dacstoken: en línea en la nube

PROGRAMA:

NOMBRE

dacstoken: administra contraseñas de un solo uso basadas en hash

SINOPSIS

dactoken [dacsopciones[1]] [-todas] [-base número] [-mostrador número] [-dígitos número]
[-desactivar | -habilitar] [-hotp-ventana número] [-inkeys tipo de artículo]
[[-llave claveval] | [-archivo de clave nombre de archivo] | [-solicitud de tecla]] [-modo modo otp]
[-claves de salida tipo de artículo]
[[Pin- pinval] | [-archivo pin nombre de archivo] | [-indicador de pin]] [-pin-restricciones str]
[-rnd] [-semilla str] [-de serie str] [-totp-delta número] [-totp-deriva ventanas]
[-totp-hash alg]
[-totp-paso de tiempo segundos] [-vfs vfs_uri] [especificación de operación] [nombre de usuario]

DESCRIPCIÓN

Este programa es parte del DACS sucesivamente.

El dactoken administra la utilidad DACS cuentas asociadas con contraseña de un solo uso (OTP)
dispositivos generadoresfichas) o clientes basados ​​en software. Usando opciones de línea de comando, también
calcula los valores de OTP; Los parámetros de la cuenta de token se pueden anular, pero las cuentas ni siquiera son
requerida.

Se puede proporcionar una autenticación sólida de dos factores cuando dacs_authenticate[2] está configurado
utilizar el local_token_authenticate[3] módulo de autenticación o cuando dactoken se usa como
un programa independiente para validar contraseñas. Tanto el modo de contraseña de un solo uso basado en HMAC
(HOTP), basado en un contador de eventos y especificado por RFC 4226[4], y la basada en el tiempo
modo de contraseña de un solo uso (TOTP), según lo especificado por el más reciente IETF Borrador de Internet[5] propuesta,
son compatibles. Adicionales operativos. los modos[6] llamado OCRA (JURAMENTO Respuesta al desafío
Algoritmos), descritos en un borrador de Internet de IETF, aún no son totalmente compatibles.

Note
Esta versión de dactoken incorpora muchos cambios que no son compatibles con versiones anteriores
con la versión 1.4.24ay anterior. Algunas marcas de línea de comando funcionan de manera diferente y
el formato del archivo de la cuenta ha cambiado. Si ha utilizado este comando anteriormente
versiones, haga una copia de seguridad de su archivo de cuenta de token y revise este manual
página cuidadosamente antes de continuar (tenga en cuenta la -convertir bandera [7] en particular).

Importante:
No se requiere software proporcionado por el proveedor por dactoken para suministrar su funcionalidad. El
Los dispositivos actualmente compatibles no necesitan ningún registro o interacción de configuración.
con proveedores y dactoken sí no interactuar vendedores' servidores or utilizan el cualquier
propietario software. Es posible que se requiera software proporcionado por el proveedor para realizar
inicialización o configuración para otros dispositivos token, sin embargo, y dactoken sí
no brindarles ese apoyo.

Cada dispositivo token generalmente corresponde exactamente a una cuenta administrada por
dactoken, aunque algunos proveedores producen tokens que pueden admitir varias cuentas.

Para resumir, esta utilidad:

· Crea y administra DACS cuentas asociadas con cuentas basadas en contador y basadas en tiempo
contraseñas de un solo uso

· Proporciona funcionalidad de validación y prueba

· Proporciona una capacidad de autenticación de línea de comandos

Seguridad
Solo el DACS El administrador debe poder ejecutar con éxito este programa desde el
línea de comando. Porque DACS claves y archivos de configuración, incluido el archivo utilizado para
cuentas de la tienda, debe estar restringido al administrador, normalmente será el
caso, pero un administrador cuidadoso establecerá permisos de archivo para denegar el acceso a todos
otros usuarios

Note
El token_dacs(8)[8] El servicio web proporciona a los usuarios un autoservicio limitado.
funcionalidad para establecer o restablecer el PIN de su cuenta y sincronizar su token. También
tiene un modo de demostración para simplificar las pruebas y la evaluación.

Patas (Cuenta Contraseñas)
A dactoken La cuenta puede tener opcionalmente un PIN (es decir, una contraseña) asociado. A
autenticarse contra dicha cuenta, el usuario debe proporcionar la contraseña de un solo uso producida
por el token y el pin. El TOKEN_REQUIRES_PIN[9] la directiva de configuración determina
si se debe proporcionar un PIN al crear o importar una cuenta; no se aplica en
en conjunción con el -delpin bandera, ya que solo un administrador debe poder realizar
esa función.

Un hash del PIN se almacena en el registro de la cuenta en lugar del PIN en sí. Lo mismo
método utilizado por dacspasswd(1)[10] y contraseña_dacs(8)[11] se aplica, y depende de la
CONTRASEÑA_DIGEST[12] y CONTRASEÑA_SALT_PREFIX[13] Directivas en vigor. Si
CONTRASEÑA_DIGEST[12] está configurado, ese algoritmo se utiliza, de lo contrario, un tiempo de compilación
se utiliza por defecto (SHA1). Si un usuario olvida el PIN, el anterior no se puede recuperar, por lo que
debe eliminarse o debe establecerse uno nuevo.

Algunos dispositivos token tienen una capacidad de PIN incorporada. El usuario debe ingresar un PIN en
el dispositivo antes de que el dispositivo emita una contraseña de un solo uso. Este "PIN de dispositivo" es
completamente distinto del PIN de la cuenta administrado por dactoken, y este manual es
solo preocupado con el dactoken ALFILER. El PIN del dispositivo siempre debe usarse cuando sea posible;
las dactoken Se recomienda encarecidamente el PIN y se requiere para la autenticación de dos factores
(a menos que se aplique un factor de autenticación adicional de alguna otra manera).

Dado que solo el administrador puede ejecutar este comando, no se imponen restricciones
sobre la longitud o la calidad de los PIN que proporciona el administrador; un mensaje de advertencia
Sin embargo, se emitirá si la contraseña se considera débil según lo determinado por el
CONTRASEÑA_RESTRICCIONES[14] Directiva.

Una vez contraseñas
Ambos tipos de dispositivo de contraseña de un solo uso calculan un valor de contraseña mediante el empleo de una contraseña segura.
algoritmo hash con clave (RFC 2104[15], FIP 198[dieciséis]). En el método basado en contador, el dispositivo
y el servidor comparten una clave secreta y un valor de contador que se codifican para producir un valor numérico
valor mostrado en una determinada base con un cierto número de dígitos. Exitoso
La autenticación requiere que el dispositivo y el servidor calculen contraseñas coincidentes. Cada vez que el
dispositivo produce una contraseña, incrementa su contador. Cuando el servidor recibe una coincidencia
contraseña, incrementa su contador. Porque es posible que los dos contadores se conviertan en
Sin sincronizar, el algoritmo de coincidencia del servidor normalmente permitirá la contraseña de un cliente.
caer dentro de una "ventana" de valores de contador. El método basado en el tiempo es similar, el principal
la diferencia es que el tiempo actual de Unix (como lo devuelve equipo(3)[17], por ejemplo) es
se utiliza para establecer una "ventana de intervalo de tiempo" que sirve como valor de contador en el cálculo
del hash seguro. Debido a que los relojes en tiempo real en el dispositivo y el servidor pueden no ser
suficientemente sincronizado, el algoritmo de coincidencia del servidor también debe permitir que un cliente
contraseña para que se encuentre dentro de un cierto número de ventanas de tiempo para estos dispositivos.

Seguridad
A un token se le puede asignar una clave secreta permanente (a veces llamada semilla OTP) por su
fabricante o la llave puede ser programable. Esta clave secreta es utilizada por el token
procedimiento de generación de contraseña y es fundamental que se mantenga privada. Si el token
no es programable, la clave se obtiene del proveedor (para un token HOTP, normalmente
proporcionando el número de serie del dispositivo y tres contraseñas consecutivas). Un registro
de cada mapeo del número de serie a la clave secreta debe mantenerse en un lugar seguro.

Si la clave secreta es programable, como es probable que suceda con un cliente de software, es
requerido para ser al menos 128 bits de longitud; un mínimo de 160 los bits es recomendado. La
La clave está representada por una cadena hexadecimal de 16 (o más) caracteres. La clave debe
se puede obtener de una fuente de bits aleatorios con calidad criptográfica. Algunos clientes pueden ser
capaz de generar una clave adecuada, pero puede utilizar dacexpr(1)[18]:

% dacsexpr -e "aleatorio (cadena, 20)"
"bb2504780e8075a49bd88891b228fc7216ac18d9"

Consejo
Los tokens se pueden utilizar para fines de autenticación distintos al inicio de sesión en la computadora. Para
Por ejemplo, al proporcionar un número de cuenta, PIN y valor de token, los clientes pueden rápidamente
ser autenticado por teléfono, reduciendo o eliminando la necesidad de costosos y
preguntas de seguridad que requieren mucho tiempo.

Los dispositivos y aplicaciones de contraseña de un solo uso tienen los siguientes parámetros operativos.
Estos parámetros determinan la secuencia de contraseña que se genera. Algunos operativos
Los parámetros pueden ser fijos (por el estándar relevante o debido a la implementación), mientras
otros pueden ser configurables total o parcialmente por el usuario. por favor refiérase a
referencias y documentación del fabricante para obtener más detalles.

bases
La base en la que se muestran las contraseñas.

mostrador
Solo para el modo HOTP, el valor actual del contador.

dígitos
La cantidad de dígitos en cada contraseña de un solo uso.

clave
La clave secreta (semilla OTP).

número de serie
Un identificador o nombre único para el dispositivo.

tamaño del paso de tiempo
Solo para el modo TOTP, el ancho de cada intervalo de tiempo, en segundos. La misma contraseña
se generará dentro de un intervalo dado; es decir, esta es la "vida" o validez
período de cada contraseña TOTP.

Además de estos parámetros, dactoken emplea varios por cuenta (es decir, por dispositivo)
parámetros:

aceptar ventana
Al validar una contraseña HOTP, el número máximo de contraseñas a considerar después de la
contraseña esperada.

deriva
Solo para el modo TOTP, la cantidad de segundos en los que se ajusta el reloj del servidor
hacia adelante o hacia atrás para sincronizarlo mejor con el dispositivo. Esto se usa para
compensar tokens o software cliente cuyos relojes no estén bien sincronizados con
del servidor.

ventana de deriva
Solo para el modo TOTP, pero de forma análoga a la ventana de aceptación, el número máximo de
Intervalos (cada uno del tamaño del paso de tiempo) para buscar hacia adelante y hacia atrás al validar
contra una contraseña determinada.

sincronización-otps
Solo para el modo HOTP, el número de contraseñas únicas consecutivas necesarias para
sincronizar la cuenta con el dispositivo.

nombre de usuario
El nombre de la DACS cuenta vinculada al dispositivo.

La autenticación basada en dispositivos con contraseña de un solo uso tiene las siguientes ventajas:

· Cada vez que un usuario se autentica, se generará una contraseña diferente (con alta
probabilidad); por lo tanto, los usuarios no pueden anotar "la contraseña" porque la contraseña es
siempre cambiando; los usuarios no pueden olvidar su contraseña;

· Una vez utilizada, una contraseña de modo HOTP se "consume" inmediatamente y es poco probable que se utilice
de nuevo durante mucho tiempo; con los parámetros de configuración adecuados, una contraseña de modo TOTP
automáticamente "expira" en un intervalo de tiempo relativamente corto y es poco probable que sea
utilizado de nuevo durante mucho tiempo;

· Si no se requiere corrección para la desviación del reloj, una cuenta en modo TOTP puede tener solo lectura
operación

· Dado que es poco probable que la contraseña sea un número o una cadena de fácil adivinación, debe
ser más fuerte que la mayoría de las contraseñas seleccionadas por el usuario;

· Un token HOTP puede ser la base de un método de autenticación mutuo ("bidireccional"); el
El servidor muestra al usuario la siguiente contraseña de su token para confirmar su identidad (con ambos
partes avanzando sus contadores), luego el cliente muestra al servidor la siguiente contraseña
para confirmar su identidad;

· Si se instala un rastreador de claves en la computadora del usuario, una contraseña rastreada no
hacer un bien a un atacante a menos que un Hombre en el medio atacar[19] es posible; dado N
contraseñas consecutivas sigue siendo muy difícil calcular la contraseña N + 1 sin
conocer la clave secreta;

· Es más difícil para los usuarios compartir una cuenta (aunque a veces los usuarios pueden
vea esto como un inconveniente);

· Si un dactoken El PIN se asigna a una cuenta y un atacante obtiene el
token, todavía es difícil para el atacante autenticarse sin conocer el PIN;

· Una forma rápida e inmediata de deshabilitar una cuenta es simplemente tomando una
token de hardware (por ejemplo, si un empleado es despedido), aunque una cuenta puede ser deshabilitada por
este programa o usando el revocación lista[20]

· En el caso de un cliente de software que se ejecuta en un dispositivo móvil, como un teléfono o PDA,
los usuarios ya llevan el dispositivo consigo; los clientes gratuitos están disponibles, por lo que
puede no tener un costo adicional (tenga en cuenta que los dispositivos móviles pueden no ofrecer el mismo
resistencia a la manipulación, durabilidad, secreto de la clave, precisión del reloj, etc. de un token de hardware).

Los dispositivos de contraseña de un solo uso tienen las siguientes desventajas potenciales:

· Existe un gasto único por un token de hardware (según el volumen de compra,
puede esperar pagar $ 10- $ 100 USD cada uno), y existe la posibilidad de tener que
reemplazar una ficha perdida o rota, o la batería de una ficha (algunas unidades tienen un
batería no reemplazable, que las hace desechables después de algunos años);

· La configuración inicial es algo más difícil que con otra autenticación
métodos, y los usuarios que no estén familiarizados con los dispositivos deberán ser instruidos sobre sus
utilizar;

· Aunque suelen ser bastante pequeños (por ejemplo, 5 cm x 2 cm x 1 cm) y se pueden unir a
un llavero o cordón, o guardado en una billetera, los usuarios pueden hacer una mueca de tener que llevar un token
alrededor con ellos;

· Los usuarios pueden olvidarse de tener su token con ellos o perder el token;

· Un dispositivo móvil (con un cliente de software) es probablemente un objetivo probable de robo, más
más que un token de hardware (de ahí la importancia adicional de un PIN para este dispositivo);

· A diferencia de un token de hardware en el que la clave se graba en forma inaccesible, a prueba de manipulaciones
memoria, la clave configurada en un cliente de software probablemente sea legible por su
propietario, haciendo posible compartir la cuenta;

· Ingresar un valor inicial de 40 caracteres o más en un dispositivo móvil puede ser frustrante
y propenso al error;

· Una vez que un dispositivo TOTP genera una contraseña, no se puede generar una nueva hasta que
siguiente ventana de paso de tiempo, que requiere que el usuario espere 30 (o posiblemente 60) segundos (por ejemplo,
si se comete un error de entrada);

· Algunos dispositivos son difíciles de leer en condiciones de poca luz; usuarios de presbicia y aquellos
con problemas de visión puede tener dificultades para leer la pantalla.

Cuentas
Las cuentas gestionadas por dactoken son completamente independientes de las cuentas utilizadas por
local_passwd_authenticate[21] o cualquier otro DACS módulo de autenticación.

Las cuentas de los dispositivos HOTP y TOTP pueden combinarse o mantenerse separadas. Si el virtual
El tipo de elemento del almacén de archivos auth_hotp_token está definido, solo se usa para cuentas asociadas
con tokens HOTP. Del mismo modo, si el tipo de elemento del almacén de archivos virtual auth_totp_token es
definido, solo se utiliza para cuentas asociadas con tokens TOTP. Si cualquiera de los tipos de elementos es
no definido, se accede a las cuentas a través de DACS almacén de archivos virtual usando el tipo de elemento
auth_token. Se asume que los permisos de archivo en las bases de datos de la cuenta son tales que todos
el acceso está limitado al administrador y local_token_authenticate.

Si las cuentas de los dos tipos de dispositivos combinado, porque cada nombre de usuario de un
El método de autenticación debe ser único, si una persona tiene ambos tipos de token, debe
que se le asignen diferentes nombres de usuario. Entonces, por ejemplo, si Auggie tiene un token HOTP y uno
Token TOTP, el primero podría corresponder al nombre de usuario auggie-hotp y el segundo a
auggie-totp; el formulario de inicio de sesión podría incluir una entrada en modo de dispositivo que permitiría a Auggie
para simplemente escribir "auggie" en el campo de nombre de usuario y JavaScript para agregar automáticamente el
sufijo apropiado basado en el modo de dispositivo seleccionado. Una desventaja obvia de esto
configuración es que da como resultado dos DACS identidades para el mismo individuo;
esto debería recordarse si se necesitara una regla de control de acceso para identificar a Auggie
explícitamente. Si ambos tokens deben asignarse al mismo DACS identidad, la cláusula Auth podría
quitar el sufijo después de la autenticación exitosa, pero el administrador entonces
Debe tener cuidado con el caso de dos Auggies diferentes, cada uno con un tipo de dispositivo diferente.

Configurar los tipos de elementos auth_hotp_token y auth_totp_token (o solo uno de ellos
y auth_token) mantiene las cuentas separadas y permite que se use el mismo nombre de usuario para
ambos tipos de dispositivos. Por lo tanto, Auggie podría tener un registro de cuenta con el mismo
nombre de usuario para ambos tipos de dispositivos. Este enfoque requiere que se especifique el modo del dispositivo
cuando se solicita una operación para que se pueda utilizar el tipo de artículo correcto; esto significa que
los usuarios deben saber qué tipo de dispositivo están usando (quizás pegándole una etiqueta).
Consulte detalles importantes sobre DACS identidades [22].

El -vfs se utiliza para configurar o reconfigurar el tipo de elemento auth_token.

Solo las claves que cumplen con el requisito de longitud mínima de clave (16 bytes) pueden almacenarse con
información de la cuenta (por ejemplo, con -conjunto or -importar). En otros contextos, el requisito es
no se hace cumplir.

La clave secreta está cifrada por dactoken cuando se escribe en el archivo de la cuenta. El
tipo de elemento del almacén de archivos virtual auth_token_keys identifica las claves de cifrado para dactoken
usar; el -inkeys y -claves de salida banderas especifican alternativas (ver dackey(1)[23]). Si el
Las claves de cifrado se pierden, las claves secretas son prácticamente irrecuperables.

Importante:
Si un atacante descubre una clave secreta, genera contraseñas utilizables sin poseer
la ficha no será difícil. Para al menos algunos tokens de hardware, la clave se quema
en el dispositivo y no se puede cambiar; en este caso, si se filtra la clave, el dispositivo
debe ser destruido. Si se pierde un token, se debe deshabilitar la cuenta correspondiente.
En caso de que un atacante encuentre un token perdido o descubra una clave secreta,
El PIN asociado con la cuenta dificultará que el atacante obtenga
acceder.

Importante:
· Este método de autenticación se ha probado con los siguientes productos OTP:

· auténex Una llave 3600[24] token de hardware de contraseña de un solo uso (HOTP);

· feitian Tecnologías[25] Hardware de contraseña de un solo uso OTP C100 y OTP C200
tokens, proporcionados por HiperSecu Información Todas las funciones a su disposición[26]; y

· JURAMENTO Token[27] aplicación de software de Archie Cobbs, que implementa tanto
HOTP y TOTP en el iPod Toque, iPhone, y iPad[28].

· Tecnologías Feitian Juramento Lite[29] Aplicación de software HOTP para iPod
Touch, iPhone y iPad.

Otros fabricantes interesados ​​en que sus productos sean respaldados por DACS en
bienvenido a contactar Dss.

· concurso de[30]: Feitian OTP C200, iPod Touch con la aplicación OATH Token, Authenex A-Key
3600 (en el sentido de las agujas del reloj desde la parte superior izquierda)

· Aunque esta implementación debería funcionar con productos similares y conformes, solo
estos productos cuentan con el respaldo oficial de DACS.

· Los tokens de hardware se pueden comprar directamente a los proveedores.

· Cualquier problema con el uso de tokens para autenticarse a través DACS no son los
responsabilidad del proveedor de tokens.

Importador y Exportación OTP Cuentas
Las descripciones de las cuentas y sus tokens se pueden cargar o descargar (consulte la -importar
y -exportar banderas). Esto simplifica la portabilidad, el respaldo y el aprovisionamiento masivo. El
La información de la cuenta está escrita en un formato XML simple y específico de la aplicación (casi).

El formato entendido por dactoken consta de un elemento raíz ("otp_tokens"), seguido de
cero o más elementos "otp_token", uno por línea, cada uno con obligatorio y opcional
atributos (descritos a continuación). Debe omitirse la declaración XML. Líder en espacios en blanco y
Las líneas en blanco se ignoran, al igual que los comentarios XML de una sola línea. Además, las líneas que tienen un "#"
como el primer carácter que no es un espacio en blanco se ignoran. Atributos opcionales que no son
presentes se asignan valores predeterminados. El algoritmo de resumen predeterminado es SHA1. Atributo corto
los nombres se utilizan para ahorrar espacio. Atributos no reconocidos y atributos irrelevantes para el
modo dispositivo, se ignoran. Caracteres de comillas simples o dobles (o ambos) dentro del atributo XML
los valores deben ser reemplazados por la referencia de entidad correspondiente ("'" y "" ",
respectivamente), al igual que los caracteres "<" (menor que) y "&" (ampersand). A ">" (mayor
que) el carácter puede ser opcionalmente reemplazado por una secuencia ">", pero ninguna otra entidad
Se reconocen las referencias.

Los atributos reconocidos son:

· B:
bases
- base para el valor de OTP
[Opcional:
10 (Predeterminado),
16o 32]

· C:
mostrador
- valor actual del contador para HOTP, en hexadecimal si está precedido
por "0x" (o "0X"), decimal en caso contrario
[Opcional:
por defecto es 0]

· D:
OTP dispositivo modo
- "c" (para HOTP)
o "t" (para TOTP)
[Necesario]

· Dn:
nombre-resumen
- uno de los algoritmos de hash seguro
[Opcional:
SHA1 (predeterminado),
SHA224, SHA256,
SHA384, SHA512]

· Dr:
deriva del reloj
- ajuste del reloj, en segundos, para TOTP
[Opcional]

· Ek:
clave encriptada
- clave secreta cifrada, codificada en base 64
[Requerido:
Solo registros de cuenta OTP]

· En:
estado habilitado
-- 1 para habilitado,
0 para discapacitados
[Necesario]

· K:
clave de texto plano
- clave secreta no cifrada
[Necesario]

· Lu:
última actualización
- Hora Unix de la última actualización de registro
[Opcional: el valor predeterminado es la hora actual]

· Nd:
ndígitos
- número de dígitos para el valor de OTP
[Opcional:
por defecto es 6 para HOTP,
8 para TOTP]

· pags:
PIN de texto sin formato
- valor de PIN de texto sin formato para la cuenta
[Requerido:
a menos que el ph esté presente,
solo para importación]

· Ph:
PIN con hash
- valor de PIN con hash para la cuenta
[Opcional:
generado por dactoken
solo para archivos de cuenta de exportación y OTP]

· s:
número de serie
- cadena de identificación única para el dispositivo
[Necesario]

· Ts:
hora de caminar
- valor de intervalo de tiempo, en segundos, para TOTP
[Opcional:
por defecto es 30]

· U:
nombre de usuario
-- un válido DACS nombre de usuario asociado con esta cuenta
[Necesario]

El siguiente ejemplo describe dos cuentas que pueden crearse utilizando el -importar bandera:







Seguridad
Dado que los registros importados incluyen las claves secretas no cifradas de los dispositivos OTP,
El archivo exportado debe mantenerse cifrado (p. ej., utilizando openssl) o al menos tener
permisos de archivo apropiados.

Note
Se está desarrollando un formato estándar para el aprovisionamiento de dispositivos OTP. Este formato puede ser
entendido por una versión futura de dactoken, o se puede escribir una utilidad de conversión.
Es probable que el formato estándar sea considerablemente más complejo que el DACS formato.

CAMPUS

Además del estándar dacsopciones[1], se muestra una larga lista de indicadores de línea de comando
Reconocido. Cuando un nombre de usuario se proporciona, los valores predeterminados asociados con esa cuenta son
se utilizan, de lo contrario se utilizan valores predeterminados recomendados o específicos de la implementación. Estos predeterminados
los valores generalmente se pueden anular en la línea de comando. Algunas banderas solo se permiten con un
modo de token particular (p. ej., -mostrador, -totp-mostrar) y su apariencia implica ese modo,
haciendo el -modo bandera innecesaria; otras banderas son independientes del modo (p. ej., -borrar,
-habilitar). Es un error utilizar una combinación de banderas incompatibles entre sí. Banderas que son
sin sentido con la operación seleccionada se ignoran, aunque todavía implican un modo.
Los valores hexadecimales no distinguen entre mayúsculas y minúsculas. Si se requiere un valor de contador pero no se especifica
(por ejemplo, al crear una cuenta), se utiliza un valor de contador inicial de cero.

El especificación de operación especifica la operación a realizar, junto con cero o más modificador
banderas. Si especificación de operación falta, el -lista se realiza la operación. Un especificación de operación es una de las
siguientes:

-autorización valor-otp
Esta bandera es como -validar[31], excepto:

· un nombre de usuario es obligatorio, del cual se obtienen todos los parámetros (como la clave);

· Si la cuenta tiene un PIN, debe proporcionarlo;

· Si la cuenta es para un token HOTP, el contador se actualizará si la autenticación
es exitoso.

Un estado de salida de cero indica una autenticación exitosa, mientras que cualquier otro valor
significa que la autenticación falló.

-convertir nombre de archivo
Cargue un archivo de cuenta de token de formato anterior (anterior a la versión 1.4.25) de nombre de archivo ("-"
significa leer desde stdin), convertirlo al formato más nuevo y escribirlo en stdout (como
by -exportar). Esta bandera está obsoleta y esta capacidad se eliminará en el futuro.
liberarse de DACS.

-crear
Crea una cuenta para nombre de usuario, que no debe existir ya. En otros aspectos
funciona como -conjunto[32]. Al crear una nueva cuenta, -de serie es requerido y -llave is
implícito. Si no -habilitar se proporciona una bandera al crear una cuenta, -desactivar está implícito
Si no es correcto -mostrador se proporciona una bandera, se utiliza un valor predeterminado de cero. Si uno de los indicadores de PIN está
presente, el PIN proporcionado se asignará a la cuenta; de lo contrario, la cuenta no
tener un PIN (o el PIN existente no se cambiará).

-Actual
Muestra el factor de movimiento actual (es decir, el valor del contador para HOTP o el intervalo
valor para TOTP) y OTP esperado para nombre de usuario. Para HOTP, el contador está avanzado. Todo
los parámetros se toman de la cuenta.

-borrar
Eliminar la cuenta de nombre de usuario. La clave secreta del dispositivo y otras operaciones
los parámetros se perderán.

-delpin
Elimine el PIN, si está presente, en la cuenta de nombre de usuario, dejando la cuenta sin un
ALFILER.

-exportar
Escriba información sobre todas las cuentas, o solo una cuenta si nombre de usuario se da, a
stdout. Sin embargo, si se selecciona un modo, solo las cuentas que tengan ese modo serán
escrito. Esta información se puede recargar usando -importar or -importar-reemplazar. La salida
debe almacenarse en forma cifrada, o al menos tener sus permisos de archivo
establecer adecuadamente. Por ejemplo:

% dacstoken -uj EJEMPLO -exportar | openssl enc -aes-256-cbc> dacstoken-exported.enc

Más tarde, podrías hacer algo como:

% openssl enc -d -aes-256-cbc <dacstoken-exported.enc | dacstoken -uj EJEMPLO -import -

-h
-ayuda
Muestre un mensaje de ayuda y salga.

-hotp-show número
Pantalla número contraseñas HOTP consecutivas de un valor de contador y una clave dados. El
-mostrador La bandera se puede utilizar para especificar un valor de contador inicial. La clave puede ser
especificado usando -llave, -archivo de claveo -solicitud de tecla. Si un nombre de usuario se proporciona, el
El valor y la clave del contador inicial se obtienen de la cuenta HOTP del usuario, a menos que
el valor se anula en la línea de comando; el valor del contador almacenado de la cuenta no es
modificado. Esto está destinado principalmente a fines de depuración.

-importar nombre de archivo
-importar-reemplazar nombre de archivo
Cargar información de cuenta y token de nombre de archivo; Si nombre de archivo es "-", se lee stdin.
Si se selecciona un modo, solo se leerán las cuentas que tengan ese modo. Con -importar es
un error si ya existe una cuenta importada y el procesamiento se detiene; -importar-reemplazar
reemplazará una cuenta existente con datos importados.

-l
-lista
-largo
If nombre de usuario se proporciona, muestra información sobre la cuenta correspondiente; Si el
-de serie se da la bandera, muestra información sobre la cuenta con el número de serie especificado
número; de lo contrario, enumere todas las cuentas. Si el -modo se da una bandera en cualquiera de estos casos,
sin embargo, enumere solo aquellas cuentas que tengan el modo operativo especificado. Si esto
se repite la bandera, o con la -largo bandera, se muestran más detalles: tipo de dispositivo,
estado de la cuenta, número de serie del dispositivo, valor del contador (para HOTP), valor de desviación del reloj (para
TOTP), ya sea que la cuenta tenga o no un PIN (indicado por un símbolo "+" o "-"), y
la hora y fecha de la última modificación de la cuenta.

-rebautizar nuevo nombre de usuario
Cambiar el nombre de la cuenta existente para nombre de usuario para ser nuevo nombre de usuarioy modificar el nuevo
cuenta usando argumentos de línea de comando (como con -conjunto[32]). Como esto requiere dos pasos
que no se hacen atómicamente, si ocurre un error es posible que la nueva cuenta
se creará y la cuenta anterior seguirá existiendo.

-conjunto
El -conjunto La bandera se usa para modificar la cuenta existente para nombre de usuario basado en uno o más
argumentos modificadores-base, -mostrador, -dígitos, -desactivar or -habilitar, -llave (o -archivo de clave
or -solicitud de tecla), Pin- (o -archivo pin or -indicador de pin), o -de serie). El modo también puede ser
cambiado especificando -modo, pero parámetros específicos del modo asociados con la cuenta
se perderá (p. ej., el valor actual del contador se eliminará si se
cambiado a una cuenta TOTP) y los parámetros generales (como el número de serie) serán
retenido a menos que se anule en la línea de comando.

-sincronizar lista de contraseñas
En el modo HOTP, esto intenta sincronizar el servidor con el token para nombre de usuario.
lista de contraseñas es una lista separada por comas de tres contraseñas sucesivas producidas por el
token del usuario (esta función de "sincronización automática" también está disponible a través de
local_token_authenticate[3]). La secuencia dada debe coincidir con la secuencia calculada
exactamente, dados los parámetros operativos vigentes; por ejemplo, los ceros iniciales son
significativo, al igual que la base de la pantalla y el número de dígitos de la OTP en vigor. Si
la sincronización es exitosa, el usuario debería poder autenticarse usando el siguiente
contraseña producida por el dispositivo. Un algoritmo de búsqueda exhaustivo que utiliza el aumento
Se emplean valores de contador, con un límite de tiempo de compilación en el número máximo de
cálculos. La búsqueda comienza en el valor del contador almacenado actualmente en el servidor, a menos que
uno se proporciona usando -mostrador. Si no tiene éxito, esta operación podría llevar mucho tiempo.
antes de que termine; el usuario debe ponerse en contacto con un administrador para obtener ayuda.

En el modo TOTP, intente determinar qué tan sincronizado está el reloj del sistema con
el reloj del token y mostrar el resultado. Esta información se puede utilizar para actualizar el
registro de token del usuario para compensar relojes mal sincronizados, o para ajustar
parámetros de validación. La clave del token y el nombre del algoritmo de resumen son
obtenido para el registro de token que pertenece a nombre de usuario, si se da; de lo contrario la clave
se solicita y el algoritmo de resumen a utilizar se obtiene del comando
línea o el predeterminado. Solo la primera contraseña en lista de contraseñas es usado los
-totp-paso de tiempo, -dígitosy -totp-base las opciones son efectivas durante esta operación.

-prueba
Realice algunas autocomprobaciones y salga. Un estado de salida distinto de cero significa que ocurrió un error.

-totp-mostrar número
Muestre una secuencia de contraseñas TOTP usando los parámetros actualmente vigentes:
tamaño del intervalo (-totp-paso de tiempo), número de dígitos (-dígitos) y base (-base). La
los parámetros almacenados de la cuenta no se modifican. Esto está destinado principalmente a la depuración.
propósitos.

Si un nombre de usuario se proporciona (debe estar asociado con un dispositivo TOTP), la clave y
Se utilizan otros parámetros almacenados de la cuenta, a menos que la línea de comandos los invalide.
banderas. La secuencia de contraseñas para número intervalos antes y después de la hora actual,
junto con la contraseña para la hora actual se imprimen.

Si no es correcto nombre de usuario se da, el programa solicita la clave (que se repite) y utiliza
banderas de línea de comando o valores predeterminados para los parámetros. Luego emite la contraseña TOTP
para la hora actual cada vez que se presiona Retorno / Intro. Escribir EOF provoca inmediatamente
terminación.

-validar valor-otp
If valor-otp es la siguiente contraseña esperada de un solo uso, devuelve un estado de salida de cero a
indicar éxito; cualquier otro valor indica falla. Si nombre de usuario se da, parámetros
para la validación, incluida la clave, se obtienen de esa cuenta a menos que se anule en
la línea de comando. El estado del servidor no cambia; por ejemplo, un contador HOTP no es
avanzado. Si no nombre de usuario se da, el -modo se debe utilizar la bandera y los parámetros
necesario para ese modo, incluida una clave. Para el modo HOTP, un valor de contador
debe ser provisto. Para el modo TOTP, los parámetros de la línea de comando son efectivos durante este
validación. dactoken probará si valor-otp valida contra los parámetros en
efecto.

Las siguientes modificador se entienden banderas:

-todas
Con -conjunto y no nombre de usuario, aplicar los cambios a todos cuentas. Esto se puede utilizar para
habilitar o deshabilitar todas las cuentas, por ejemplo. El -inkeys y -claves de salida las banderas son
honrado. Si se produce un error, el procesamiento se detiene inmediatamente, en cuyo caso solo algunos
las cuentas pueden haber sido modificadas.

-base número
Uso número como base (raíz) al mostrar una OTP. El valor de número está restringido a
10 (el valor por defecto), 16o 32.

-mostrador número
Este es el valor del contador HOTP de 8 bytes para establecer, expresado como un valor hexadecimal si está precedido por
por "0x" (o "0X"), decimal en caso contrario. Los ceros iniciales se pueden eliminar. Esto implica HOTP
modo. Para los dispositivos token, no debería ser posible restablecer un contador (contador de módulo
desbordamiento) porque eso resultará en que la secuencia de contraseña se repita, asumiendo
que la clave no se cambia; las implementaciones de software pueden no tener esta restricción,
sin embargo, tenga cuidado con las implicaciones de seguridad.

-dígitos número
Uso número dígitos al mostrar una OTP. El valor de número está restringido a 6, 7, 8 (la
predeterminado), o 9 con base 10. Está restringido a 6 con base 32 y se ignora con
bases 16 (salida hexadecimal).

-desactivar
Deshabilitar la cuenta para nombre de usuario. local_token_authenticate módulo, y -autorización y
-validar banderas, no permitirá que el usuario se autentique hasta que la cuenta haya sido
habilitado, aunque es posible que se realicen otras operaciones en la cuenta. Si -habilitar
se utiliza posteriormente, la cuenta se podrá utilizar para la autenticación y se
restaurado a su estado en el momento en que se desactivó. No es un error deshabilitar un
cuenta ya deshabilitada.

-habilitar
Habilite la cuenta para nombre de usuario. local_token_authenticate módulo permitirá el
usuario para autenticar. No es un error habilitar una cuenta ya habilitada.

-hotp-ventana número
Si la contraseña de HOTP esperada no coincide con la contraseña dada, intente hacer coincidir hasta
número contraseñas después de la contraseña esperada en la secuencia. Un valor de cero para número
desactiva esta búsqueda.

-inkeys tipo de artículo
Para descifrar claves secretas, utilice la tienda identificada por tipo de artículo, presumiblemente
configurado en dacs.conf.

-llave claveval
Uso claveval como la clave secreta, expresada como una cadena de dígitos hexadecimales.

Seguridad
Proporcionar una clave en la línea de comando no es seguro porque puede ser visible para
otros procesos.

-archivo de clave nombre de archivo
Lea la clave secreta, expresada como una cadena de dígitos hexadecimales, desde nombre de archivo. Si nombre de archivo is
"-", la clave se lee desde stdin.

-solicitud de tecla
Solicitar la clave secreta, expresada como una cadena de dígitos hexadecimales. La entrada no se repite.

-modo modo otp
Esto especifica (sin distinción entre mayúsculas y minúsculas) el tipo de token (el modo de dispositivo OTP) para su uso
-conjunto, -creary operaciones de validación y sincronización. El modo otp puede ser
ya sea counter o hotp para el modo de contador, o time o totp para el modo basado en tiempo. Esta
Se requiere una marca al crear una nueva cuenta.

-claves de salida tipo de artículo
Para cifrar claves secretas, utilice la tienda identificada por tipo de artículo, presumiblemente definido
en dacs.conf.

Pin- pinval
Uso pinval como el PIN secreto de la cuenta.

Seguridad
Proporcionar un PIN en la línea de comando no es seguro porque puede ser visible para
otros procesos.

-pin-restricciones str
En lugar de usar CONTRASEÑA_RESTRICCIONES[14], utilice str (que tiene la misma sintaxis y
semántica) para describir los requisitos de un PIN.

Note
Los requisitos para un PIN se aplican a los PIN obtenidos a través de una marca de línea de comando y a aquellos
obtenido mediante la importación (utilizando el atributo "p"). Los requisitos no son
"retroactivo", sin embargo, por lo que cambiar los requisitos no afecta los PIN de
cuentas existentes o cuentas de importación que se exportaron previamente (que tienen un
atributo "ph").

-archivo pin nombre de archivo
Leer el PIN secreto de nombre de archivo. Si nombre de archivo es "-", el PIN se lee desde stdin.

-indicador de pin
Solicitar el PIN secreto. La entrada no se repite.

-rnd
Reservado para uso futuro.

-semilla str
Reservado para uso futuro.

-de serie str
El número de serie, str, es un identificador (supuestamente) único asignado al token.
Esta opción se utiliza con el -conjunto, -creary -lista banderas. Un número de serie
identifica un dispositivo OTP específico y no necesita mantenerse en secreto. La propiedad de singularidad
se aplica dentro de una unidad de almacenamiento de tipo de artículo; es decir, los números de serie de todos los HOTP
Los dispositivos deben ser únicos, los números de serie de todos los dispositivos TOTP deben ser únicos, y si
Las cuentas de los dos tipos de dispositivos están combinadas, todos los números de serie del dispositivo deben
único. Se acepta cualquier cadena imprimible. Si un cliente de software está generando
contraseñas, puede utilizar el número de serie del dispositivo o elegir cualquier descripción adecuada
cadena aún no asignada a un dispositivo.

Note
Una jurisdicción que permite (o puede eventualmente permitir) tanto tokens de hardware como
Las aplicaciones cliente generadoras de software deben considerar la adopción de un
esquema de nomenclatura para sus tokens. Por ejemplo, el administrador puede agregar "-hw" a
el número de serie del proveedor para formar el dactoken número de serie. Para software
tokens, el administrador puede crear un dactoken número de serie agregando
"-sw" al número de serie del proveedor del dispositivo.

-totp-delta número
Ajuste el tiempo base por número intervalos (cada uno del número de segundos del tamaño de paso) cuando
calcular un TOTP. El número puede ser negativo, cero o positivo. Esto se usa para corregir
para relojes inadecuadamente sincronizados.

-totp-deriva ventanas
Para TOTP, use un tamaño de ventana de ventanas (en términos del tamaño del intervalo) para
validación. Si ventanas is 0, el valor TOTP calculado debe coincidir con el dado
exactamente. Si ventanas is 1, por ejemplo, dactoken intentará coincidir con el TOTP dado
valor en los intervalos anterior, actual y siguiente. Esto permite que los relojes en el
sistema en funcionamiento dactoken (o local_token_authenticate) y dispositivo de producción de tokens para
estar menos sincronizados.

Seguridad
Aunque compensa relojes mal sincronizados, aumentando el valor de
ventanas debilita el sistema al extender la vida útil de una contraseña de un solo uso.

-totp-hash alg
Uso alg como el algoritmo de resumen con TOTP. El valor de alg está restringido a (caso
insensiblemente) SHA1 (el predeterminado), SHA256 o SHA512.

-totp-paso de tiempo segundos
Uso segundos como el tamaño del intervalo al calcular un TOTP. Debe ser mayor que cero. El
por defecto es 30 segundos.

Seguridad
Aunque compensa relojes mal sincronizados, aumentando el valor de
segundos debilita el sistema al extender la vida útil de una contraseña de un solo uso.

-vfs vfs_uri
Uso vfs_uri para anular el VFS[33] Directiva de configuración en vigor. Esto puede ser
se utiliza para configurar o reconfigurar auth_token, auth_hotp_token o auth_totp_token para
especificar el método de almacenamiento de las cuentas sobre las que se actúa.

Aparte de los mensajes de error, que se imprimen con el error estándar, todas las salidas van al
salida estándar.

Normalmente, un dacopción se especificará para seleccionar la jurisdicción en nombre de la cual
las cuentas están siendo administradas.

EJEMPLOS

Estos ejemplos asumen que el nombre de la jurisdicción a utilizar es EJEMPLO y su federación
el dominio es example.com.

Para utilizar este método de autenticación, DACS El administrador puede realizar los siguientes pasos
para cada dispositivo OTP asignado a un usuario:

1. Obtenga un token compatible, revise cómo se usa para la autenticación y seleccione valores
para los distintos parámetros. Obtenga la clave secreta del dispositivo del proveedor; por
un dispositivo programable, seleccione una tecla aleatoria adecuada y prográmela en el dispositivo.
Los valores actuales del contador también pueden obtenerse del proveedor, aunque es
probable que se inicialice a cero; para un dispositivo programable, establezca el valor del contador en
cero. Decida si se requerirá un PIN (consulte TOKEN_REQUIRES_PIN[9]). Si un software
cliente está siendo utilizado, instale el software en el dispositivo del usuario (o haga que el usuario
so) y configure el software.

2. Decida dónde se almacenará la información de la cuenta y, si es necesario, agregue un
VFS[33] directiva a dacs.conf. El predeterminado (que se encuentra en site.conf) mantiene la cuenta
información en un archivo llamado auth_tokens dentro de los valores privados predeterminados de cada jurisdicción
zona:

VFS "[auth_token] dacs-kwv-fs: $ {Conf :: FEDERATIONS_ROOT} / \
$ {Conf :: FEDERATION_DOMAIN} / $ {Conf :: JURISDICTION_NAME} / auth_tokens "

3. Genere claves para cifrar la información de la cuenta (consulte Tokens y secreto claves[34]) y
decidir dónde se almacenarán; por ejemplo (su ID de usuario, ID de grupo, ruta,
el nombre de la jurisdicción y el dominio de la federación pueden variar):

% cd /usr/local/dacs/federations_root/example.com/EXAMPLE
% dacskey -uj EJEMPLO -q auth_token_keys
% chgrp www auth_token_keys
% chmod 0640 claves_token_autenticación

Si es necesario, agregue un VFS[33] directiva a dacs.conf; el predeterminado, que es
utilizado anteriormente, mantiene la información de la cuenta en un archivo llamado auth_token_keys dentro
área privada predeterminada de cada jurisdicción:

VFS "[auth_token_keys] dacs-fs: $ {Conf :: FEDERATIONS_ROOT} / \
$ {Conf :: FEDERATION_DOMAIN} / $ {Conf :: JURISDICTION_NAME} / auth_token_keys "

4. Si necesita que los usuarios inicien sesión a través de dacs_authenticate(8)[2], debe configurar un
cláusula de autenticación adecuada en dacs.conf, por ejemplo:


URL "token"
ESTILO "pase"
CONTROL "suficiente"


5. Hay varias formas en que un administrador puede proceder, según la cantidad de
el esfuerzo puede ser realizado por los usuarios (por ejemplo, si se puede confiar en ellos, sus
capacidad), cuántos usuarios hay (unos pocos o miles) y el nivel de seguridad
requerida.

1. prepare un archivo que contenga un XML grabar[35] para cada cuenta que se cree; Si
Se deben usar PIN, asigne un PIN aleatorio a cada cuenta;

2. use el -importar[36] bandera para crear las cuentas;

3. proporcione el dispositivo token, el nombre de usuario y (si es necesario) el PIN inicial al usuario
(tal vez verificando la identidad), proporcionando cualquier demostración necesaria y
instrucciones;

4. haga que el usuario establezca o restablezca el PIN de la cuenta y pida al usuario que inicie sesión
usando el token para confirmar el funcionamiento correcto.

Para crear una cuenta deshabilitada para el usuario bobo para un dispositivo HOTP:

% dacstoken -uj EJEMPLO -mode hotp -serial 37000752 -key-file bobo.key -create bobo

La clave secreta de la cuenta (que no debe existir) se lee del archivo
bobo.key. Las cuentas nuevas están deshabilitadas de forma predeterminada; usar -habilitar para crear una cuenta habilitada.

Una vez que se ha creado una cuenta, se puede sincronizar con el token. Para sincronizar
el token HOTP para el usuario bobo:

% dacstoken -uj EJEMPLO -sync 433268,894121,615120 bobo

En este ejemplo, el token particular produjo las tres contraseñas consecutivas 433268,
894121 y 615120. Tenga en cuenta que la secuencia de secuencia de contraseña que sigue al -sincronizar bandera es
un solo argumento que no puede tener espacios incrustados. Si la clave de este token es
19c0a3519a89b4a8034c5b9306db, la siguiente contraseña generada por este token debe ser 544323
(con valor de contador 13). Esto se puede verificar usando -hotp-show:

% dacstoken -hotp-show 5 -contador 10 -key 19c0a3519a89b4a8034c5b9306db
000000000000000a: 433268
000000000000000b: 894121
000000000000000c: 615120
000000000000000d: 544323
000000000000000e: 002442

Para habilitar la cuenta para el usuario bobo:

% dacstoken -uj EJEMPLO -enable -set bobo

Para configurar el PIN y habilitar la cuenta para el usuario bobo:

% dacstoken -uj EJEMPLO -enable -pin "CzAy" -set bobo

Para enumerar todas las cuentas en detalle:

% dacstoken -uj EJEMPLO -largo

El -lista La bandera es redundante porque es la operación predeterminada. El -modo, -mostrador, etc.
los modificadores no tienen ningún efecto cuando se enumeran.

Para enumerar solo la cuenta de bobo:

% dacstoken -uj EJEMPLO -list bobo

El estado de salida será distinto de cero si este usuario no tiene una cuenta.

Para mostrar la cuenta del dispositivo con el número de serie 37000752:

% dacstoken -uj EJEMPLO -serial 37000752

El número de serie, que debe identificar de forma exclusiva un token, suele estar impreso en el token.
o puede ser mostrado por el token.

Para establecer el valor del contador para la cuenta existente de bobo:

% dacstoken -uj EJEMPLO -contador 9 -conjunto bobo

Esta operación se puede utilizar para realizar pruebas o con un token de software. El -sincronizar la operación es
más apropiado para un token de hardware.

Para cambiar el PIN del nombre de usuario bobo:

% dacstoken -uj EJEMPLO -pin-prompt -set bobo

El programa le pedirá el nuevo PIN.

Para usar un archivo de cuenta alternativo, / secure / auth_tokens:

% dacstoken -uj EJEMPLO -vfs "dacs-kwv-fs: / secure / auth_tokens" -list

Para usar nuevas claves (haciendo las mismas suposiciones que antes), agregue una directiva VFS adecuada a
dacs.conf; el valor predeterminado define el tipo de elemento auth_token_keys_prev de la siguiente manera:

VFS "[auth_token_keys_prev] dacs-fs: $ {Conf :: FEDERATIONS_ROOT} / \
$ {Conf :: FEDERATION_DOMAIN} / $ {Conf :: JURISDICTION_NAME} /auth_token_keys.prev "

% cd /usr/local/dacs/federations_root/example.com/EXAMPLE
% mv auth_token_keys auth_token_keys.prev
% dacskey -uj EJEMPLO -q auth_token_keys
% chgrp www auth_token_keys
% chmod 0640 claves_token_autenticación
% dacstoken -uj EJEMPLO -inkeys auth_token_keys.prev -set

La diagnostica

El programa sale de 0 o 1 si ocurrió un error.

Use dacstoken en línea usando los servicios de onworks.net