Universal 2nd Factor - 版の履歴

Kgx: /* LUKS を使用した保存データの暗号化 */ 非ルートパーティションを翻訳して追加

2023-11-01T09:14:22Z

LUKS を使用した保存データの暗号化: 非ルートパーティションを翻訳して追加

@@ 91行目: / 91行目: @@
  $ systemd-cryptenroll --fido2-device=list
-次に、鍵を LUKS スロットに登録し、FIDO2 デバイスへのパスを指定するか、次の {{ic|auto}} 値を使用できます:
+次に、{{ic|auto}} 値 (または、複数ある場合は、{{ic|/dev/hidrawX}} などの FIDO2 デバイスへのパス) を指定して、LUKS スロットにキーを登録できます。
  $ systemd-cryptenroll --fido2-device=/path/to/fido2_device /dev/sdX

Kusanaginoturugi: /* OpenSSH */ キーペアを鍵ペアに変更

2021-12-01T02:49:23Z

OpenSSH: キーペアを鍵ペアに変更

← 古い版		2021年12月1日 (水) 11:49時点における版
72行目:		72行目:
	== OpenSSH ==		== OpenSSH ==

	OpenSSH は [https://www.openssh.com/txt/release-8.2 8.2] から FIDO/U2F ハードウェアトークンをネイティブにサポートしています。クライアントとサーバの両方が、ecdsa-sk/ed25519-sk 形式の鍵をサポートしている必要があります。次のコマンドを使用して、セキュリティで裏付けされたキーペアを生成します		OpenSSH は [https://www.openssh.com/txt/release-8.2 8.2] から FIDO/U2F ハードウェアトークンをネイティブにサポートしています。クライアントとサーバの両方が、ecdsa-sk/ed25519-sk 形式の鍵をサポートしている必要があります。次のコマンドを使用して、セキュリティで裏付けされた鍵ペアを生成します

	* ECDSA 鍵の場合		* ECDSA 鍵の場合

Kusanaginoturugi: /* LUKS を使用した保存データの暗号化 */ リンクを修正

2021-07-21T02:14:27Z

LUKS を使用した保存データの暗号化: リンクを修正

← 古い版		2021年7月21日 (水) 11:14時点における版
85行目:		85行目:
	バージョン248以降、[[systemd]] は FIDO2 キーを使って [[dm-crypt/システム全体の暗号化\|LUKS パーティション]]のロックを解除できるようになりました。		バージョン248以降、[[systemd]] は FIDO2 キーを使って [[dm-crypt/システム全体の暗号化\|LUKS パーティション]]のロックを解除できるようになりました。

	まず、{{ic\|/etc/crypttab}} ファイルを設定するか、または、root パーティションのロックを解除したい場合は {{ic\|initramfs}} をカスタマイズする必要があります。全般的な手順は、TPM チップを使ってロックを解除する場合と同様です。{{Trusted Platform Module#systemd-cryptenroll}} を参照してください。		まず、{{ic\|/etc/crypttab}} ファイルを設定するか、または、root パーティションのロックを解除したい場合は {{ic\|initramfs}} をカスタマイズする必要があります。全般的な手順は、TPM チップを使ってロックを解除する場合と同様です。[[Trusted Platform Module#systemd-cryptenroll]] を参照してください。

	キーを登録するには、''systemd-cryptenroll'' ユーティリティーを使用する必要があります。まず、以下のコマンドを実行して、検出された鍵をリストアップします:		キーを登録するには、''systemd-cryptenroll'' ユーティリティーを使用する必要があります。まず、以下のコマンドを実行して、検出された鍵をリストアップします:

Kusanaginoturugi: /* Data-at-rest encryption with LUKS */ 翻訳

2021-07-21T02:10:19Z

Data-at-rest encryption with LUKS: 翻訳

@@ 81行目: / 81行目: @@
 {{Note|Yubikey を使用している場合、ed25519-sk 形式の鍵にはファームウェアバージョン 5.2.3 が必要です。}}
-First, you will need to setup your {{ic|/etc/crypttab}} file, or customize your {{ic|initramfs}} if you wish to unlock your root partition. The full procedure is similar to the use of a TPM chip for unlocking. See [[Trusted Platform Module#systemd-cryptenroll]].
+まず、{{ic|/etc/crypttab}} ファイルを設定するか、または、root パーティションのロックを解除したい場合は {{ic|initramfs}} をカスタマイズする必要があります。全般的な手順は、TPM チップを使ってロックを解除する場合と同様です。{{Trusted Platform Module#systemd-cryptenroll}} を参照してください。
  $ systemd-cryptenroll --fido2-device=list
  $ systemd-cryptenroll --fido2-device=/path/to/fido2_device /dev/sdX

Kusanaginoturugi: /* OpenSSH */

2021-07-20T03:50:38Z

OpenSSH

← 古い版		2021年7月20日 (火) 12:50時点における版
79行目:		79行目:
	:{{bc\|$ ssh-keygen -t ed25519-sk}}		:{{bc\|$ ssh-keygen -t ed25519-sk}}

	{{Note\|Yubikey を使用している場合、ed25519-sk 鍵~~タイプ~~にはファームウェアバージョン 5.2.3 が必要です。}}		{{Note\|Yubikey を使用している場合、ed25519-sk 形式の鍵にはファームウェアバージョン 5.2.3 が必要です。}}

	== Data-at-rest encryption with LUKS ==		== Data-at-rest encryption with LUKS ==

Kusanaginoturugi: /* OpenSSH */

2021-07-20T03:50:01Z

OpenSSH

← 古い版		2021年7月20日 (火) 12:50時点における版
72行目:		72行目:
	== OpenSSH ==		== OpenSSH ==

			OpenSSH は [https://www.openssh.com/txt/release-8.2 8.2] から FIDO/U2F ハードウェアトークンをネイティブにサポートしています。クライアントとサーバの両方が、ecdsa-sk/ed25519-sk 形式の鍵をサポートしている必要があります。次のコマンドを使用して、セキュリティで裏付けされたキーペアを生成します
	OpenSSH supports FIDO/U2F hardware tokens natively since [https://www.openssh.com/txt/release-8.2 8.2]. Both the client and server must support the ecdsa-sk/ed25519-sk key types. Generate a security key backed key pair with:

	* ~~for~~ ECDSA ~~key~~		* ECDSA 鍵の場合
	:{{bc\|$ ssh-keygen -t ecdsa-sk}}		:{{bc\|$ ssh-keygen -t ecdsa-sk}}
	* ~~for~~ Ed25519 ~~key~~		* Ed25519 鍵の場合
	:{{bc\|$ ssh-keygen -t ed25519-sk}}		:{{bc\|$ ssh-keygen -t ed25519-sk}}

			{{Note\|Yubikey を使用している場合、ed25519-sk 鍵タイプにはファームウェアバージョン 5.2.3 が必要です。}}
	{{Note\|If you are using a Yubikey, firmware version 5.2.3 is needed for the ed25519-sk key type.}}

	== Data-at-rest encryption with LUKS ==		== Data-at-rest encryption with LUKS ==

Kusanaginoturugi: /* OpenSSH */

2021-07-20T03:45:32Z

OpenSSH

← 古い版		2021年7月20日 (火) 12:45時点における版
72行目:		72行目:
	== OpenSSH ==		== OpenSSH ==

	OpenSSH supports FIDO/U2F hardware tokens natively since [https://www.openssh.com/txt/release-8.2 8.2]. Both the client and server must support the ed25519-sk key types. Generate a security key backed key pair with:		OpenSSH supports FIDO/U2F hardware tokens natively since [https://www.openssh.com/txt/release-8.2 8.2]. Both the client and server must support the ecdsa-sk/ed25519-sk key types. Generate a security key backed key pair with:

			* for ECDSA key
	$ ssh-keygen -t ecdsa-sk		:{{bc\|$ ssh-keygen -t ecdsa-sk}}
			* for Ed25519 key
			:{{bc\|$ ssh-keygen -t ed25519-sk}}

	{{Note\|If you are using a Yubikey, firmware version 5.2.3 is needed for the ed25519-sk key type.}}		{{Note\|If you are using a Yubikey, firmware version 5.2.3 is needed for the ed25519-sk key type.}}

Kusanaginoturugi: /* OpenSSH */ == Data-at-rest encryption with LUKS == を追加

2021-07-20T03:44:46Z

OpenSSH: == Data-at-rest encryption with LUKS == を追加

← 古い版		2021年7月20日 (火) 12:44時点における版
77行目:		77行目:

	{{Note\|If you are using a Yubikey, firmware version 5.2.3 is needed for the ed25519-sk key type.}}		{{Note\|If you are using a Yubikey, firmware version 5.2.3 is needed for the ed25519-sk key type.}}

			== Data-at-rest encryption with LUKS ==

			Since version 248, [[systemd]] can be use to unlock a [[Dm-crypt/Encrypting an entire system\|LUKS partition]] using a FIDO2 key.

			First, you will need to setup your {{ic\|/etc/crypttab}} file, or customize your {{ic\|initramfs}} if you wish to unlock your root partition. The full procedure is similar to the use of a TPM chip for unlocking. See [[Trusted Platform Module#systemd-cryptenroll]].

			To register the key, you will need to use the ''systemd-cryptenroll'' utility. First, run the following command to list your detected keys:

			$ systemd-cryptenroll --fido2-device=list

			Then you can register the key in a LUKS slot, specifying the path to the FIDO2 device, or using the {{ic\|auto}} value :

			$ systemd-cryptenroll --fido2-device=/path/to/fido2_device /dev/sdX

Kusanaginoturugi: /* Troubleshooting */ 翻訳

2021-07-19T01:57:31Z

Troubleshooting: 翻訳

← 古い版		2021年7月19日 (月) 10:57時点における版
66行目:		66行目:
	上で説明したように、他のサービスに対しても PAM モジュールを有効にします。例えば、[[Cinnamon]] のスクリーンセーバーを保護するには、{{ic\|/etc/pam.d/cinnamon-screensaver}} を編集します。		上で説明したように、他のサービスに対しても PAM モジュールを有効にします。例えば、[[Cinnamon]] のスクリーンセーバーを保護するには、{{ic\|/etc/pam.d/cinnamon-screensaver}} を編集します。

			=== トラブルシューティング ===
	=== Troubleshooting ===

			システムから自分自身をロックアウトしてしまった場合は、リカバリーモードまたは USB ペンドライブから起動します。その後、PAM コンフィグの変更を元に戻して再起動します。
	If you managed to lock yourself out of the system, boot into recovery mode or from a USB pen drive. Then revert the changes in the PAM config and reboot.

	== OpenSSH ==		== OpenSSH ==

Kusanaginoturugi: /* Other authentication methods */ 翻訳

2021-07-18T10:22:47Z

Other authentication methods: 翻訳

← 古い版		2021年7月18日 (日) 19:22時点における版
62行目:		62行目:
	{{Note\|この方法は暗号化されたホームパーティションでは動作しません。なぜなら、ログインプロセスが完了する前に復号化が行われず、{{ic\|u2f_keys}} ファイルが利用できないからです。この場合、[https://developers.yubico.com/pam-u2f/ official documentation of pam-u2f] で説明されているように、セントラルマッピングファイルを使用してください。}}		{{Note\|この方法は暗号化されたホームパーティションでは動作しません。なぜなら、ログインプロセスが完了する前に復号化が行われず、{{ic\|u2f_keys}} ファイルが利用できないからです。この場合、[https://developers.yubico.com/pam-u2f/ official documentation of pam-u2f] で説明されているように、セントラルマッピングファイルを使用してください。}}

	=== ~~Other authentication methods~~ ===		=== その他の認証方法 ===

			上で説明したように、他のサービスに対しても PAM モジュールを有効にします。例えば、[[Cinnamon]] のスクリーンセーバーを保護するには、{{ic\|/etc/pam.d/cinnamon-screensaver}} を編集します。
	Enable the PAM module for other services like explained above. For example, to secure the screensaver of [[Cinnamon]], edit {{ic\|/etc/pam.d/cinnamon-screensaver}}.

	=== Troubleshooting ===		=== Troubleshooting ===

Universal 2nd Factor - 版の履歴

Kgx: /* ​LUKS を使用した保存データの暗号化 */ 非ルートパーティションを翻訳して追加

Kusanaginoturugi: /* OpenSSH */ キーペアを鍵ペアに変更

Kusanaginoturugi: /* ​LUKS を使用した保存データの暗号化 */ リンクを修正

Kusanaginoturugi: /* Data-at-rest encryption with LUKS */ 翻訳

Kusanaginoturugi: /* OpenSSH */

Kusanaginoturugi: /* OpenSSH */

Kusanaginoturugi: /* OpenSSH */

Kusanaginoturugi: /* OpenSSH */ == Data-at-rest encryption with LUKS == を追加

Kusanaginoturugi: /* Troubleshooting */ 翻訳

Kusanaginoturugi: /* Other authentication methods */ 翻訳

Kgx: /* LUKS を使用した保存データの暗号化 */ 非ルートパーティションを翻訳して追加

Kusanaginoturugi: /* LUKS を使用した保存データの暗号化 */ リンクを修正