{"id":10395,"date":"2023-10-20T23:13:59","date_gmt":"2023-10-20T21:13:59","guid":{"rendered":"https:\/\/linux-bibel.at\/?p=10395"},"modified":"2023-11-28T20:38:17","modified_gmt":"2023-11-28T19:38:17","slug":"touch-in-passwortlose-anmeldung-am-linux-desktop-mit-fido2-key","status":"publish","type":"post","link":"https:\/\/linux-bibel.at\/index.php\/2023\/10\/20\/touch-in-passwortlose-anmeldung-am-linux-desktop-mit-fido2-key\/","title":{"rendered":"Touch-In – Passwortlose Anmeldung am Linux-Desktop mit FIDO2-Key"},"content":{"rendered":"\n

Mo 1. Mai 2023, 22:58<\/p>\n\n\n\n

Keine Panik!<\/strong>
Der erste Eindruck vom Umfang dieses Wiki<\/a>s täuscht. Im Allgemeinen sind nur drei einfache Arbeitsschritte nötig, um eine passwortlose Anmeldung am Linux<\/a> zu realisieren.<\/p>\n\n\n\n

Da es aber gerade beim Thema Sicherheit von Vorteil ist, zu wissen, was man tut, und ich noch einige Sonderfälle beim Umgang mit einem FIDO2-Key vorstellen wollte, ist das Wiki<\/a> deutlich umfangreicher ausgefallen, als ursprünglich geplan<\/a>t …<\/p>\n\n\n\n

FIDO2<\/strong><\/h2>\n\n\n\n

FIDO (Fast IDentity Online) ist ein offener und lizenzfreier Standard mit dem Ziel, Passwörter für die Authentifizierung zu ersetzen.
Die Authentifizierung mit FIDO basiert auf kryptographischen Schlüsseln und ist dabei sicherer und einfacher in der Anwendung als Passwörter.
FIDO2 ist eine Weiterentwicklung von FIDO, die neben der klassischen Zwei-Faktor<\/a>-Authentifizierung (2FA) auch passwortlose Anmeldung ermöglicht.
Grundlage einer FIDO2-Authentifizierung ist ein sogenannter Authentikator<\/a>, ein USB<\/a>-Stick mit Sicherheits-Chip, in diesem Wiki<\/a> kurz „FIDO2-Key“ genannt.

Passende FIDO2-Keys gibt es z.B. bei Yubico, Nitrokey und SoloKey.
Nitrokey<\/a>
Yubico<\/a>
SoloKeys<\/a><\/p>\n\n\n\n

\"\"
Von link nach rechts: Nitrokey 3A NFC, Nitrokey FIDO2, YubiKey 5 NFC, Solo 1 Tap USB<\/a>-A<\/figcaption><\/figure>\n\n\n\n

Wer sich intensiver mit FIDO befassen möchte, findet im Internet zahlreiche Artikel zum Thema, wie z.B.:
fidoalliance.org<\/a>
computerwoche.de<\/a>
heise.de<\/a>

Entwickelt wurde FIDO2 zur Anmeldung bei Online-Diensten, doch auch die Anmeldung am lokalen Desktop<\/a> ist damit möglich. Hierbei kommt, statt der für Online-Authentifizierungen notwendigen WebAuthn-Spezifikation, das PAM<\/a> (Pluggable Authentication Modules) zum Einsatz.<\/p>\n\n\n\n

PAM<\/strong><\/h2>\n\n\n\n

PAM<\/a> ist bei unix<\/a>oiden Betriebssystem<\/a>en (wie Linux<\/a>) eine zentrale Schnittstelle für Authentifizierungs-Anforderungen. Somit müssen Softwareentwickler nicht für jede Anwendung den Code für die Benutzeranmeldung neu schreiben, sondern können diese Aufgabe an PAM<\/a> delegieren.
Das Zusammenspiel von FIDO2 und PAM<\/a> macht die passwortlose Anmeldung an Linux<\/a> besonders einfach.

Notwendige Arbeitsschritte zur Einrichtung<\/strong>
Die Einrichtung einer Anmeldung mithilfe eines FIDO2-Keys teilt sich in drei Schritte auf:<\/p>\n\n\n\n

    \n
  1. Installation der notwendigen Program<\/a>mpaket<\/a>e<\/li>\n\n\n\n
  2. Registrieren des FIDO2-Keys für den Benutzer am PC<\/li>\n\n\n\n
  3. PAM<\/a>-Konfiguration<\/a> anpassen<\/li>\n<\/ol>\n\n\n\n

    Obwohl die Einrichtung erfreulich einfach ist, gibt es – vor allem beim Bearbeiten der Konfiguration<\/a>sdatei<\/a>en – einige Stolperfallen zu beachten. Andernfalls könnte man sich im schlimmsten Fall aus seinem eigenen PC aussperren. Daher ist es empfehlenswert, die ersten Gehversuche mit FIDO an einem Test-PC oder in einer virtuellen Maschine zu üben. (Siehe auch Abschnitt „Hife, ich habe mich ausgesperrt!”.)<\/p>\n\n\n\n

    1. Installation der notwendigen Programmpakete<\/strong><\/h2>\n\n\n\n

    Zunächst muss das PAM<\/a>-Modul für FIDO installiert werden. Dieses ist bei den gängigen Distribution<\/a>en in den Repository<\/a>s enthalten.

    Debian<\/a>, Ubuntu und Co.<\/strong>
    Bei     Debian<\/a> und den darauf basierenden Distribution<\/a>en sind folgende Program<\/a>mpaket<\/a>e über die Repositor<\/a>ies zu installieren.<\/p>\n\n\n\n

    sudo apt install libpam-u2f pamu2fcfg fido2-tools -y<\/code><\/pre>\n\n\n\n
    Das Paket<\/a> `libpam<\/a>-u2f` enthält das PAM<\/a>-Modul `pam<\/a>_u2f.so` für die Authentifizierung per FIDO2. Das PAM<\/a>-Modul findet sich im Verzeichnis<\/a> `\/usr\/lib\/x86_64-linux<\/a>-gnu<\/a>\/security`. Das Helper-Tool `pam<\/a>u2fcfg` hilft bei der Registrierung des FIDO2-Sticks am System. Das Program<\/a>mpaket<\/a>`fido2-tools` enthält Program<\/a>me zum Verwalten des FIDO2-Keys (Siehe Abschnitt „FIDO2-Key mit PIN schützen”). Mit dem Param<\/a>eter `-y` werden die Paket<\/a>e ohne weitere Rückfragen installiert.

    Manjaro<\/strong>
    Bei Manjaro werden die notwendigen     Paket<\/a>e über folgenden Befehl<\/a> installiert.<\/p>\n\n\n\n
    sudo pacman -Syu pam-u2f --noconfirm<\/code><\/pre>\n\n\n\n
    Bei Rolling-Release<\/a>s (wie z.B. Manjaro) sollten neue Program<\/a>me nur installiert werden, wenn das Betriebssystem<\/a> zuvor auf den neuesten Stand gebracht wurde. Der Param<\/a>eter `-Syu` stellt dies sicher. Der Param<\/a>eter `–noconfirm` bewirkt eine Installation aller Paket<\/a>e ohne weitere Rückfragen. Wer das nicht will, lässt diesen Param<\/a>eter einfach weg.

    Das     Paket<\/a> `pam<\/a>-u2f` enthält neben dem PAM<\/a>-Modul auch das Helper-Tool. Über die Paket<\/a>abhängigkeiten wird zusätzlich `libfido2` installiert. Es ist verantwortlich für die Kommunikation mit dem FIDO2 Gerät über das CTAP-Protokoll und enthält u.a. `fido2-token`.

    OpenSuse<\/strong><\/p>\n\n\n\n
    sudo zypper --non-interactive install pam_u2f libfido2-utils<\/code><\/pre>\n\n\n\n
    Das Paket<\/a> `pam<\/a>-u2f` enthält neben dem PAM<\/a>-Modul auch das Helper-Tool `pam<\/a>u2fcfg`. Das Paket<\/a> `libfido2-utils` enthält u.a. das Verwaltungstool `fido2-token`.
    Der Pa    ram<\/a>eter `–non-interactive` startet die Installation ohne weitere Nachfragen.

    Fedora<\/strong><\/p>\n\n\n\n
    sudo dnf install pam-u2f pamu2fcfg fido2-tools -y<\/code><\/pre>\n\n\n\n
    Das Paket<\/a> `pam<\/a>-u2f` enthält das PAM<\/a>-Modul `pam<\/a>_u2f.so`. Das Helper-Tool `pam<\/a>u2fcfg` hilft bei der Registrierung des FIDO2-Sticks am System. Das Program<\/a>mpaket<\/a>`fido2-tools` enthält Program<\/a>me zum Verwalten des FIDO2-Keys (Siehe Abschnitt „FIDO2-Key mit PIN schützen”). Mit dem Param<\/a>eter `-y` werden die Paket<\/a>e ohne weitere Rückfragen installiert.<\/p>\n\n\n\n
    2. Registrieren des FIDO2-Keys<\/strong><\/h2>\n\n\n\n
    Ein FIDO2-Key ist nach dem Neukauf sofort einsatzbereit. Es ist nicht notwendig, vor der Nutzung manuell ein Schlüsselpaar zu generieren, wie es z.B bei klassischen SmardCards notwendig ist.
    Er muss lediglich am Zielsystem (in unserem Fall der lokale PC) für die Authentifizierung registriert werden.
    Dazu wird mit dem installierten Helper-Tool `    pam<\/a>u2fcfg` ein Benutzerkonto mit den Schlüsseldaten<\/a> des FIDO2-Keys verknüpft.

    Zuvor wird mit folgendem Kommando ein     Verzeichnis<\/a> für die Schlüsseldaten<\/a> erstellt.<\/p>\n\n\n\n
    sudo mkdir \/etc\/fido2<\/code><\/pre>\n\n\n\n
    Danach erfolgt die eigentliche Registrierung – die Verknüpfung von Benutzerkonto und FIDO2-Key. Nach dem Anstecken des FIDO2-Keys an einem USB<\/a>-Port muss folgender Befehl<\/a> mit dem gewünschten Benutzerkonto (also nicht root<\/a>) ausgeführt werden. Zur Bestätigung der Registrierung muss dabei der FIDO2-Key kurz berührt werden. (Ist der FIDO2-Key mit einer PIN geschützt, muss diese zusätzlich eingegeben werden. Siehe auch Abschnitt „FIDO2-Key mit PIN schützen“.)<\/p>\n\n\n\n
    pamu2fcfg | sudo tee -a \/etc\/fido2\/u2f_keys<\/code><\/pre>\n\n\n\n
    `pam<\/a>u2fcfg` gibt die Schlüsseldaten<\/a> lediglich auf dem Bildschirm aus. Diese werden daher mit dem Pipe-Kommando (`|`) an `tee` übergeben, welches die Schlüsseldaten<\/a> zusätzlich an die Registrierungsdatei<\/a> `\/etc\/fido2\/u2f_keys` anfügt (`-a`).<\/p>\n\n\n\n
    \"\"<\/a>
    Registrieren des FIDO2-Keys für Nutzerkonto „alice“<\/figcaption><\/figure>\n\n\n\n
    Weitere Infos unter:
    pamu2fcfg manpage<\/a><\/p>\n\n\n\n
    3. PAM-Konfiguration anpassen<\/strong><\/h2>\n\n\n\n
    Nach der Registrierung des FIDO2-Keys am PC, muss dem Linux<\/a> über die PAM<\/a>- Konfiguration<\/a>sdatei<\/a> noch mitgeteilt werden, für welchen Anmeldeprozess (Anmeldung am Desktop<\/a>, sudo<\/a>, usw.) künftig der FIDO2-Key genutzt werden soll.

    Die     PAM<\/a>-Konfiguration<\/a>sdatei<\/a>en befinden sich bei allen Distribution<\/a>en im Verzeichnis<\/a><\/p>\n\n\n\n
    \/etc\/pam.d\/<\/code><\/pre>\n\n\n\n
    Jeder Anmelde-Dienst, welcher über PAM<\/a> gesteuert wird, ist in diesem Verzeichnis<\/a> mit einer Konfiguration<\/a>sdatei<\/a> vertreten.

    Bei einigen     Datei<\/a>en ist die Zugehörigkeit offensichtlich, wie z.B. „sudo<\/a>“. Die Identifikation der Konfiguration<\/a>sdatei<\/a>en zur Anmeldung am Linux<\/a>-Desktop<\/a> erfordern hingegen etwas Hintergrundwissen – mehr dazu im Abschnitt „PAM<\/a> für Anmeldung am Desktop<\/a> konfigurieren“.

    Der Verweis auf das     PAM<\/a>-Modul muss in der gewünschten PAM<\/a>-Datei<\/a> an der richtigen Stelle eingefügt werden:<\/p>\n\n\n\n
    auth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]<\/code><\/pre>\n\n\n\n
    Der Service-Typ „auth“ weist PAM<\/a> an, dass eine Benutzer-Authentifizierung durchgeführt werden soll. Das Control-Flag „sufficient“ beendet PAM<\/a> bei einer erfolgreichen Authentifizierung, alle nachfolgenden Konfiguration<\/a>szeilen werden ignoriert. „pam<\/a>_u2f.so“ ist das PAM<\/a>-Modul, welches mit dem FIDO2-Key kommuniziert und „authfile“ benennt die Datei<\/a> mit den FIDO2-Schlüsseldaten<\/a>. Der Schalter „cue“ erzeugt während einer Anmeldung einen Hinweis, der zum Berühren des FIDO2-Keys auffordert. Über den Param<\/a>eter „cue_prompt<\/a>“ kann ein individueller Hinweistext hinterlegt werden. Die ecki<\/a>gen Klammen um cue_prompt<\/a> sind notwendig, wenn der Hinweistext Leerzeichen enthält.

    Wichtig zu wissen ist, dass Änderungen an den     PAM<\/a>-Konfiguration<\/a>sdatei<\/a>en sofort nach dem Speichern<\/a> aktiv werden. Unterlaufen bei der PAM<\/a>-Konfiguration<\/a> Fehler, kann man sich unter Umständen aus dem eigenen System aussperren. Es ist daher empfehlenswert, die PAM<\/a>-Datei<\/a> zu speichern<\/a>, ohne den Texteditor<\/a> zu schließen. Sollte die Anmeldung beim Test nicht wie erwartet funktionieren, kann mit dem noch geöffneten Texteditor<\/a> die PAM<\/a>-Datei<\/a> korrigiert werden. Weitere Tipps finden Sie im Abschnitt „Hife, ich habe mich ausgesperrt!“<\/strong>

    Die hier vorgestellten Anpassungen der     PAM<\/a>-Datei<\/a> sind jedoch unkritisch. Scheitert die Anmeldung per FIDO2-Key, erscheint die übliche Abfrage des Benutzer-Passworts.

    PAM<\/a> für Anmeldung am Desktop<\/a> konfigurieren<\/strong>

    Der     Displaymanager<\/a>, auch Login<\/a>manager genannt, stellt eine graphische Umgebung für die Benutzeranmeldung zur Verfügung. (Nicht zu verwechseln mit der Desktop<\/a>umgebung, wie z.B. KDE, Gnome<\/a>, XFCE<\/a>, usw.)

    Die bekanntesten     Displaymanager<\/a>:

    LightDM<\/a> Light Display Manager (XFCE<\/a>)
    GDM<\/a> Gnome<\/a> Display Manager (Gnome<\/a>)
    SDDM<\/a> Simple Desktop<\/a> Display Manager (KDE)

    Für jede     Desktop<\/a>umgebung ist ein bestimmter Displaymanager<\/a> üblich. Diese Beziehung ist jedoch nicht fest, sondern kann individuell geändert werden. Welcher Displaymanager<\/a> verwendet wird, kann mit folgendem Kommando ausgelesen werden:<\/p>\n\n\n\n
    systemctl status display-manager<\/code><\/pre>\n\n\n\n
    Das Ergebnis steht in der ersten Ausgabezeile, z.B.:<\/p>\n\n\n\n
    \u25cf lightdm.service - Light Display Manager<\/code><\/pre>\n\n\n\n
    In diesem Fall wird also der Displaymanager<\/a> LightDM<\/a> für die graphische Anmeldung am Linux<\/a> verwendet, wie es z.B. bei Xubuntu der Fall ist.<\/p>\n\n\n\n
    \"\"
    Ermitteln des verwendeten Displaymanager<\/a>s<\/figcaption><\/figure>\n\n\n\n
    Die PAM<\/a>-Datei<\/a>en für die verschiedenen Displaymanager<\/a> lauten:

    #     LightDM<\/a>
    \/etc\/    pam<\/a>.d\/lightdm<\/a>

    #     GDM<\/a>
    \/etc\/    pam<\/a>.d\/gdm<\/a>-password

    #     GDM<\/a> bei OpenSuse
    \/etc\/    pam<\/a>.d\/gdm<\/a>

    #     SDDM<\/a>
    \/etc\/    pam<\/a>.d\/sddm<\/a><\/p>\n\n\n\n
    3.1 PAM unter Debian, Ubuntu und Co konfigurieren<\/strong><\/h2>\n\n\n\n
    PAM<\/a>-Datei<\/a> für sudo<\/a> (\/etc\/pam<\/a>.d\/sudo<\/a>)<\/strong>

    Die     PAM<\/a>-Konfiguration<\/a>sdatei<\/a> für sudo<\/a> ist unschwer am Datei<\/a>namen `\/etc\/pam<\/a>.d\/sudo<\/a>` zu erkennen. Öffnen Sie die Datei<\/a> (als root<\/a>) mit einem Texteditor<\/a>:<\/p>\n\n\n\n
    sudo nano \/etc\/pam.d\/sudo<\/code><\/pre>\n\n\n\n
    Direkt oberhalb der Zeile `„@include common-auth“` wird die Konfiguration<\/a>szeile für FIDO2 eingefügt.<\/p>\n\n\n\n
    auth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]\n@include common-auth<\/code><\/pre>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/sudo<\/a> – Debian<\/a>”<\/figcaption><\/figure>\n\n\n\n
    Nach dem Speichern<\/a> der Datei<\/a> \/etc\/pam<\/a>.d\/sudo<\/a> öffnen Sie zum Test ein neues Terminal<\/a> und geben zum Test folgendes Kommando ein:<\/p>\n\n\n\n
    sudo bash<\/code><\/pre>\n\n\n\n
    Der FIDO2-Key beginnt zu blinken, um Sie zur Berührung aufzufordern. Zusätzlich erscheint im Terminal<\/a> die Aufforderung: „Bitte den FIDO-Key berühren …“.
    Sobald die den FIDO2-Key berühren, öffnet sich die     root<\/a>-Shell<\/a>.<\/p>\n\n\n\n
    \"\"
    „sudo<\/a> mit FIDO2-Key – Debian<\/a>”<\/figcaption><\/figure>\n\n\n\n
    Wird der FIDO2-Key nicht innerhalb von 30 Sekunden berührt, interpretiert PAM<\/a> den FIDO2-Key als nicht vorhanden und fordert daraufhin ganz klassisch zur Eingabe des Benutzerpassworts auf.

    PAM<\/a>-Datei<\/a> für TTY-Terminal<\/a> (\/etc\/pam<\/a>.d\/login<\/a>)<\/strong>

    Zur Steuerung der Anmeldung an einem TTY-    Terminal<\/a> dient die PAM<\/a>-Datei<\/a> \/etc\/pam<\/a>.d\/login<\/a>. Hier muss – ebenso wie in \/etc\/pam<\/a>.d\/sudo<\/a> – die Zeile für die FIDO2-Key direkt oberhalb von „@include common-auth“ eingefügt werden.<\/p>\n\n\n\n
    auth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]\n@include common-auth<\/code><\/pre>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/login<\/a> – Debian<\/a>”<\/figcaption><\/figure>\n\n\n\n
    Nach dem Speichern<\/a> von \/etc\/pam<\/a>.d\/login<\/a> öffnen Sie zum Test ein TTY-Terminal<\/a> mit der Tastenkombination STRG + ALT + F3. Mit STRG + ALT + F7 kommen Sie zurück zur graphischen Desktop<\/a>.<\/p>\n\n\n\n
    \"\"
    „Anmeldung am TTY-Terminal<\/a> – Debian<\/a>“<\/figcaption><\/figure>\n\n\n\n
    PAM<\/a>-Datei<\/a> für Anmeldung am graphischen Desktop<\/a><\/strong>

    Auch bei den verschiedenen     PAM<\/a>-Datei<\/a>en für die Displaymanager<\/a> muss die Konfiguration<\/a>szeile für FIDO2 direkt oberhalb der Zeile „@include common-auth” eingefügt wenden.<\/p>\n\n\n\n
    auth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]\n@include common-auth<\/code><\/pre>\n\n\n\n
    Welche PAM<\/a>-Datei<\/a> Sie anpassen müssen, ist im Abschnitt „PAM<\/a> für Anmeldung am Desktop<\/a> konfigurieren“ weiter oben beschrieben.

    Im folgenden Bild, beispielhaft für \/etc\/    pam<\/a>.d\/lightdm<\/a><\/p>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/lightdm<\/a> – Debian<\/a>”<\/figcaption><\/figure>\n\n\n\n
    Zum Test genügt das Abmelden vom graphischen Desktop<\/a>. Der Anmelde-Dialog des Displaymanager<\/a>s fordert nun zum Berühren des FIDO2-Keys auf.<\/p>\n\n\n\n
    \"\"
    „Anmelden an LightDM<\/a> – Debian<\/a>”<\/figcaption><\/figure>\n\n\n\n
    Der Hinweis des des Displaymanager<\/a>s LightDM<\/a> „Bitte ihr Passwort eingeben…“ ist irreführend und muss ignoriert werden, da er nicht zum Erfolg führt.
    Einfach den FIDO2-Key der     Debian<\/a>-Konfiguration<\/a>. berühren und auf die Schaltfläche „Anmelden“ klicken.

    Es empfiehlt sich, zum     Displaymanager<\/a> LightDM<\/a> zusätzlich das Program<\/a>mpaket<\/a> „slick-greeter” zu installieren und Debian<\/a> neu zu starten. Danach ist der Umgang mit dem FIDO2-Key unter LightDM<\/a> komfortabler und der Anmeldedialog sieht moderner aus.<\/p>\n\n\n\n
    sudo apt-get install slick-greeter<\/code><\/pre>\n\n\n\n
    \"\"
    „Anmelden an LightDM<\/a>+slick-greeter – Debian<\/a>”<\/figcaption><\/figure>\n\n\n\n
    PAM<\/a>-Datei<\/a> common-auth<\/strong><\/p>\n\n\n\n
    Die Datei<\/a> \/etc\/pam<\/a>.d\/common-auth definiert grundlegende gemeinsame Authentifizierungsmethoden für das gesamte System. Die meisten Konfiguration<\/a>sdatei<\/a>en für die einzelnen Dienste inkludieren über das Kommando „@include common-auth“ diese Grundeinstellungen. Fügt man die Konfiguration<\/a>szeile für den FIDO2-Key in \/etc\/pam<\/a>.d\/common-auth ein, ist eine Anpassung der individuellen PAM<\/a>-Datei<\/a>en (sudo<\/a>, login<\/a>, lightdm<\/a>, etc.) nicht mehr notwendig.
    Dabei sollte jedoch beachtet werden, dass alle \/etc\/    pam<\/a>.d\/common-* Datei<\/a>en auch über das Program<\/a>m pam<\/a>-auth-update<\/a> verwaltet werden können.

    In `\/etc\/    pam<\/a>.d\/common-auth` als erste Zeile Einfügen:<\/p>\n\n\n\n
    auth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]<\/code><\/pre>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/common-auth – Debian<\/a>”<\/figcaption><\/figure>\n\n\n\n
    3.2 PAM unter Manjaro konfigurieren<\/strong><\/h2>\n\n\n\n
    Bei Manjaro<\/strong> wird die Zeile für den FIDO2-Key in den PAM<\/a>-Datei<\/a>en \/etc\/pam<\/a>.d\/sudo<\/a> und \/etc\/pam<\/a>.d\/login<\/a> und der Datei<\/a> für den Displaymanager<\/a> (siehe Abschnitt „PAM<\/a> für Anmeldung am Desktop<\/a> konfigurieren“ weiter oben) als zweite Zeile nach „#%PAM<\/a>-1.0“ eingefügt.<\/p>\n\n\n\n
    #%PAM-1.0\nauth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]<\/code><\/pre>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/sudo<\/a> – Manjaro“<\/figcaption><\/figure>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/login<\/a> – Manjaro“<\/figcaption><\/figure>\n\n\n\n
    Wie bei Debian<\/a> kann auch bei Manjaro zum Test ein TTY-Terminal<\/a> mit der Tastenkombination STRG + ALT + F3 geöffnet und mit STRG + ALT + F7 zum graphischen Desktop<\/a> zurückgekehrt werden.<\/p>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/lightdm<\/a> – Manjaro“<\/figcaption><\/figure>\n\n\n\n
    Nutzen Sie bei Manjaro den Displaymanager<\/a> „LightDM<\/a>”, empfiehlt sich zusätzlich das Program<\/a>mpaket<\/a> „lightdm<\/a>-slick-greeter“ zu installieren. Siehe dazu auch den Abschnitt „PAM<\/a>-Datei<\/a> für Anmeldung am graphischen Desktop<\/a>” unterhalb des Abschnitts „3.1 PAM<\/a> unter Debian<\/a>, Ubuntu und Co konfigurieren”.<\/p>\n\n\n\n
    sudo pacman -Syu lightdm-slick-greeter<\/code><\/pre>\n\n\n\n
    PAM<\/a>-Datei<\/a> system-auth<\/strong>

    Wie bei     Debian<\/a> mit „common-auth” kann auch bei Manjaro alternativ zu den einzelnen PAM<\/a>-Datei<\/a>en eine zentrale Konfiguration<\/a>sdatei<\/a> angepasst werden. Bei Manjaro lautet diese Datei<\/a>:<\/p>\n\n\n\n
    \/etc\/pam.d\/system-auth<\/code><\/pre>\n\n\n\n
    Auch hier wird die Zeile für den FIDO2-Key als zweite Zeile nach „#%PAM<\/a>-1.0“ eingefügt.<\/p>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/system-auth – Manjaro“<\/figcaption><\/figure>\n\n\n\n
    3.3 PAM unter OpenSuse konfigurieren<\/strong><\/h2>\n\n\n\n
    Bei OpenSuse<\/strong> wird die Zeile für den FIDO2-Key in den PAM<\/a>-Datei<\/a>en \/etc\/pam<\/a>.d\/sudo<\/a> und \/etc\/pam<\/a>.d\/login<\/a> und der Datei<\/a> für den Displaymanager<\/a> \/etc\/pam<\/a>.d\/gdm<\/a> als zweite Zeile nach „#%PAM<\/a>-1.0“ eingefügt. (Siehe auch Abschnitt „PAM<\/a> für Anmeldung am Desktop<\/a> konfigurieren“ weiter oben.)<\/p>\n\n\n\n
    #%PAM-1.0\nauth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]<\/code><\/pre>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/sudo<\/a> – Suse“<\/figcaption><\/figure>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/login<\/a> – Suse“<\/figcaption><\/figure>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/gdm<\/a> – Suse“<\/figcaption><\/figure>\n\n\n\n
    Damit der FIDO2-Key für sudo<\/a> genutzt werden kann, muss er zusätzlich für das Konto „root<\/a>“ registriert werden. Für Details siehe auch Abschnitt „Weitere Benutzerkonten registrieren“.<\/p>\n\n\n\n
    echo -e '\\r' | sudo tee -a \/etc\/fido2\/u2f_keys && pamu2fcfg -u root | sudo tee -a \/etc\/fido2\/u2f_keys<\/code><\/pre>\n\n\n\n
    Da in der Registrierungsdatei<\/a> `\/etc\/fido2\/u2f_keys` die Registrierung für jedes Nutzerkonto in einer eigenen Zeile stehen muss, fügt das Kommando `echo -e ‚\\r‘ | sudo<\/a> tee -a \/etc\/fido2\/u2f_keys` zunächst einen Zeilenvorschub „CR” (Carriage Return) an, bevor mit `pam<\/a>u2fcfg -u root<\/a> | sudo<\/a> tee -a \/etc\/fido2\/u2f_keys` der FIDO2-Key für das Konto „root<\/a>“ registriert wird. (Der Operator<\/a> `&&` ist nötig, um die beiden Befehl<\/a>e zu einer Kommandozeile zu verbinden).

    In der Registrierungs    datei<\/a> `\/etc\/fido2\/u2f_keys` ist danach der FIDO2-Key nicht nur für das normale Nutzerkonto (im folgenden Bildschirmfoto „adam”), sondern auch für das Konto „root<\/a>” registriert.<\/p>\n\n\n\n
    \"\"
    „\/etc\/fido2\/u2f_keys – adam+root<\/a>“<\/figcaption><\/figure>\n\n\n\n
    Zum Test der Konfiguration<\/a> in \/etc\/pam<\/a>.d\/login<\/a> kann bei OpenSuse ein TTY-Terminal<\/a> mit der Tastenkombination STRG + ALT + F3 geöffnet werden. Mit STRG + ALT + F2 wird zum graphischen Desktop<\/a> zurückgekehrt.

    PAM<\/a>-Datei<\/a> common-auth<\/strong>

    Die     PAM<\/a>-Datei<\/a> für die systemweite Authentifizierung lautet bei OpenSuse \/etc\/pam<\/a>.d\/common-auth.

    Im Originalzustand von OpenSuse ist common-auth jedoch keine     Datei<\/a>, sondern ein Link auf \/etc\/pam<\/a>.d\/common-auth-pc. Eigene Änderungen an \/etc\/pam<\/a>.d\/common-auth lan<\/a>den wegen der Verlinkung in der Datei<\/a> \/etc\/pam<\/a>.d\/common-auth-pc. Bei einem Update<\/a> wird die Datei<\/a> \/etc\/pam<\/a>.d\/common-auth-pc überschrieben, alle persönlichen Einstellungen gehen dabei verloren. Darum muss vor eigenen Anpassungen der Link gelöscht und eine eigenständige Datei<\/a> aus common-auth-pc erstellt werden.<\/p>\n\n\n\n
    sudo rm common-auth<\/code><\/pre>\n\n\n\n
    sudo cp common-auth-pc common-auth<\/code><\/pre>\n\n\n\n
    Die eigenständige Datei<\/a> common-auth wird bei einem Update<\/a> nicht angetastet, die persönlichen Anpassungen bleiben somit erhalten.
    Siehe auch:     Configuring PAM common files manually<\/a><\/p>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/common-auth – Suse“<\/figcaption><\/figure>\n\n\n\n
    3.4 PAM unter Fedora konfigurieren<\/strong><\/h2>\n\n\n\n
    Bei Fedora<\/strong> wird die Zeile für den FIDO2-Key in den PAM<\/a>-Datei<\/a>en \/etc\/pam<\/a>.d\/sudo<\/a> und \/etc\/pam<\/a>.d\/login<\/a> als zweite Zeile nach „#%PAM<\/a>-1.0“ eingefügt.<\/p>\n\n\n\n
    #%PAM-1.0\nauth sufficient pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]<\/code><\/pre>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/sudo<\/a> – Fedora“<\/figcaption><\/figure>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/login<\/a> – Fedora“<\/figcaption><\/figure>\n\n\n\n
    Zum Test der Konfiguration<\/a> in \/etc\/pam<\/a>.d\/login<\/a> kann bei Fedora ein TTY-Terminal<\/a> mit der Tastenkombination STRG + ALT + F3 geöffnet werden. Mit STRG + ALT + F2 wird zum graphischen Desktop<\/a> zurückgekehrt.<\/p>\n\n\n\n
    \"\"
    „Anmeldung am TTY-Terminal<\/a> – Fedora“<\/figcaption><\/figure>\n\n\n\n
    <\/p>\n\n\n\n
    Die PAM<\/a>-Datei<\/a> für den GDM<\/a> Displaymanager<\/a> des Gnome<\/a> Desktop<\/a>s lautet<\/p>\n\n\n\n
    \/etc\/pam.d\/gdm-password<\/code><\/pre>\n\n\n\n
    Die Konfiguration<\/a>szeile für den FIDO2-Key wird hier als zweite Zeile eingefügt.<\/p>\n\n\n\n
    \"\"
    „\/etc\/pam<\/a>.d\/gdm<\/a>-password – Fedora“<\/figcaption><\/figure>\n\n\n\n
    Der Anmelde-Dialog des Displaymanager<\/a>s fordert nun zum Berühren des FIDO2-Keys auf.<\/p>\n\n\n\n
    \"\"
    „Anmelden an gdm<\/a>-password – Fedora”<\/figcaption><\/figure>\n\n\n\n
    PAM<\/a>-Datei<\/a> system-auth<\/strong>

    Auch bei Fedora gibt es mit „\/etc\/    pam<\/a>.d\/system-auth” eine zentrale PAM<\/a>-Datei<\/a> für die systemweite Authentifizierung. Diese wird jedoch mit dem Tool „authselect” verwaltet und sollte nicht manuell bearbeitet werden, da manuelle Anpassungen bei Update<\/a>s überschrieben werden.
    Siehe auch     Configuring user authentication using authselect<\/a><\/p>\n\n\n\n
    Tipps und Tricks im Umgang mit FIDO2-Keys<\/strong><\/h2>\n\n\n\n
    FIDO2-Key mit PIN schützen<\/strong>

    mit     CLI<\/a>-Tool<\/strong>
    Um im Falle eines Verlusts des FIDO2-Keys Missbrauch zu verhindern, sollte der Zugriff zu den gespeicherten Schlüsseln mit einer PIN geschützt werden.

    Zum Verwalten des FIDO2-Keys steht das Prog    ram<\/a>m fido2-tools zur Verfügung. Falls noch nicht geschehen, kann es unter Debian<\/a> aus den Repositor<\/a>ies installiert werden<\/p>\n\n\n\n
    sudo apt install fido2-tools -y<\/code><\/pre>\n\n\n\n
    Mit dem Param<\/a>eter -L wird der angeschlossene FIDO2-Key angezeigt.<\/p>\n\n\n\n
    fido2-token -L<\/code><\/pre>\n\n\n\n
    \"\"
    „FIDO2-Key anzeigen”<\/figcaption><\/figure>\n\n\n\n
    In diesem Beispiel ist ein „Nitrokey 3” über die Gerätedatei<\/a> \/dev\/hidraw1 ansprechbar.

    Eine PIN wird mit der Option -S gesetzt. Angesprochen wird der FIDO2-Key über die Geräte    datei<\/a>, welche zuvor mit dem Param<\/a>eter -L ermittelt wurde.<\/p>\n\n\n\n
    fido2-token -S \/dev\/hidraw1<\/code><\/pre>\n\n\n\n
    \"\"
    „FIDO2-Key, neue PIN vergeben“<\/figcaption><\/figure>\n\n\n\n
    Nach der Vergabe einer PIN muss jeder Zugriff auf die geheimen Schlüssel des FIDO2-Keys (z.B. bei der Registrierung des FIDO2-Keys für einen Nutzer) mit der PIN bestätigt werden.

    Die Option -C ermöglicht das Ändern einer PIN.<\/p>\n\n\n\n
    fido2-token -C \/dev\/hidraw1<\/code><\/pre>\n\n\n\n
    Zunächst muss mit der alten PIN der Zugriff freigeschaltet werden, danach ist die neue PIN einzugeben.<\/p>\n\n\n\n
    \"\"
    „FIDO2-Key, neue PIN ändern<\/figcaption><\/figure>\n\n\n\n
    fido2-token ermöglicht mit der Option -R das Zurücksetzen des FIDO2-Keys auf Werkseinstellungen.

    Beim Zurücksetzen werden alle Schlüssel    daten<\/a> und die PIN gelöscht! Zuvor müssen unbedingt alle Konten, für deren Anmeldung der FIDO2-Key bisher verwendet wurde, auf alternative Authentifizierungen umgestellt werden.<\/strong><\/p>\n\n\n\n
    fido2-token -R \/dev\/hidraw1<\/code><\/pre>\n\n\n\n
    Das Zurücksetzen ist nur innerhalb der ersten fünf Sekunden nach dem Einstecken möglich und wird ohne weitere Rückmeldung durchgeführt. Ruft man das Kommando zu spät auf, erhält man statt dessen eine Fehlermeldung.<\/p>\n\n\n\n
    fido2-token: fido_dev_reset: FIDO_ERR_NOT_ALLOWED<\/code><\/pre>\n\n\n\n
    mit GUI<\/a><\/strong>

    Wer zum Verwalten der PIN ein graphisches Prog    ram<\/a>m bevorzugt, kann dazu die Browser Chrome\/Chromium zu verwenden.

    Gestartet wird die Verwaltung der Sicherheitsschlüssel in der Adresszeile mit dem Kommando.<\/p>\n\n\n\n
    chrome:\/\/settings\/securityKeys<\/code><\/pre>\n\n\n\n
    \"\"
    „FIDO2-Key, PIN verwalten mit Browser Chromium”<\/figcaption><\/figure>\n\n\n\n
    Mit einem Klick auf die Option PIN erstellen<\/strong> kann die PIN gesetzt bzw. geändert werden.<\/p>\n\n\n\n
    \"\"
    „FIDO2-Key, PIN erstellen mit Browser Chromium”<\/figcaption><\/figure>\n\n\n\n
    \"\"
    „FIDO2-Key, PIN ändern mit Browser Chromium”<\/figcaption><\/figure>\n\n\n\n
    Mit einem Klick auf die Option Sicherheitsschlüssel zurücksetzen<\/strong> kann der FIDO2-Key auf die Werkseinstellungen zurückgesetzt werden.

    Beim Zurücksetzen werden alle Schlüssel    daten<\/a> und die PIN gelöscht! Zuvor müssen unbedingt alle Konten, für deren Anmeldung der FIDO2-Key bisher verwendet wurde, auf alternative Authentifizierungen umgestellt werden.<\/strong>

    mit YubiKey Manager<\/strong>

    Ein YubiKey kann auch mit dem herstellereigenen Prog    ram<\/a>m „YubiKey Manager“ verwaltet werden.
    yubikey-manager<\/a>

    Falsche PIN eingeben<\/strong>

    Wird die PIN dreimal<\/strong> nacheinander falsch eingegeben, ist der FIDO2-Key erst wieder nutzbar, nachdem er aus- und wieder eingesteckt wurde.

    Wird die PIN insgesamt achtmal<\/strong> nacheinander falsch eingegeben, bleibt der FIDO2-Key dauerhaft gesperrt. Erst nach dem Zurücksetzen auf Werkseinstellungen kann er wieder genutzt werden. Dabei gehen aber PIN und alte Schlüssel verloren. Eine Anmeldung an Nutzerkonten, die mit den alten Schlüssel    daten<\/a> registriert wurden, ist dann natürlich nicht mehr möglich.

    Aufbau der Registrierungs    datei<\/a> \/etc\/fido2\/u2f_keys<\/strong>

    Kenntnisse über den Aufbau der Registrierungs    datei<\/a> sind besonders dann hilfreich, wenn zu einem Nutzerkonto mehrere FIDO2-Keys, oder zusätzliche Nutzerkonten mit FIDO2-Keys registriert werden sollen.

    Das Helper-Tool `    pam<\/a>u2fcfg` gibt nur einen rudimentären Registrierungs-String aus, ohne sich um die korrekte Syntax der Registrierungsdatei<\/a> zu kümmern. Daher sind unter Umständen manuelle Korrekturen notwendig.

    In der Registrierungs    datei<\/a> werden Anwendernamen mit den dazugehörigen Schlüsseldaten<\/a> verknüpft. Für jeden Anwender wird eine Zeile mit den Schlüsseldaten<\/a> erstellt. In dieser Zeile können die Schlüsseldaten<\/a> eines oder mehrerer FIDO2-Keys registriert werden. Anwendername und Schlüsseldaten<\/a> sind durch Doppelpunkte (ohne Leerzeichen) voneinander getrennt. Nachfolgend, die schematische Darstellung einer Zeile für einen Anwender mit zwei FIDO2-Keys:<\/p>\n\n\n\n
    AnwenderA:Schl\u00fcsselDatenA1:Schl\u00fcsselDatenA2<\/code><\/pre>\n\n\n\n
    Die Schlüsseldaten<\/a> selbst sind in mehrere Param<\/a>eter unterteilt, die ihrerseits durch Komata (ohne Leerzeichen) voneinander getrennt sind:<\/p>\n\n\n\n
    KeyHandleA,UserKeyA,CoseTypeA,OptionsA<\/code><\/pre>\n\n\n\n
    Die Struktur der Registrierungsdatei<\/a> hat damit insgesamt folgenden Aufbau (zwei Anwender mit jeweils zwei FIDO2-Keys):<\/p>\n\n\n\n
    AnwenderA:KeyHandleA1,UserKeyA1,CoseTypeA1,OptionsA1:KeyHandleA2,UserKeyA2,CoseTypeA2,OptionsA2\nAnwenderB:KeyHandleB1,UserKeyB1,CoseTypeB1,OptionsB1:KeyHandleB2,UserKeyB2,CoseTypeB2,OptionsB2<\/code><\/pre>\n\n\n\n
    Die einzelnen Param<\/a>eter haben folgende Bedeutung:

    Anwender: Der Benutzername des registrierten Benutzerkontos
    KeyHandle: Ein eindeutiger Identifika    tor<\/a> für den FIDO2-Key, der mit dem Benutzerkonto verknüpft ist
    UserKey: Der öffentliche Schlüssel des FIDO2-Keys, der vom Benutzerkonto akzeptiert wird
    CoseType: Der COSE-Typ identifiziert den verwendeten kryptografischen Algorithmus für den öffentlichen Schlüssel
    Options: Optionale Informationen über den FIDO2-Key

    Beispiele für COSE-Typen: ES256, EdDSA und RS256.

    ES256: steht für „Elliptic Curve Di    git<\/a>al Signature Algorithm with NIST P-256 curve“
    EdDSA: steht für „Edwards-curve Di    git<\/a>al Signature Algorithm“
    RS256: steht für „RSA Signature with SHA-256“

    Beispiele für Options:
    +presence Der Anwender muss zur Bestätigung den FIDO-Key berühren
    +pin Der Anwender muss zur Bestätigung die PIN FIDO-Keys eingeben

    Registrierungs    datei<\/a> im Home<\/a>-Verzeichnis<\/a><\/strong>

    Manche Wi    ki<\/a>s schlagen vor, die Registrierungsdatei<\/a> im Home<\/a>-Verzeichnis<\/a> des Anwenders zu speichern<\/a>, z.B. in:<\/p>\n\n\n\n
    ~\/.config\/Yubico\/u2f_keys<\/code><\/pre>\n\n\n\n
    Dies ist der Standardp<\/a>fad für die Registrierungsdatei<\/a>. Verwendet man diesen Pfad, kann in den PAM<\/a>-Datei<\/a>en bei der Konfiguration<\/a> des FIDO2-Keys der Param<\/a>eter „authfile“ entfallen.<\/em>

    Aus meiner Sicht hat die Verwendung des Standar    dp<\/a>fads jedoch zwei Nachteile:

    1. Möchte ein Anwender sein     Home<\/a>-Verzeichnis<\/a> verschlüsseln, um die persönlichen Daten<\/a> vor unbefugten Zugriff zu schützen, ist eine Anmeldung per FIDO2-Key nicht mehr möglich. Da das Home<\/a>-Verzeichnis<\/a> erst nach erfolgreicher Authentifizierung entschlüsselt werden kann (vorher weiß Linux<\/a> ja noch nicht, welcher User sich anmelden will), steht die Registrierungsdatei<\/a> zum Zeitpunkt der Anmeldung noch nicht zur Verfügung.

    2. Gelingt es einem Angreifer (z.B. über eine Sicherheitslücke in einem Prog    ram<\/a>m) Zugriff zum Terminal<\/a> eines angemeldeten Nutzers zu erlan<\/a>gen, könnte er die Registrierungsdatei<\/a> durch seine eigene ersetzen und damit (für den Fall, dass der angemeldete Nutzer sudo<\/a>-Rechte besitzt), sogar root<\/a>-Rechte auf dem System erhalten. Befindet sich die Registrierungsdatei<\/a> hingegen im Verzeichnis<\/a> \/etc, ist eine Änderung nur nach Eingabe des root<\/a>- oder sudo<\/a>-Kennworts möglich. Ein offenes Terminal<\/a> allein genügt dann nicht.

    Zwei-Fak    tor<\/a>-Authentifizierung am Linux<\/a>-Desktop<\/a><\/strong>

    Die passwortlose Anmeldung erhöht den Nutzerkomfort, aber nicht die Sicherheit. Für höhere Anforderungen an die Sicherheit kann die passwortlose Anmeldung in eine Zwei-Fak    tor<\/a>-Authentifizierung geändert werden. Der dazu notwendige Aufwan<\/a>d ist minimal.

    In den     PAM<\/a>-Datei<\/a>en muss in der Zeile für den FIDO2-Key lediglich das Control-Flag „sufficient“ durch „required“ ersetzt werden:<\/p>\n\n\n\n
    auth required pam_u2f.so authfile=\/etc\/fido2\/u2f_keys cue [cue_prompt=Bitte den FIDO-Key ber\u00fchren ...]<\/code><\/pre>\n\n\n\n
    Mit dieser Konfiguration<\/a> muss der Anwender nach der Berührung des FIDO2-Keys zusätzlich sein Anmelde-Kennwort eingeben – Zwei-Faktor<\/a>-Authentifizierung eben.
    Wem die Reihenfolge nicht gefällt, und lieber das Kennwort vor dem FIDO2-Key eingeben möchte, verschiebt bei     Debian<\/a> die Konfiguration<\/a>szeile in der PAM<\/a>-Datei<\/a> unterhalb der Zeile „@ include common-auth“.<\/em>

    Beim Einsatz des Control-Flags „required“ in der     PAM<\/a>-Dabei ist jedoch besondere Vorsicht geboten. „Required“ bedeutet „notwendig“. Scheitert eine notwendige Authentifizierung (z.B. wegen eines Syntaxfehlers in der Konfiguration<\/a>szeile oder weil die Zeile innerhalb der PAM<\/a>-Datei<\/a> an einem falschen Ort abgelegt wird), ist eine Anmeldung nicht mehr möglich. Im Extremfall muss der Computer mit einem Live-Linux<\/a> gestartet werden, um den Fehler zu korrigieren. Mehr dazu im Abschnitt „Hife, ich habe mich ausgesperrt!“.

    Wer sich für eine Zwei-Fak    tor<\/a>-Authentifizierung entscheidet, sollte unbedingt einen zweiten FIDO2-Key zu seinem Anwendernamen registrieren. Andernfalls ist eine Anmeldung nicht mehr möglich, sollte der FIDO2-Key verloren oder kaputt gehen. SIehe dazu Abschnitt „Weitere FIDO2-Keys für ein Benutzerkonto registrieren“.
    Eine „Notfall-Anmeldung“ nach einem verlorenen Security-Key ist bei einer Zwei-Fak    tor<\/a>-Authentifizierung ausdrücklich nicht möglich. Dies würde schließlich das Konzept der Zwei-Faktor<\/a>-Authentifizierung ad absurdum führen.

    Weitere FIDO2-Keys für ein Benutzerkonto registrieren<\/strong>

    Um weitere FIDO2-Keys zu einem bereits registrierten Benutzerkonto hinzuzufügen, kommt wieder das Helper-Tool `    pam<\/a>u2fcfg` zum Einsatz. Nach dem Anstecken des neuen FIDO2-Keys am USB<\/a>-Port, werden mit folgendem Kommando die Schlüsseldaten<\/a> generiert.<\/p>\n\n\n\n
    pamu2fcfg -n | sudo tee -a \/etc\/fido2\/u2f_keys<\/code><\/pre>\n\n\n\n
    Der Param<\/a>eter `-n` unterdrückt die Ausgabe des Anwendernamens, so dass nur die neu generierten Schlüsseldaten<\/a> an die bereits in der Registrierungsdatei<\/a> `\/etc\/fido2\/u2f_keys` vorhandene Zeile angefügt werden.

    Schematisches Beispiel für eine korrekte Registrierungs    datei<\/a> (ein Anwender mit zwei Keys:<\/p>\n\n\n\n
    AnwenderA:KeyHandleA1,UserKeyA1,CoseTypeA1,OptionsA1:KeyHandleA2,UserKeyA2,CoseTypeA2,OptionsA2<\/code><\/pre>\n\n\n\n
    Beim hinzufügen weiterer Nutzerkonten gilt es einige Stolperfallen zu beachten:<\/strong>

    Wie im Abschnitt „Aufbau der Registrierungs    datei<\/a> \/etc\/fido2\/u2f_keys“ beschrieben, müssen alle zu einem Anwendernamen registrierten Schlüsseldaten<\/a> in der gleichen Zeile stehen (getrennt durch Doppelpunkte). Das Helper-Tool `pam<\/a>u2fcfg` hat keine Möglichkeit, die korrekte Syntax der Registrierungsdatei<\/a> zu überprüfen. Sollten die neu generierten Schlüsseldaten<\/a> irrtümlich in eine neue Zeile geschrieben werden, sind sie für die Anmeldung des Anwenders nicht nutzbar.

    Im folgenden Beispiel ist Key2 nicht nutzbar, da er verwaist in einer eigenen Zeile steht, ohne Bezug zu einem Anwender:<\/p>\n\n\n\n
    AnwenderA:KeyHandleA1,UserKeyA1,CoseTypeA1,OptionsA1\n:KeyHandleA2,UserKeyA2,CoseTypeA2,OptionsA2<\/code><\/pre>\n\n\n\n
    Abhilfe: Mit einem Texteditor<\/a> die zweite Zeile mit der ersten verbinden.


    Ein Anwendername darf nur einmal in der Registrierungs    datei<\/a> stehen. Wird bei der Registrierung des zweiten FIDO2-Keys beim Aufruf des Helper-Tools `pam<\/a>u2fcfg` der Param<\/a>eter `-n` vergessen, werden die zuvor registrierten Schlüsseldaten<\/a> wirkungslos.

    Im folgenden Beispiel ist Key1 nicht mehr nutzbar, da die Registrierung in der ersten Zeile von den     Daten<\/a> in der zweiten Zeile überschrieben werden.<\/p>\n\n\n\n
    AnwenderA:KeyHandleA1,UserKeyA1,CoseTypeA1,OptionsA1\nAnwenderA:KeyHandleA2,UserKeyA2,CoseTypeA2,OptionsA2<\/code><\/pre>\n\n\n\n
    Abhilfe: Mit einen Texteditor<\/a> das zweite Vorkommen von „AnwenderA“ löschen und die beiden Zeilen zu einer Zeile verbinden.


    Ein weiterer möglicher Syntaxfehler ist folgender:<\/p>\n\n\n\n
    AnwenderA:KeyHandleA1,UserKeyA1,CoseTypeA1,OptionsA1AnwenderA:KeyHandleA2,UserKeyA2,CoseTypeA2,OptionsA2<\/code><\/pre>\n\n\n\n
    Hier wurden die Schlüsseldaten<\/a> des zweiten FIDO2-Keys zwar an die erste Zeile angefügt, aber beim Aufruf des Helper-Tools `pam<\/a>u2fcfg` wurde der Param<\/a>eter `-n` vergessen. Als Folge steht der Anwendername „AnwenderA“ ein zweites Mal, unmittelbar nach „OptionsA1“ in der Zeile.
    Diese     Konfiguration<\/a> funktioniert zwar, ist aber ein Syntaxfehler und sollte korrigiert werden.

    Abhilfe: Mit einen Text    editor<\/a> das zweite Vorkommen von „AnwenderA“ löschen.

    Weitere Benutzerkonten registrieren<\/strong>

    Das Helper-Tool `    pam<\/a>u2fcfg` kann auch dazu genutzt werden, mehre Benutzerkonten mit FIDO2-Keys zu verknüpfen. Dabei sind wieder die Syntaxregeln der Registrierungsdatei<\/a> `\/etc\/fido2\/u2f_keys` zu beachten, auf die `pam<\/a>u2fcfg` selbst keine Rücksicht nehmen kann.
    Wichtig ist, dass die Schlüssel    daten<\/a> für das neue Nutzerkonto in der Registrierungsdatei<\/a> in eine eigene Zeile geschrieben werden. Dazu muss die vorhandene Registrierungsdatei<\/a> mit einen sogenannten Zeilenvorschub „CR” (Carriage Return) enden. Dies lässt sich am einfachsten durch die Ausgabe der Registrierungsdatei<\/a> am Terminal<\/a> mit dem Befehl<\/a> `cat` überprüfen.<\/p>\n\n\n\n
    cat \/etc\/fido2\/u2f_keys<\/code><\/pre>\n\n\n\n
    \"\"
    „Registrierungsdatei<\/a> \/etc\/fido2\/u2f_keys ohne CR“<\/figcaption><\/figure>\n\n\n\n
    Erscheint der Eingabe-Prompt<\/a> des Terminal<\/a>s unmittelbar nach den Schlüsseldaten<\/a>, fehlt der Zeilenvorschub am Ende der Registrierungsdatei<\/a> und muss manuell mit einem Texteditor<\/a>, oder alternativ mit folgendem Befehl<\/a> angefügt werden.<\/p>\n\n\n\n
    echo -e '\\r' | sudo tee -a \/etc\/fido2\/u2f_keys<\/code><\/pre>\n\n\n\n
    \"\"
    „Registrierungsdatei<\/a> \/etc\/fido2\/u2f_keys mit CR“<\/figcaption><\/figure>\n\n\n\n
    Erscheint der Eingabe-Prompt<\/a> des Terminal<\/a>s in einer neuen Zeile, endet die Registrierungsdatei<\/a> mit einem Zeilenvorschub. und `pam<\/a>u2fcfg` wird die neuen Registrierungsdaten<\/a> syntaktisch korrekt in einer neuen Zeile einfügen.<\/p>\n\n\n\n
    pamu2fcfg -u <Nutzerkonto> | sudo tee -a \/etc\/fido2\/u2f_keys<\/code><\/pre>\n\n\n\n
    Mit dem Param<\/a>eter `-u` kann `pam<\/a>u2fcfg` ein beliebiges Nutzerkonto für die Registrierung der FIDO2-Keys übergeben werden.

    Nachfolgend ein Beispiel für eine Registrierungs    datei<\/a> \/etc\/fido2\/u2f_keys mit zwei registrierten Nutzerkonten (alice und bob):<\/p>\n\n\n\n
    \"\"
    „Registrierungsdatei<\/a> mit zwei Nutzerkonten<\/figcaption><\/figure>\n\n\n\n
    Anmeldung mit PIN-Abfrage<\/strong>

    Bei einer passwortlosen Anmeldung kommt dem FIDO2-Key die gleiche Bedeutung zu, wie einem klassischen Wohnungstürschlüssel: Wer den Schlüssel besitzt, kommt rein.
    Dies könnte sich als problematisch erweisen, sollte z.B. das Notebook zusammen mit dem FIDO2-Key aus einem Hotelzimmer gestohlen werden. Zur Vermeidung dieser Achillesferse kann die Anmeldung mit einer PIN-Abfrage geschützt werden. Voraussetzung ist, dass der FIDO2-Key zuvor mit einer PIN geschützt wurde, wie im Abschnitt „FIDO2-Key mit PIN schützen“ beschrieben.

    Zur Aktivierung der PIN-Abfrage bei der Anmeldung, muss bei der Registrierung des FIDO2-Keys die Option –pin-verification angegeben werden.<\/p>\n\n\n\n
    pamu2fcfg --pin-verification | sudo tee -a \/etc\/fido2\/u2f_keys<\/code><\/pre>\n\n\n\n
    Mit dieser Registrierung muss bei jeder Anmeldung neben der Berührung, zusätzlich die PIN des FIDO2-Keys eingegeben werden.

    Erkennbar ist eine PIN-Verifikation in der Registrierungs    datei<\/a> an der Option „+pin”.
    In der Registrierungs    datei<\/a> die Option „+pin” mit einem Editor<\/a> manuell anzufügen, funktioniert allerdings nicht!<\/em>

    Meines Erachtens ist die PIN-Abfrage bei der Anmeldung sicherer, als die Eingabe eines konventionellen Passworts. Die meisten Anwender neigen dazu, leicht zu erratende Passwörter zu verwenden. Der Versuch die PIN des FIDO2-Keys zu erraten ist aussichtslos, da nach acht fehlgeschlagenen Versuchen, die Schlüssel    daten<\/a> des FIDO2-Keys unwiederbringlich gelöscht werden. (Siehe Abschnitt „Falsche PIN eingeben“).<\/p>\n\n\n\n
    Hife, ich habe mich ausgesperrt!<\/strong><\/h2>\n\n\n\n
    Wird in den PAM<\/a>-Datei<\/a>en zur Konfiguration<\/a> des FIDO2-Keys das Control-Flag „sufficient“ verwendet, sollten keine unerwarteten Probleme auftreten, da „sufficient“ die Authentifizierung per FIDO2-Key ermöglicht, aber nicht erzwingt.
    Anders verhält es sich, wenn das Control-Flag „required“ verwendet wird, um für die Anmeldung eine Zwei-Fak    tor<\/a>-Authentifizierung zu erzwingen (Passwort plus FIDO2-Key). Ist die Konfiguration<\/a>szeile für den FIDO2-Key in der PAM<\/a>-Datei<\/a> fehlerhaft (wird z.B. „require“ statt „required“ geschrieben), oder geht der FIDO2-Key verloren, ist eine Anmeldung nicht mehr möglich.

    Ein weiterer Nebeneffekt zeigt sich, wenn mehrere Nutzerkonten im     Linux<\/a> angelegt wurden.Schützt eine Anwenderin (z.B. Alice) ihr Linux<\/a>-Konto mit einem FIDO2-Key und nutzt dazu in der PAM<\/a>-Datei<\/a> das Control-Flag „required“, können sich weitere Anwender (z.B. Bob) nicht mehr am PC anmelden (oder sudo<\/a> nutzen), wenn Bob keinen FIDO2-Key nutzt. Bobs Anmeldung wird trotz korrekt eingegebenem Passwort scheitern.
    Die Einstellungen in den     PAM<\/a>-Datei<\/a>en gelten global für alle am Linux<\/a> angelegten Benutzerkonten. Wird in einer PAM<\/a>-Datei<\/a> für den FIDO2-Key das Control-Flag „required“ gesetzt, wird dadurch die Nutzung eines FIDO2-Keys für alle Nutzerkonten erforderlich. Ohne FIDO2-Key ist eine Anmeldung dann für niemanden mehr möglich. Dies gilt nicht, wenn das Control-Flag „sufficient“ verwendet wird, da in diesem Fall die Nutzung des FIDO2-Keys nur optional ist.

    Wurde nur die     PAM<\/a>-Datei<\/a> für den Displaymanager<\/a> fehlerhaft konfiguriert, ist weiterhin eine Anmeldung über ein TTY-Terminal<\/a> möglich. Durch gleichzeitiges Drücken der Tasten STRG + ALT + F3 wird die graphisch Oberfläche verlassen und ein Textterminal<\/a> (TTY3) gestartet. Über dieses sollte eine Anmeldung mit Benutzernamen und Passwort weiterhin möglich sein, um die fehlerhafte PAM<\/a>-Datei<\/a> zu korrigieren.

    Wenn nichts mehr hilft, bleibt nur noch, den PC mit einem Live-    Linux<\/a> zu starten und darüber die fehlerhaften PAM<\/a>-Datei<\/a>en zu korrigieren.
    Welches Live-    Linux<\/a> gestartet wird, spielt keine Rolle, es ist jedoch vorteilhaft eine Distribution<\/a> zu wählen, bei der während des Starts ein deutsches Tastatur-Layout ausgewählt werden kann (z.B. Ubuntu), da zum Bearbeiten der PAM<\/a>-Datei<\/a>en Sonderzeichen benötigt werden, die auf der US-Tastatur anders belegt sind. Ansonsten kann man sich mit einer Übersetzungstabelle helfen:
    Schreiben auf deutscher Tastatur mit US-Zeichensatz<\/a><\/p>\n
    \r\n    
    \r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    3    <\/span>\r\n<\/div>
    \r\n    \r\n                            \"Gef\u00e4llt\r\n            <\/a>\r\n    <\/span>\r\n<\/div><\/div>","protected":false},"excerpt":{"rendered":"
    Mo 1. Mai 2023, 22:58 Keine Panik!Der erste Eindruck vom Umfang dieses Wikis t\u00e4uscht. Im Allgemeinen sind nur drei einfache Arbeitsschritte n\u00f6tig, um eine passwortlose Anmeldung am Linux zu realisieren. Da es aber gerade beim Thema Sicherheit von Vorteil ist, zu wissen, was man tut, und ich noch einige Sonderf\u00e4lle beim Umgang mit einem FIDO2-Key […]<\/p>\n","protected":false},"author":95,"featured_media":3325,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[72],"tags":[713],"class_list":["post-10395","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicherheit","tag-fido2"],"_links":{"self":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/10395","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/users\/95"}],"replies":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/comments?post=10395"}],"version-history":[{"count":8,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/10395\/revisions"}],"predecessor-version":[{"id":11375,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/posts\/10395\/revisions\/11375"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media\/3325"}],"wp:attachment":[{"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/media?parent=10395"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/categories?post=10395"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/linux-bibel.at\/index.php\/wp-json\/wp\/v2\/tags?post=10395"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}