dacsgrid – Online in der Cloud

PROGRAMM:

NAME/FUNKTION

dacsgrid – Grid-basierte Einmalpasswörter verwalten

ZUSAMMENFASSUNG

dacsgrid [dacsoptionen[1]] [-Herausforderung] [-clen num] [-Kopieren vfs_uri]
[-dez Zeichen] [-löschen] [-deaktivieren] [-aktivieren] [-enc challenges] [-abgelaufen]
[-eben] [-get] [-Gitter str] [-h | -Hilfe] [-html] [-htmlcss]
[-inkeys Gegenstandsart] [-Lebenszeit ntage] [-Liste] [-langes] [-ncols num]
[-neigt num] [-outkeys Gegenstandsart] [-Pin [num]] [-refresh] [-rnd] [-Samen str]
[-Serie] [-einstellen] [-Größe] [-Test] [-Text] [-bestätigen challenges Antwort]
[-vfs vfs_uri]

BESCHREIBUNG

Dieses Programm ist Teil des DACS Suite.

Die dacsgrid Das Dienstprogramm bietet softwarebasierte Einmalkennwörter für DACS Beglaubigung
unter Verwendung einer Challenge-Response-Architektur. Es verwaltet Konten, die von verwendet werden
local_grid_authenticate[2] Authentifizierungsmodul. Diese Konten sind völlig getrennt
aus den Konten, die von verwendet werden local_passwd_authenticate[3] oder irgendein anderes DACS Beglaubigung
Modul.

dacsgrid erzeugt ein rechteckiges Gitter aus Zellen. Jede Zelle besteht aus einem Buchstaben, gefolgt von
durch eine Ziffer, gefolgt von einem Buchstaben, was 6,760 (26*10*26) mögliche Längen von drei Zeichen ergibt
Saiten. Der Inhalt jeder Zelle wird kryptografisch stark generiert
pseudozufällige Bytes. Die maximale Rastergröße beträgt 99 Zeilen mal 26 Spalten und die minimale Rastergröße
Die Größe beträgt 3 x 3. Die Spalten sind mit A bis Z und die Zeilen mit 1 bis beschriftet
99. Bei den empfohlenen Rastergrößen ist es sehr wahrscheinlich, dass jedes generierte Raster dies auch tut
einzigartig und daher wird jedem Benutzer ein anderes Raster zugewiesen.

Hier ist ein 10x10-Raster (die Standardgröße):

ABCDEFGHIJ
1 x7m p7m k4c q9s q2k d9l s5m r8c y3v g2m
2 o0c t6h q7k l3w p8a q3e b9c l0w z8y c8v
3 v8n n1w r6i i0g e9y q1n p0g g9v x4y c5u
4 z8a o9d l1e e8n u8z h3y p2s b9z c6w d5f
5 x8y o2a y4g d9i s4p c9n c1e m5z o6j m0f
6 p2s x4c a2x p4f w7y b8k e6c q9g q5v s4z
7 b8k r4s r2p z5x v3e s0h h5l z6y e9o g6m
8 r5x m4r a1w f8c f5g l2z q7j r4m w0c x9a
9 p7s r3g i7c p8a t5x c4h h0k k9d i7k r9n
10 w4l v0a p9g i0l v2n b8h v9j s0y r3k v0m

Serial: 2497a62a83ad4bc4
Erstellt: Montag, 14. August 10:25:03 2006 PDT

Eine Zelle wird durch ihre Spaltenbezeichnung (ein Buchstabe) identifiziert, gefolgt von ihrer Zeilenbezeichnung (einer Zahl);
Beispielsweise hat Zelle F6 im obigen Beispiel den Wert b8k.

Jedem Gitter wird eine zufällige (und vermutlich eindeutige) Identifikationszeichenfolge (beschriftet) zugewiesen
„Seriell“ im Beispiel oben); Diese Zeichenfolge wird mit einem anderen Raster auf dem Server gespeichert
Kontodaten. Es kann von einer Gerichtsbarkeit zum Zeitpunkt der Anmeldung angezeigt werden
sich gegenüber einem Benutzer authentifizieren, sofern dies vertraulich behandelt wird (ein Ansatz könnte sein).
für jede der Parteien, eine andere Hälfte der Identifikationszeichenfolge an die zu liefern
Sonstiges).

Zum Zeitpunkt der Authentifizierung wird dem Benutzer eine zufällig generierte Herausforderung präsentiert
passend zum Raster des Benutzers. Die Herausforderung wird dem Benutzer angezeigt; z. B. „A3, C9,
B1, F9". Möglicherweise wird auch die Seriennummer des Rasters oder ein Teil davon angezeigt. Der Benutzer
muss sein Raster konsultieren, um jede der Zellen für die jeweilige Herausforderung zu finden und diese einzugeben
Inhalt als Passwort. Bei Buchstaben wird die Groß-/Kleinschreibung nicht beachtet, bei Leerzeichen, Tabulatoren und Kommas schon
ignoriert. Für das obige Raster und die Herausforderung würde der Benutzer die folgenden Zeichen eingeben
als Passwort:

v8ni7cp7mc4h

Beachten Sie, dass eine Challenge möglicherweise mehr als einmal nach derselben Zelle fragt.

Eine Challenge ist für einen konfigurierbaren Zeitraum gültig, danach kann sie nicht mehr gültig sein
zur Authentifizierung verwendet; sehen AUTH_GRID_CHALLENGE_SECS[4].

Um zu beurteilen, wie lange eine Herausforderung dauern sollte, gehen Sie davon aus, dass vom Benutzer ausgewählte Passwörter ausgewählt werden
zufällig und gleichmäßig aus ca. 100 auf einer Tastatur verfügbaren Zeichen. Das ist
eine sehr großzügige Annahme, die in der Praxis selten verwirklicht wird. Eine Grid-Challenge von vier
Zellen ist viel sicherer als ein vom Benutzer ausgewähltes Passwort mit sechs Zeichen (69604 vs. 1006)
und eine Rasterherausforderung von fünf Zellen ist viel stärker als ein vom Benutzer ausgewähltes Passwort von neun
Zeichen (69605 vs. 1009). Im Vergleich zu typischen Benutzerpasswörtern ergibt sich jedoch ein Raster
Die Herausforderung von drei Zellen ist wahrscheinlich ungefähr so ​​stark wie ein vom Benutzer gewähltes Passwort von sieben oder
acht Zeichen.

Der Zugriff auf Gitter erfolgt über DACs Virtueller Dateispeicher mit Elementtyp auth_grid. Es ist
Es wird davon ausgegangen, dass die Dateiberechtigungen für die Grid-Datenbank so sind, dass der gesamte Zugriff eingeschränkt ist
an den Administrator und local_grid_authenticate.

Nach einem zur Laufzeit konfigurierbaren Zeitraum läuft ein Raster ab und wird nicht mehr akzeptiert
Authentifizierungszwecke durch local_grid_authenticate (sehen AUTH_GRID_LIFETIME_SECS[5]) bzw
dacsgrid (sehen -Lebenszeit). Die Gültigkeitsdauer eines Rasters kann auf mehreren Faktoren basieren:
B. wie oft es in einer Gerichtsbarkeit verwendet wird, die Anzahl der Zellen im Raster usw
Welcher Grad an Sicherheit ist erforderlich oder wie schwierig oder teuer es ist, ein Netz zu verteilen
sein Benutzer.

Wenn ein Raster erstellt wird, dacsgrid kann damit eine zufällig gewählte PIN verknüpfen. A
Die PIN, die als sekundäres Passwort fungiert, besteht aus einer Buchstaben-Ziffer-Buchstaben-Folge
Zellen. Die standardmäßige PIN-Länge von zwei Zellen (6 Zeichen) kann im Befehl überschrieben werden
Linie. Wenn einem Benutzer eine PIN zur Verfügung gestellt wurde, sollte diese zu Beginn des eingegeben werden
Die Antwort des Benutzers auf die Herausforderung, unmittelbar vor dem Inhalt der ersten Zelle der
Herausforderung eingegeben werden.

Sicherheit
Bei richtiger Anwendung kann diese Authentifizierungsmethode vergleichsweise sicher sein. Das Wichtigste
Die Herausforderung besteht darin, dass es wichtig ist, dass Raster und PINs über a an die Benutzer verteilt werden
ausreichend sichere Methode; z. B. indem Sie sie ausdrucken und als Ausdruck direkt an senden
des Benutzers oder durch Nutzung bestehender sicherer Kanäle. Jeder Benutzer muss verstehen, dass es sich um ein Raster handelt
handelt es sich im Wesentlichen um eine Liste von Passwörtern, die dementsprechend geheim gehalten werden müssen
Gültigkeitszeitraum. Wenn PINs verwendet werden, müssen diese über einen sicheren Kanal verteilt werden
unterscheidet sich von dem, der zum Verteilen von Gittern verwendet wird. Wie diese Verteilung erfolgt, bleibt übrig
zu den DACS Administrator.

Informationen werden verschlüsselt, bevor sie in die Grid-Kontodatei geschrieben werden. Standardmäßig,
Der virtuelle Dateispeicherelementtyp auth_grid_keys identifiziert die zu verwendenden Verschlüsselungsschlüssel.
die -inkeys und -outkeys Flags geben Alternativen an (siehe dacskey(1)[6]). Datei
Berechtigungen müssen so festgelegt werden, dass die Verschlüsselungsschlüssel nur von gelesen werden können dacsgrid. Wenn
die Verschlüsselungsschlüssel gehen verloren, die Kontoeinträge sind praktisch nicht wiederherstellbar.

Nur der DACS Der Administrator sollte in der Lage sein, dieses Programm erfolgreich auszuführen
Befehlszeile. Weil DACS Schlüssel und Konfigurationsdateien, einschließlich der dazu verwendeten Datei
Store-Konten müssen auf den Administrator beschränkt sein, normalerweise ist dies der
In diesem Fall wird ein sorgfältiger Administrator die Dateiberechtigungen jedoch so festlegen, dass allen der Zugriff verweigert wird
andere Benutzer.

Diese Authentifizierungsmethode bietet folgende Vorteile:

· Jedes Mal, wenn sich ein Benutzer authentifiziert, wird ein anderes Passwort angefordert (mit hoch
Wahrscheinlichkeit)

· Das erforderliche Passwort ist vor der Authentifizierung nicht bekannt, sodass ein Benutzer dies nicht tun kann
Teilen Sie jemand anderem sein Passwort mit, außer indem Sie das gesamte Raster (und die
PIN, falls vorhanden)

· Da das Passwort wahrscheinlich kein leicht zu erratendes Wort oder eine leicht zu erratende Phrase ist, sollte es so sein
stärker als ein vom Benutzer ausgewähltes Passwort

· Sollte ein Key-Sniffer auf dem Computer des Benutzers installiert sein, ist dies bei einem erschnüffelten Passwort nicht der Fall
einem Angreifer nichts nützen, da es höchst unwahrscheinlich ist, dass es wiederverwendet wird. Wenn die
Eine entsprechende Herausforderung kann auch von einem Angreifer erhalten werden, beispielsweise durch a
Bei einem Phishing-Angriff wird ein Teil des Rasters offengelegt

· Die Länge der Challenge (die die Länge des Passworts bestimmt) beträgt
vom Administrator konfigurierbar und nach Belieben änderbar

· Das Raster eines Benutzers kann von einem Administrator so oft wie möglich geändert werden

· Die Methode ist bei Verbreitung günstiger als hardwarebasierte Einmalpasswörter
Kosten sind gering

Diese Authentifizierungsmethode hat die folgenden potenziellen Nachteile:

· Die Authentifizierungsmethode ist von Natur aus interaktiv, da das Passwort nicht bekannt ist
a priori, obwohl dies keine Garantie dafür ist, dass der Benutzer physisch anwesend ist

· Für die Verteilung von Rastern und PINs sind sichere Kanäle erforderlich

· Ein Authentifizierungsraster kann leicht kopiert werden und wird daher am besten in Verbindung mit verwendet
PINs oder mindestens eine andere Authentifizierungsmethode; die Herausforderung, Raster zu halten
Geheimnis in allen Situationen ist der Hauptgrund, warum die Methode nicht so stark ist wie
Hardware-Token-basierte Methoden, die schwieriger zu kopieren sind und durch die geschützt werden können
eine PIN. Die Methode eignet sich am besten für Situationen, in denen ein Gitter wahrscheinlich nicht vorhanden ist
gestohlen, leicht kopiert oder sogar erkannt werden, beispielsweise für den Fernzugriff.

Diese Authentifizierungsmethode liegt irgendwo zwischen der Form „etwas, das Sie wissen“ und der
Form „etwas, das du hast“. Man könnte sich vielleicht ein kleineres Raster merken, indem man es einfügt
Die erstere Kategorie ist die erste, aber nur wenige sind in der Lage, sich ein großes Raster zu merken, was es ausmacht
notwendig, eine Kopie im Besitz zu haben. Die Verwendung von PINs bietet etwas Näheres
Zwei-Faktor-Authentifizierung und stärkt die Methode, da ein erfasstes Raster nicht direkt ist
verwendbar.

Hinweis
Es ist möglich, dass verschiedenen Benutzern unterschiedlich große Raster zugewiesen werden. Verhindern
Erzeugung einer Herausforderung, die unmöglich zu erfüllen ist, wenn die Herausforderung besteht
Auf Wunsch muss entweder das entsprechende Raster die Standardgröße haben, die Abmessungen von
Das Raster muss angegeben werden, oder der Benutzername muss angegeben werden.

OPTIONAL

Zusätzlich zum Standard dacsoptionen[1], die folgenden Befehlszeilen-Flags sind
anerkannt:

-Herausforderung
Senden Sie eine zufällige Herausforderung. Wenn Benutzername Vorgegeben wurde, dass eine größengerechte Herausforderung erfolgen soll
produziert werden; andernfalls, wenn Rastermaße vorgegeben wurden, eine passende Herausforderung
es wird hergestellt; andernfalls werden bei der Erstellung eines die Standardrasterabmessungen verwendet
Herausforderung.

-clen num
Stellen Sie die Herausforderungslänge auf ein num Zellen. Die Mindestlänge beträgt 3 Zellen und der Standardwert
Die Länge beträgt 4 Zellen.

-Kopieren vfs_uri
Kopieren Sie die Eingabegitter in die von angegebenen Gitter vfs_uri, wobei alle vorhandenen gelöscht werden
Inhalt.

-dez Zeichen
Entschlüsseln Sie einen vom erstellten Challenge-Token -enc Option auswählen und ausdrucken.

-löschen
Löschen Sie das Konto für Benutzername.

-deaktivieren
Anmeldungen deaktivieren für Benutzername. Impliziert -einstellen.

-aktivieren
Anmeldungen aktivieren für Benutzername. Impliziert -einstellen.

-enc challenges
Verschlüsseln Sie eine Herausforderung (normalerweise erstellt von -Herausforderung Option) und drucken Sie es aus. Der
Zu diesem Zweck wird der Elementtyp federation_keys verwendet, was bedeutet, dass jede Gerichtsbarkeit
in der Föderation kann die Herausforderung entschlüsseln.

-abgelaufen
Listen Sie nur abgelaufene Grids im Verhältnis zur gültigen Grid-Lebensdauer auf. Impliziert -Liste.

-eben
Drucken Sie ein Raster in einer prägnanten Textdarstellung, die aus drei besteht
Durch Kommas getrennte Felder: die Seriennummer, aktiviert/deaktiviert-Flag (nicht Null bedeutet).
aktiviert), das Raster (als geordnete Folge von durch Leerzeichen getrennten Zeilen), eine PIN (oder Null, wenn
(es gibt keine PIN) und das Erstellungsdatum (als Anzahl der Sekunden seit der Epoche).

-get
Rufen Sie das Raster ab für Benutzername und machen Sie es für Anzeigezwecke zum „aktuellen“ Raster.

-Gitter str
Marke str, ein Raster in der abgeflachten Darstellung, das „aktuelle“ Raster für die Anzeige
Zwecke oder die -einstellen Flagge.

-h
-Hilfe
Eine Hilfemeldung anzeigen und beenden.

-html
Geben Sie ein Raster als Fragment eines HTML-Dokuments aus.

-htmlcss
Geben Sie mit etwas CSS ein Raster als Fragment eines HTML-Dokuments aus.

-inkeys Gegenstandsart
Verwenden Sie zum Entschlüsseln von Kontoinformationen den durch gekennzeichneten Store Gegenstandsart.

-Lebenszeit ntage
Berücksichtigen Sie die Lebensdauer von Netzen ntage Tage. Gitter haben keine feste Lebensdauer;
Es wird nur das Erstellungsdatum erfasst. Die Standardlebensdauer beträgt 7 Tage.

-Liste
Liste Benutzername, falls angegeben, ansonsten alle Benutzernamen.

-langes
Erstellen Sie eine detailliertere Listenausgabe. Impliziert -Liste.

-ncols num
Stellen Sie die Anzahl der Rasterspalten auf ein num, der zwischen 3 und 26 liegt. Dies wird verwendet, wenn
Raster und Herausforderungen erzeugen.

-neigt num
Stellen Sie die Anzahl der Rasterzeilen auf ein num, der zwischen 3 und 99 liegt. Dies wird verwendet, wenn
Raster und Herausforderungen erzeugen.

-outkeys Gegenstandsart
Verwenden Sie zum Verschlüsseln von Kontoinformationen den durch gekennzeichneten Speicher Gegenstandsart.

-Pin[num]
Wenn kein anderer Vorgang angegeben ist, drucken Sie die PIN aus, falls vorhanden, z Benutzername. Mit dem -einstellen
Flag, generieren Sie eine neue PIN für Benutzername. Wenn eine nicht negative ganze Zahl angehängt wird
Flagge (z. B. -pin0, -pin4), wird die PIN-Länge (in Zelleinheiten) auf diese Zahl mit eingestellt
bezüglich der PIN-Generierung. Die Standard-PIN-Länge beträgt 2 Zellen. Festlegen der PIN-Länge
auf Null schaltet die PIN-Generierung aus.

-refresh
Sollten Sie jetzt aufgefordert werden, ein Benutzername gegeben ist, generieren Sie ein neues Raster für diesen Benutzer. Wenn nein Benutzername gegeben ist,
Generieren Sie ein neues Raster für jeden Benutzer, der bereits über ein Raster verfügt. Jedes vorhandene Raster
wird sofort ungültig. Alle diese Gitter haben die gleichen Abmessungen. Wenn die
-Gitter Flag angegeben ist, wird es ignoriert. Standardmäßig bleibt eine eventuell vorhandene PIN erhalten. Das alte
Der aktivierte/deaktivierte Status des Netzes bleibt erhalten. Wenn die -Pin Wenn das Flag angegeben ist, wird eine neue PIN vergeben
erzeugt werden; Wenn -pin0 gegeben ist, wird es bei neuen Netzen jedoch keine PIN geben.

-rnd
Reserviert für zukünftige Verwendung.

-Samen str
Reserviert für zukünftige Verwendung.

-Serie
Drucken Sie die Seriennummer des aktuellen Rasters aus.

-einstellen
Stellen Sie das Gitter ein oder ersetzen Sie es Benutzername.

-Größe
Zeigen Sie die Rasterabmessungen anhand der Befehlszeilenflags an -ncols und -neigt.
Impliziert -Liste.

-Test
Senden Sie ein Raster und eine Herausforderung, fordern Sie eine Antwort auf und überprüfen Sie die Antwort.

-Text
Geben Sie ein hübsch gedrucktes Gitter aus.

-bestätigen challenges Antwort
Bestätigen Antwort gegen challenges.

-vfs vfs_uri
Anstatt den Elementtyp auth_grid zu verwenden, um anzugeben, auf welche Raster reagiert werden soll, verwenden Sie vfs_uri
(Siehe VFS[7] Konfigurationsanweisung).

Die Standardaktion besteht darin, das aktuelle Raster anzuzeigen. Abgesehen von Fehlermeldungen, die sind
Wird mit der Standardfehlerausgabe gedruckt, erfolgt die gesamte Ausgabe auf der Standardausgabe.

Normalerweise, a dacsoption wird angegeben, um die Gerichtsbarkeit auszuwählen, in deren Namen
Es entstehen Raster.

Beispiele:

In diesen Beispielen wird davon ausgegangen, dass der zu verwendende Jurisdiktionsname EXAMPLE und die Domäne EXAMPLE lautet
beispiel.com.

Um diese Authentifizierungsmethode zu verwenden, a DACS Der Administrator würde die folgenden Schritte ausführen:

· Nachdem Sie die Funktionsweise der Methode überprüft haben, entscheiden Sie, wie sicher die Netze sein sollen
an Benutzer verteilen, die Rasterparameter auswählen, entscheiden, ob PINs verwendet werden und
wie sie sicher verteilt werden, und legen Sie einen Zeitplan für die Aktualisierung von Rastern fest
(und vielleicht PINs).

· Entscheiden Sie, wo die Raster gespeichert werden sollen, und fügen Sie dacs.conf eine geeignete VFS-Anweisung hinzu.
beispielsweise:

VFS „[auth_grid]dacs-kwv-fs:${Conf::FEDERATIONS_ROOT}/\
${Conf::FEDERATION_DOMAIN}/${Conf::JURISDICTION_NAME}/grids"

· Generieren Sie Schlüssel, entscheiden Sie, wo sie gespeichert werden, und fügen Sie eine geeignete VFS-Anweisung hinzu
dacs.conf, zum Beispiel (Ihre Benutzer-ID, Gruppen-ID und Ihr Pfad können variieren):

% cd /usr/local/dacs/federations_root/example.com/EXAMPLE
% dacskey -uj BEISPIEL -q auth_grid_keys
% chgrp www auth_grid_keys
% chmod 0640 auth_grid_keys

VFS „[auth_grid_keys]dacs-fs:${Conf::FEDERATIONS_ROOT}/\
${Conf::FEDERATION_DOMAIN}/${Conf::JURISDICTION_NAME}/auth_grid_keys"

· Konfigurieren Sie eine geeignete Auth-Klausel in dacs.conf, zum Beispiel:


URL „https://example.com/cgi-bin/dacs/local_grid_authenticate“
STIL „pass“
STEUERUNG „ausreichend“


· Für jeden Benutzer, der sich mit dieser Methode authentifizieren kann: a) Generieren Sie eine
Raster mit den erforderlichen Abmessungen, mit oder ohne PIN (je nach Bedarf); b) erhalten Sie die
Raster im am besten geeigneten Format und geben Sie es seinem Besitzer; und c) wenn eine PIN vorhanden ist,
Holen Sie sich die PIN und geben Sie sie ihrem Besitzer.

· Aktualisieren Sie das Raster (und optional die PIN) wie geplant und geben Sie dem Benutzer die
Ersatzgitter.

So erstellen und zeigen Sie ein Raster an (jedoch kein Konto):

% dacsgrid -uj BEISPIEL

Um ein Raster mit Standardabmessungen zu erstellen und es dem Benutzernamen bobo zuzuweisen (ersetzt einen beliebigen
vorhandenes Raster für diesen Benutzer):

% dacsgrid -uj BEISPIEL -set bobo

So erstellen Sie ein 6x6-Raster und weisen es dem Benutzernamen bobo zu (wodurch ein vorhandenes Raster ersetzt wird):

% dacsgrid -uj BEISPIEL -nrows 6 -ncols 6 -set bobo

So rufen Sie ein Raster (als HTML) für den Benutzernamen bobo ab und drucken es aus:

% dacsgrid -uj BEISPIEL -get -html bobo

So zeigen Sie die PIN für den Benutzernamen bobo an:

% dacsgrid -uj BEISPIEL -pin bobo

Der Exit-Status ist ungleich Null, wenn dieser Benutzer kein Raster hat oder wenn das Raster nicht vorhanden ist
eine PIN haben.

So kopieren Sie den aktuellen Rastersatz in die Datei /secure/grids:

% dacsgrid -uj EXAMPLE -copy „dacs-kwv-fs:/secure/grids“

So aktualisieren Sie einen alternativen Satz von Rastern in der Datei /secure/grids:

% dacsgrid -uj EXAMPLE -copy „dacs-kwv-fs:/secure/grids“
% dacsgrid -uj BEISPIEL -vfs "dacs-kwv-fs:/secure/grids" -refresh

Ein Beispiel-Shell-Skript, das eine minimale HTML-Anmeldeseite für die Grid-Authentifizierung generiert
ist in der Ausschüttung enthalten. Dabei wird davon ausgegangen, dass alle Raster die Standardgröße haben.

Wenn verschiedene Benutzer Gitter unterschiedlicher Größe haben können oder wenn eine Gerichtsbarkeit dies wünscht
Zeigen Sie die Seriennummer eines Benutzergitters als Form der Gerichtsauthentifizierung an
Beim Anmeldevorgang muss der Benutzername ermittelt werden, bevor eine Challenge oder Seriennummer erworben werden kann
Anzahl.

Nutzen Sie dacsgrid online über die Dienste von onworks.net