()

Давно пора! Зареквесть на ubuntu bugtracker.

darkshvein ☆☆ ()
Ответ на: комментарий от Othniel

Он не уходит оттуда, насколько я понимаю. Алгоритм шифрования аппаратный, работает как шифрование с открытым ключом.

Ты же не передаёшь свой закрытый ключ серверу гита? Вот он его и не ловит.

Система просит USB-ключ подтвердить, что это он, и даёт ему блок данных на подпись. USB-ключ сам их подписывает, и передаёт результат системе. Система с помощью открытого ключа проверяет результат и удостоверяется.

Сходи по ссылкам.

ChALkeR ★★★★★ ()
Ответ на: комментарий от pekmop1024

Анальные криптоанализаторы разве уже запрещены ООН и Красным Крестом в рамках конвенции о человечности?

darkshvein ☆☆ ()

Ах, к критике:

Я работаю на оружейном заводе. Наши пердуны-параноики запрещают флешки на территории завода, так что везде с собой носить, в кафешку там...не получится.

darkshvein ☆☆ ()
Ответ на: комментарий от pekmop1024

Для получения данных хомяка — надо ввести пароль от зашифрованного раздела. Для авторизации из банков нужно ввести пароль, чтобы подписать ключ токена. Совсем без пароля хранятся только публичные настройки окружения.

ChALkeR ★★★★★ ()
Ответ на: Ах, к критике: от darkshvein

А зачем оно тебе там? Или флэшек нет, а интернет — есть?

ChALkeR ★★★★★ ()
Ответ на: комментарий от ChALkeR

Ну будет у тебя собственный/корпоративный openid-провайдер.

power ()
Ответ на: комментарий от power

Для этого нужно как минимум собственный аппаратный сервер. И доверие дата-центру.

ChALkeR ★★★★★ ()
Ответ на: комментарий от power

А тут всего-то нужен один ключ за какие-то 2 килорубля.

ChALkeR ★★★★★ ()
Ответ на: комментарий от darkshvein

> Анальные криптоанализаторы разве уже запрещены ООН и Красным Крестом в рамках конвенции о человечности?

Это намного сложнее, чем просто стырить токен.

pekmop1024 ★★★★★ ()
Ответ на: комментарий от ChALkeR

Для этого нужно как минимум собственный аппаратный сервер. И доверие дата-центру.

Можно и без выделенного сервера придумать схему. Какой-нибудь динамический openid, которым можно воспользоваться откуда угодно. Доверие датацентру можно подкрепить сертификатами и шифрованием.

power ()
Ответ на: комментарий от ChALkeR

Да не ключ тут нужен, а целая инфраструктура.

power ()

Бумажник это такое устройство, которое позволяет потерять всё и сразу:) А ваш брелок, я так понимаю, будет довольно мелким и незаменяемым, что будет при его потере, если вы предлагаете завязать на нём так много функций? Вшить под кожу? Так про это и в кено давно показывают и на практике уже используется.

Alve ★★★★★ ()
Ответ на: комментарий от darkshvein

Я не понимаю, про что ты говоришь. Объясни.

ChALkeR ★★★★★ ()

Угу. Давай лучше так:
1. Создаем на компьютерах учетку «kioskuser»
2. Без логина по сети
3. У которой в профайле монтирование флэшки и вызов EncFS (это FUSE такой)
4. И симлинки того что надо хранить «якобы» синкнутым в .Protected
Всё, задача решена.

no-dashi ★★★★★ ()
Ответ на: комментарий от Alve

Создание приватных ключей на компьютере и запись их в брелок.

Приватные ключи где-нибудь сныкать, но чтобы по ним можно было потом брелок пересоздать. Проблем не вижу.

ChALkeR ★★★★★ ()
Ответ на: комментарий от no-dashi

Хм. Хорошее решение части проблемы, но не совсем то. Оно не позволяет сохранить пользователя после вынимания брелка. И нужна не постоянная запись на флэшку (флэшка ой-ой), а синхронизация при выходе.

ChALkeR ★★★★★ ()
Ответ на: комментарий от darkshvein

> Ой да ну. Давай на тебе проверим

Ну попробуй. Только я тогда за твое здоровье и здоровье твоих родственников не ручаюсь. :)

pekmop1024 ★★★★★ ()

Не взлетит.

1. слишком сложно, требует стандартизации на всех платформах. Даже если это возможно, то займет слишком много времени
2. если брелок потерян, то что делать?

provaton ★★★★★ ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.