Pam oath - 版の履歴

Kusanaginoturugi: 二段階認証に用語を統一

2024-09-05T11:52:40Z

二段階認証に用語を統一

← 古い版		2024年9月5日 (木) 20:52時点における版
4行目:		4行目:
	[[en:Pam oath]]		[[en:Pam oath]]
	[[zh-hans:Pam oath]]		[[zh-hans:Pam oath]]
	[https://www.nongnu.org/oath-toolkit/index.html OATH Toolkit] はワンタイムパスコード (OTP) を使用する2段階認証を実現します。RFC 標準になっている2つの OTP 手法に対応 ([[Wikipedia:HMAC-based_One-time_Password_Algorithm\|HOTP]], [[Wikipedia:Time-based_One-time_Password_Algorithm\|TOTP]])。OTP を生成するアプリケーションは iOS, Android, Blackberry などの端末で使うことができます。[[Google Authenticator]] と同じように認証メカニズムは Linux の [[PAM]] システムと統合されています。このページではインストールと設定について説明します。		[https://www.nongnu.org/oath-toolkit/index.html OATH Toolkit] はワンタイムパスコード (OTP) を使用する二段階認証を実現します。RFC 標準になっている2つの OTP 手法に対応 ([[Wikipedia:HMAC-based_One-time_Password_Algorithm\|HOTP]], [[Wikipedia:Time-based_One-time_Password_Algorithm\|TOTP]])。OTP を生成するアプリケーションは iOS, Android, Blackberry などの端末で使うことができます。[[Google Authenticator]] と同じように認証メカニズムは Linux の [[PAM]] システムと統合されています。このページではインストールと設定について説明します。

	== インストール ==		== インストール ==

Kusanaginoturugi: Category:セキュアシェル

2024-08-16T09:37:30Z

Category:セキュアシェル

← 古い版		2024年8月16日 (金) 18:37時点における版
1行目:		1行目:
	{{DISPLAYTITLE:pam_oath}}		{{DISPLAYTITLE:pam_oath}}
	[[Category:~~Secure Shell~~]]		[[Category:セキュアシェル]]
	[[Category:認証]]		[[Category:認証]]
	[[en:Pam oath]]		[[en:Pam oath]]

Kgx: 他言語へのリンクを追加

2023-08-25T04:35:44Z

他言語へのリンクを追加

← 古い版		2023年8月25日 (金) 13:35時点における版
3行目:		3行目:
	[[Category:認証]]		[[Category:認証]]
	[[en:Pam oath]]		[[en:Pam oath]]
			[[zh-hans:Pam oath]]
	[https://www.nongnu.org/oath-toolkit/index.html OATH Toolkit] はワンタイムパスコード (OTP) を使用する2段階認証を実現します。RFC 標準になっている2つの OTP 手法に対応 ([[Wikipedia:HMAC-based_One-time_Password_Algorithm\|HOTP]], [[Wikipedia:Time-based_One-time_Password_Algorithm\|TOTP]])。OTP を生成するアプリケーションは iOS, Android, Blackberry などの端末で使うことができます。[[Google Authenticator]] と同じように認証メカニズムは Linux の [[PAM]] システムと統合されています。このページではインストールと設定について説明します。		[https://www.nongnu.org/oath-toolkit/index.html OATH Toolkit] はワンタイムパスコード (OTP) を使用する2段階認証を実現します。RFC 標準になっている2つの OTP 手法に対応 ([[Wikipedia:HMAC-based_One-time_Password_Algorithm\|HOTP]], [[Wikipedia:Time-based_One-time_Password_Algorithm\|TOTP]])。OTP を生成するアプリケーションは iOS, Android, Blackberry などの端末で使うことができます。[[Google Authenticator]] と同じように認証メカニズムは Linux の [[PAM]] システムと統合されています。このページではインストールと設定について説明します。

52行目:		53行目:
	auth required pam_oath.so usersfile=/etc/users.oath window=30 digits=6		auth required pam_oath.so usersfile=/etc/users.oath window=30 digits=6

	SSH ログインが機能するためには、ファイル {{ic\|/etc/ssh/sshd_config}} でこれらのオプションが有効になっていることを確認します：		SSH ログインが機能するためには、ファイル {{ic\|/etc/ssh/sshd_config}} でこれらのオプションが有効になっていることを確認します:

	ChallengeResponseAuthentication yes		ChallengeResponseAuthentication yes
59行目:		60行目:
	{{ic\|sshd.service}} を[[再起動]]して、変更を有効にします。		{{ic\|sshd.service}} を[[再起動]]して、変更を有効にします。

	公開鍵認証やパスワード認証が有効な場合でも、OATH のリクエスト・レスポンスを強制したい場合は、 {{ic\|/etc/ssh/sshd_config}} に以下を追加します：		公開鍵認証やパスワード認証が有効な場合でも、OATH のリクエスト・レスポンスを強制したい場合は、 {{ic\|/etc/ssh/sshd_config}} に以下を追加します:

	AuthenticationMethods publickey,keyboard-interactive:pam		AuthenticationMethods publickey,keyboard-interactive:pam
75行目:		76行目:
	{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していません。[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 Gitlab の open issue] を参照してください。}}		{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していません。[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 Gitlab の open issue] を参照してください。}}

	HOTPでログインする場合：		HOTPでログインする場合:

	$ oathtool -v -d 6 ''12345678909876543210''		$ oathtool -v -d 6 ''12345678909876543210''
95行目:		96行目:
	''user'', ''machine'', ''DK2DEFASV26A===='' は適当な文字列に置き換えてください。生成が完了したら、お好きな画像作成アプリケーションで qrcode を視覚化して使用することができます。FreeOTP を使用して png のスクリーンショットを撮影し、必要になったときに OTP パスを表示するのが一番簡単です。		''user'', ''machine'', ''DK2DEFASV26A===='' は適当な文字列に置き換えてください。生成が完了したら、お好きな画像作成アプリケーションで qrcode を視覚化して使用することができます。FreeOTP を使用して png のスクリーンショットを撮影し、必要になったときに OTP パスを表示するのが一番簡単です。

	{{Note\|ユーザーの秘密鍵は、このシステムで最も重要な情報です。OTP を提供するように携帯電話をセットアップすると、その携帯電話はそのキーを持つようになります。png ファイル内の qr コードには、そのキーが含まれています。このファイルには細心の注意を払う必要があります。暗号化された媒体にのみ保存する必要があります（あなたの携帯電話は、まともなレベルのセキュリティのために暗号化を使用する必要があります）。そうでない場合は、サードパーティ製アプリケーションからのアクセスを防ぐため、Samsung Knox のようなサンドボックス内に閉じ込めることもできません。}}		{{Note\|ユーザーの秘密鍵は、このシステムで最も重要な情報です。OTP を提供するように携帯電話をセットアップすると、その携帯電話はそのキーを持つようになります。png ファイル内の qr コードには、そのキーが含まれています。このファイルには細心の注意を払う必要があります。暗号化された媒体にのみ保存する必要があります(あなたの携帯電話は、まともなレベルのセキュリティのために暗号化を使用する必要があります)。そうでない場合は、サードパーティ製アプリケーションからのアクセスを防ぐため、Samsung Knox のようなサンドボックス内に閉じ込めることもできません。}}

	== 参照 ==		== 参照 ==

Kgx: /* oath の設定 */ 情報を更新

2023-08-25T04:34:11Z

oath の設定: 情報を更新

@@ 19行目: / 19行目: @@
 {{Note|この記事では上記のシードを例として使用しますが、同じシードを実際に設定するときに使っては'''いけません'''。}}
-oath はユーザーごとに必要で、設定ファイル {{ic|/etc/users.oath}} の中にリンクします。root でファイルを作成して、ユーザーのシードを記述してください:
+oath はユーザーごとに必要で、設定ファイル {{ic|/etc/users.oath}} の中にリンクします。[[ユーザーとグループ#概要|Root ユーザー]] でファイルを作成して、ユーザーのシードを記述してください:
  # chmod 600 /etc/users.oath

Kusanaginoturugi: /* OATH パスワードを使用したログイン */ 校正

2023-06-08T09:33:24Z

OATH パスワードを使用したログイン: 校正

← 古い版		2023年6月8日 (木) 18:33時点における版
82行目:		82行目:
	''user'', ''machine'', ''DK2DEFASV26A===='' は適当な文字列に置き換えてください。生成が完了したら、お好きな画像作成アプリケーションで qrcode を視覚化して使用することができます。FreeOTP を使用して png のスクリーンショットを撮影し、必要になったときに OTP パスを表示するのが一番簡単です。		''user'', ''machine'', ''DK2DEFASV26A===='' は適当な文字列に置き換えてください。生成が完了したら、お好きな画像作成アプリケーションで qrcode を視覚化して使用することができます。FreeOTP を使用して png のスクリーンショットを撮影し、必要になったときに OTP パスを表示するのが一番簡単です。

			{{Note\|ユーザーの秘密鍵は、このシステムで最も重要な情報です。OTP を提供するように携帯電話をセットアップすると、その携帯電話はそのキーを持つようになります。png ファイル内の qr コードには、そのキーが含まれています。このファイルには細心の注意を払う必要があります。暗号化された媒体にのみ保存する必要があります（あなたの携帯電話は、まともなレベルのセキュリティのために暗号化を使用する必要があります）。そうでない場合は、サードパーティ製アプリケーションからのアクセスを防ぐため、Samsung Knox のようなサンドボックス内に閉じ込めることもできません。}}
	{{Note\|The secret key of your users is the most important information in this system. Once you setup a phone to provide OTP, it does have that key. The qr code in that png file does have that key. You need to take extra care of this file. They should only be stored on encrypted medium (Your phone need to be using encryption for any sane level of security). If not even confined in a sandbox like Samsung Knox to prevent third party application to potentially access them.}}

	== 参照 ==		== 参照 ==

Kusanaginoturugi: /* OATH パスワードを使用したログイン */ 校正

2023-06-08T09:25:57Z

OATH パスワードを使用したログイン: 校正

← 古い版		2023年6月8日 (木) 18:25時点における版
60行目:		60行目:
	$ oathtool -v --totp -d 6 ''12345678909876543210''		$ oathtool -v --totp -d 6 ''12345678909876543210''

	{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していません。~~Gitlab の~~[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 open issue] を参照してください。}}		{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していません。[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 Gitlab の open issue] を参照してください。}}

	HOTPでログインする場合：		HOTPでログインする場合：

Kusanaginoturugi: /* OATH パスワードを使用したログイン */ 校正

2023-06-08T09:24:20Z

OATH パスワードを使用したログイン: 校正

← 古い版		2023年6月8日 (木) 18:24時点における版
60行目:		60行目:
	$ oathtool -v --totp -d 6 ''12345678909876543210''		$ oathtool -v --totp -d 6 ''12345678909876543210''

	{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していない。Gitlab の[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 open issue] を参照してください。}}		{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していません。Gitlab の[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 open issue] を参照してください。}}

	HOTPでログインする場合：		HOTPでログインする場合：

Kusanaginoturugi: /* OATH パスワードを使用したログイン */ }} の抜けを修正

2023-06-08T09:22:20Z

OATH パスワードを使用したログイン: }} の抜けを修正

← 古い版		2023年6月8日 (木) 18:22時点における版
60行目:		60行目:
	$ oathtool -v --totp -d 6 ''12345678909876543210''		$ oathtool -v --totp -d 6 ''12345678909876543210''

	{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していない。Gitlab の[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 open issue] を参照してください。		{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していない。Gitlab の[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 open issue] を参照してください。}}

	HOTPでログインする場合：		HOTPでログインする場合：

Kusanaginoturugi: /* oath パスの記録 */ 記事を更新

2023-06-08T09:05:10Z

oath パスの記録: 記事を更新

← 古い版		2023年6月8日 (木) 18:05時点における版
54行目:		54行目:
	{{Tip\|ローカルログインの場合は、{{ic\|/etc/pam.d/login}} を編集してください。}}		{{Tip\|ローカルログインの場合は、{{ic\|/etc/pam.d/login}} を編集してください。}}

	== ~~oath~~ パス~~の記録~~ ==		== OATH パスワードを使用したログイン ==

			TOTP でログインする場合:
	現在の oath パスが必要な場合は以下のコマンドを実行:

	oathtool -v -d6 ''~~1ab4321412aebcw~~''		$ oathtool -v --totp -d 6 ''12345678909876543210''

			{{Warning\|TOTP モード設定時のエラー {{ic\|SHA512}} は開発者が修正していない。Gitlab の[https://gitlab.com/oath-toolkit/oath-toolkit/issues/8 open issue] を参照してください。
⚫	上記の ''~~1ab4321412aebcw~~'' は適当なシードに置き換えてください。以下のような表示がされます:

			HOTPでログインする場合：

			$ oathtool -v -d 6 ''12345678909876543210''

		⚫	上記の ''12345678909876543210'' は適当なシードに置き換えてください。以下のような表示がされます:

	Hex secret: 1ab4321412aebc		Hex secret: 1ab4321412aebc

Kusanaginoturugi: /* PAM の設定 */ 一部飜訳

2023-06-08T08:54:55Z

PAM の設定: 一部飜訳

← 古い版		2023年6月8日 (木) 17:54時点における版
39行目:		39行目:
	auth required pam_oath.so usersfile=/etc/users.oath window=30 digits=6		auth required pam_oath.so usersfile=/etc/users.oath window=30 digits=6

			SSH ログインが機能するためには、ファイル {{ic\|/etc/ssh/sshd_config}} でこれらのオプションが有効になっていることを確認します：
	For SSH login to work, make sure these options are enabled in the file {{ic\|/etc/ssh/sshd_config}}:

	ChallengeResponseAuthentication yes		ChallengeResponseAuthentication yes
	UsePAM yes		UsePAM yes

	~~[[Restart]]~~ {{ic\|sshd.service}} ~~to enable the changes.~~		{{ic\|sshd.service}} を[[再起動]]して、変更を有効にします。

			公開鍵認証やパスワード認証が有効な場合でも、OATH のリクエスト・レスポンスを強制したい場合は、 {{ic\|/etc/ssh/sshd_config}} に以下を追加します：
	If you want to force OATH request-response even if there is a working public key authentication and password authentication also add the following in {{ic\|/etc/ssh/sshd_config}}:

	AuthenticationMethods publickey,keyboard-interactive:pam		AuthenticationMethods publickey,keyboard-interactive:pam
52行目:		52行目:
	PasswordAuthentication yes		PasswordAuthentication yes

	{{Tip\|~~For local login, just edit~~ {{ic\|/etc/pam.d/login}}.}}		{{Tip\|ローカルログインの場合は、{{ic\|/etc/pam.d/login}} を編集してください。}}

	== oath パスの記録 ==		== oath パスの記録 ==