dacstoken - 클라우드의 온라인

프로그램:

이름

dacstoken - 해시 기반 일회용 비밀번호 관리

개요

닥스톡 [닥스옵션[1] [-모두] [-베이스 NUM] [-카운터 NUM] [-숫자 NUM]
[-장애를 입히다 | -할 수있게하다] [-hotp-창 NUM] [-잉키 항목 형식]
[[-키 키발] | [-키 파일 파일 이름] | [-키 프롬프트]] [-양식 otp 모드]
[- 아웃키 항목 형식]
[[핀 핀발] | [-핀 파일 파일 이름] | [-핀 프롬프트]] [-핀 제약 하위 버전]
[-rnd] [-씨 하위 버전] [-연속물 하위 버전] [-상단-델타 NUM] [-탑 드리프트 엔윈도우]
[-top-hash ALG]
[-top-timestep 초] [-vfs vfs_uri] [연산 사양] [사용자 이름]

기술

이 프로그램은 DACS 모음곡.

XNUMXD덴탈의 닥스톡 유틸리티 관리 DACS OTP(일회성 비밀번호)와 연결된 계정
생성 장치(토큰) 또는 소프트웨어 기반 클라이언트. 또한 명령줄 옵션을 사용하여
OTP 값을 계산합니다. 토큰 계정 매개변수는 재정의할 수 있지만 계정은
이 필요합니다.

강력한 이중 요소 인증은 다음과 같은 경우에 제공될 수 있습니다. dacs_인증[2] 구성
를 사용하는 local_token_authenticate[3] 인증 모듈 또는 때 닥스톡 로 사용된다
암호를 확인하는 독립 실행형 프로그램. HMAC 기반 일회용 비밀번호 모드
(HOTP), 이벤트 카운터를 기반으로 지정 RFC 4226[4] 및 시간 기반
TOTP(일회성 암호 모드), 최근 IETF 인터넷 초안[5] 제안,
지원됩니다. 추가 운영 모드[6] OCRA(맹세 도전-응답
알고리즘IETF Internet-Draft에 설명된 )은 아직 완전히 지원되지 않습니다.

주의 사항
이 버전의 닥스톡 이전 버전과 호환되지 않는 많은 변경 사항을 통합합니다.
릴리스 1.4.24a 및 이전 버전에서. 일부 명령줄 플래그는 다르게 작동하며,
계정 파일의 형식이 변경되었습니다. 이전에 이 명령을 사용한 경우
릴리스, 토큰 계정 파일의 백업 복사본을 만들고 이 설명서를 검토하십시오.
계속하기 전에 페이지를 주의 깊게 -전환하다 특히 플래그[7]).

중대한
공급업체 제공 소프트웨어가 필요하지 않음 닥스톡 기능을 제공합니다. NS
현재 지원되는 장치는 등록 또는 구성 상호 작용이 필요하지 않습니다.
공급업체와 닥스톡 하지 지원 상호 작용하는 과 벤더' 서버 or 사용 어떤
소유권 소프트웨어. 수행하려면 공급업체 제공 소프트웨어가 필요할 수 있습니다.
그러나 다른 토큰 장치에 대한 초기화 또는 구성 닥스톡 하지
그러한 지원을 제공하지 않습니다.

각 토큰 장치는 일반적으로 다음에서 관리하는 정확히 하나의 계정에 해당합니다.
닥스톡, 일부 공급업체는 여러 계정을 지원할 수 있는 토큰을 생산합니다.

요약하자면 이 유틸리티는 다음과 같습니다.

· 생성 및 관리 DACS 카운터 기반 및 시간 기반 계정
일회성 비밀번호

· 검증 및 테스트 기능 제공

· 명령줄 인증 기능 제공

보안
오직 DACS 관리자는 이 프로그램을 성공적으로 실행할 수 있어야 합니다.
명령줄. 때문에 DACS 키 및 구성 파일(사용된 파일 포함)
스토어 계정은 관리자로 제한되어야 하며 일반적으로
그러나 신중한 관리자는 모든 파일에 대한 액세스를 거부하도록 파일 권한을 설정합니다.
다른 사용자.

주의 사항
XNUMXD덴탈의 dacs_token(8)[8] 웹 서비스는 사용자에게 제한된 셀프 서비스를 제공합니다.
계정 PIN을 설정 또는 재설정하고 토큰을 동기화하는 기능. 또한
테스트 및 평가를 단순화하는 데모 모드가 있습니다.

다리 (계정 비밀번호)
A 닥스톡 계정에는 선택적으로 연결된 PIN(예: 암호)이 있을 수 있습니다. NS
이러한 계정에 대해 인증하려면 사용자는 생성된 일회용 암호를 제공해야 합니다.
토큰으로 과 핀. NS TOKEN_REQUIRES_PIN[9] 구성 지시문은 다음을 결정합니다.
계정을 만들거나 가져올 때 PIN을 제공해야 하는지 여부 에 적용되지 않습니다
와 함께 -델핀 플래그, 관리자만 수행할 수 있어야 하므로
그 기능.

PIN의 해시는 PIN 자체가 아닌 계정 레코드에 저장됩니다. 똑같다
에 의해 사용되는 방법 닥스패스워드(1)[10] 및 dacs_passwd(8)[11]이 적용되며, 에 따라 다릅니다.
비밀번호_DIGEST[12] 및 비밀번호_SALT_PREFIX[13] 지침이 발효 중입니다. 만약에
비밀번호_DIGEST[12]가 구성되면 해당 알고리즘이 사용됩니다. 그렇지 않으면 컴파일 시간
기본값(SHA1)이 사용됩니다. 사용자가 PIN을 잊어버린 경우 이전 PIN을 복구할 수 없으므로
삭제하거나 새로 설정해야 합니다.

일부 토큰 장치에는 PIN 기능이 내장되어 있습니다. 사용자는 PIN을 입력해야 합니다.
장치가 일회성 암호를 방출하기 전에 장치. 이 "기기 PIN"은
에서 관리하는 계정 PIN과 완전히 다릅니다. 닥스톡, 그리고 이 설명서는
에만 관심 닥스톡 핀. 기기 PIN은 가능하면 항상 사용해야 합니다.
전에, 닥스톡 PIN은 강력하게 권장되며 이중 인증에 필요합니다.
(추가 인증 요소가 다른 방식으로 적용되지 않는 한).

관리자만 이 명령을 실행할 수 있으므로 제한이 없습니다.
관리자가 제공하는 PIN의 길이 또는 품질 경고 메시지
단, 비밀번호가 취약하다고 판단되는 경우
PASSWORD_CONSTRAINTS[14] 지시.

한 번 암호
두 종류의 일회용 암호 장치는 안전한
키 해시 알고리즘(RFC 2104[15], FIPS 198[16]). 카운터 기반 방법에서 장치
서버는 숫자를 생성하기 위해 해시된 비밀 키와 카운터 값을 공유합니다.
특정 자릿수를 사용하여 특정 기수에 표시되는 값입니다. 성공적인
인증을 위해서는 장치와 서버가 일치하는 암호를 계산해야 합니다. 매번
장치가 암호를 생성하면 카운터가 증가합니다. 서버가 매칭을 받았을 때
암호를 입력하면 카운터가 증가합니다. 두 카운터가 될 수 있기 때문에
동기화되지 않은 경우 서버의 일치 알고리즘은 일반적으로 클라이언트의 암호를 허용합니다.
카운터 값의 "창"에 속합니다. 시간 기반 방법은 유사하지만 주요
차이점은 현재 Unix 시간( 시간(3)[17], 예)는
계산에서 카운터 값으로 사용되는 "시간 단계 창"을 설정하는 데 사용됩니다.
보안 해시의. 장치와 서버의 실시간 시계가 일치하지 않을 수 있기 때문에
충분히 동기화되면 서버의 일치 알고리즘은 클라이언트의
이러한 장치에 대한 몇 가지 시간 단계 창에 속하도록 암호를 설정합니다.

보안
토큰에는 영구 비밀 키(OTP 시드라고도 함)가 할당될 수 있습니다.
제조업체 또는 키를 프로그래밍할 수 있습니다. 이 비밀 키는 토큰의
암호 생성 절차는 비공개로 유지하는 것이 중요합니다. 토큰의 경우
프로그래밍할 수 없는 경우 키는 공급업체에서 얻습니다(HOTP 토큰의 경우 일반적으로
장치의 일련 번호와 세 개의 연속 암호를 제공하여). 기록
일련 번호에서 비밀 키로 매핑할 때마다 보안 위치에 보관해야 합니다.

비밀 키가 프로그래밍 가능한 경우 소프트웨어 클라이언트와 함께 있을 가능성이 높으므로
최소한 필요 128 비트 길이; 최소 160 비트 권장됩니다. 그만큼
키는 16자(또는 그 이상)의 XNUMX진수 문자열로 표시됩니다. 열쇠는
랜덤 비트의 암호화 품질 소스에서 얻을 수 있습니다. 일부 클라이언트는
적절한 키를 생성할 수 있지만 닥섹스프르(1)[18] :

% dacsexpr -e "임의(문자열, 20)"
"bb2504780e8075a49bd88891b228fc7216ac18d9"

팁
토큰은 컴퓨터 로그인 이외의 인증 목적으로 사용할 수 있습니다. 을위한
예를 들어 고객은 계정 번호, PIN 및 토큰 값을 제공하여 신속하게
전화를 통한 인증을 통해 비용이 많이 드는 비용을 줄이거나 제거합니다.
시간이 많이 걸리는 보안 질문.

일회용 암호 장치 및 응용 프로그램에는 다음과 같은 작동 매개변수가 있습니다.
이러한 매개변수는 생성되는 암호 시퀀스를 결정합니다. 일부 운영
매개변수는 (관련 표준에 의해 또는 구현으로 인해) 고정될 수 있지만,
다른 것들은 사용자가 부분적으로 또는 완전히 구성할 수 있습니다. 를 참조하십시오
자세한 내용은 참조 및 제조업체 설명서를 참조하십시오.

기지
암호가 표시되는 기수입니다.

카운터
HOTP 모드의 경우에만 현재 카운터 값입니다.

숫자
각 일회용 암호의 자릿수입니다.

키
비밀 키(OTP 시드).

일련 번호
장치의 고유 식별자 또는 이름입니다.

시간 단계 크기
TOTP 모드의 경우에만 각 시간 간격의 너비(초)입니다. 동일한 비밀번호
주어진 간격 내에서 생성됩니다. 즉, 이것은 "평생" 또는 유효성입니다.
각 TOTP 비밀번호의 기간.

이러한 매개변수 외에도 닥스톡 계정당(즉, 기기당) 여러 개를 사용합니다.
매개 변수 :

수락 창
HOTP 비밀번호를 검증할 때 고려해야 할 최대 비밀번호 수
예상 비밀번호.

표류하다
TOTP 모드의 경우에만 서버의 시계를 조정하는 시간(초)
장치와 더 잘 동기화하려면 앞으로 또는 뒤로. 이것은 사용됩니다
클럭이 동기화되지 않은 토큰 또는 클라이언트 소프트웨어를 보상합니다.
서버의.

드리프트 윈도우
TOTP 모드에만 해당하지만 수락 창과 유사하게 최대
유효성을 검사할 때 앞뒤로 검색할 간격(각 시간 단계 크기)
주어진 암호에 대해.

동기화 OTP
HOTP 모드의 경우에만 필요한 연속 XNUMX회용 비밀번호의 수
계정을 장치와 동기화합니다.

사용자 이름
의 이름 DACS 장치에 바인딩된 계정.

일회용 암호 장치를 기반으로 한 인증에는 다음과 같은 이점이 있습니다.

· 사용자가 인증할 때마다 다른 암호가 생성됩니다(높은
개연성); 따라서 사용자는 "비밀번호"를 기록할 수 없습니다.
항상 변하는; 사용자는 비밀번호를 잊어버릴 수 없습니다.

· 한 번 사용된 HOTP 모드 암호는 즉시 "소비"되며 사용 가능성이 낮습니다.
다시 오랫동안; 적절한 구성 매개변수가 있는 TOTP 모드 암호
비교적 짧은 시간 간격 내에 자동으로 "만료"되며
오랫동안 다시 사용;

· 클럭 드리프트에 대한 수정이 필요하지 않은 경우 TOTP 모드 계정은 읽기 전용일 수 있습니다.
조작;

· 비밀번호는 쉽게 추측할 수 있는 숫자나 문자열이 아니기 때문에
대부분의 사용자가 선택한 암호보다 강력해야 합니다.

· HOTP 토큰은 상호("양방향") 인증 방법의 기초가 될 수 있습니다. NS
서버는 ID를 확인하기 위해 사용자에게 토큰의 다음 비밀번호를 보여줍니다(둘 다
당사자가 카운터를 진행함), 클라이언트는 서버에 다음 비밀번호를 보여줍니다.
그의 신원을 확인하기 위해;

· 사용자의 컴퓨터에 키 스니퍼가 설치되어 있으면 스니핑된 암호는
공격자가 좋은 일을 하지 않는 한 중간자 공격[19] 가능합니다. 주어진 N
연속 비밀번호 비밀번호를 계산하는 것은 여전히 ​​매우 어렵습니다. N + 1 없이
비밀 키를 아는 것;

· 사용자가 계정을 공유하는 것이 더 어렵습니다(사용자가 때때로
이것을 불편하게 생각하십시오);

· 만약 닥스톡 PIN은 계정에 할당되고 공격자는 계정의
공격자가 PIN을 모른 채 인증하는 것은 여전히 ​​어렵습니다.

· 계정을 비활성화하는 빠르고 즉각적인 효과적인 방법은 단순히
하드웨어 토큰(예: 직원이 해고된 경우)에 의해 계정이 비활성화될 수 있지만
이 프로그램을 사용하거나 폐지 명부[20];

· 폰, PDA 등 모바일 기기에서 실행되는 소프트웨어 클라이언트의 경우,
사용자는 이미 장치를 휴대하고 있습니다. 무료 클라이언트를 사용할 수 있으므로
추가 비용이 없을 수 있습니다(모바일 장치에서 동일한 기능을 제공하지 않을 수 있음
하드웨어 토큰의 변조 방지, 내구성, 키 비밀성, 시계 정확도 등).

일회용 암호 장치에는 다음과 같은 잠재적인 단점이 있습니다.

· 하드웨어 토큰에 대한 일회성 비용이 있습니다(구매량에 따라,
$10-$100 USD를 지불할 것으로 예상할 수 있습니다.
분실 또는 파손된 토큰 또는 토큰의 배터리를 교체하십시오(일부 장치에는
교체할 수 없는 배터리, 몇 년 후에 일회용으로 만들기);

· 초기 설정이 다른 인증에 비해 다소 까다롭습니다.
방법 및 장치에 익숙하지 않은 사용자는
사용하다;

· 일반적으로 크기가 매우 작아(예: 5cm x 2cm x 1cm)
키체인이나 끈, 또는 지갑에 보관하는 경우 사용자는 토큰을 휴대해야 하는 것에 대해 움찔할 수 있습니다.
그들과 함께;

· 사용자는 토큰을 가지고 있는 것을 잊어버리거나 토큰을 잃어버릴 수 있습니다.

· 모바일 장치(소프트웨어 클라이언트 포함)는 아마도 절도의 표적이 될 수 있습니다.
하드웨어 토큰보다(따라서 이 장치에 대한 PIN의 중요성);

· 키가 액세스할 수 없는 변조 방지로 소각되는 하드웨어 토큰과 달리
메모리, 소프트웨어 클라이언트에 구성된 키는 해당 클라이언트에서 읽을 수 있습니다.
소유자, 계정 공유 가능

· 모바일 장치에 40자 이상의 초기값을 입력하면 답답할 수 있습니다.
오류가 발생하기 쉽습니다.

· TOTP 장치가 비밀번호를 생성하면 새 비밀번호를 생성할 때까지
사용자가 30초(또는 60초)를 기다려야 하는 다음 시간 단계 창(예:
입력 오류가 발생한 경우);

· 일부 장치는 저조도 조건에서 읽기 어렵습니다. 노안 사용자 및 그
시각 장애가 있는 사용자는 디스플레이를 읽는 데 어려움을 겪을 수 있습니다.

계정
에서 관리하는 계정 닥스톡 에서 사용하는 계정과 완전히 분리되어 있습니다.
local_passwd_authenticate[21] 또는 기타 DACS 인증 모듈.

HOTP 및 TOTP 장치에 대한 계정은 결합되거나 별도로 유지될 수 있습니다. 가상의 경우
filestore 항목 유형 auth_hotp_token이 정의되어 있으며 연결된 계정에만 사용됩니다.
HOTP 토큰으로. 마찬가지로 가상 파일 저장소 항목 유형 auth_totp_token이
정의된 TOTP 토큰과 연결된 계정에만 사용됩니다. 항목 유형이 다음 중 하나인 경우
정의되지 않은 계정은 다음을 통해 액세스됩니다. DACS의 항목 유형을 사용하는 가상 파일 저장소
인증 토큰. 계정 데이터베이스에 대한 파일 권한은 모든
접근은 관리자로 제한되며 local_token_authenticate.

두 기기 유형에 대한 계정이 다음과 같은 경우 결합 된, 왜냐하면 각 사용자 이름은
인증 방법은 고유해야 하며 개인이 두 가지 유형의 토큰을 모두 가지고 있는 경우
다른 사용자 이름이 할당됩니다. 예를 들어 Auggie가 하나의 HOTP 토큰과 하나의
TOTP 토큰, 전자는 사용자 이름 auggie-hotp에 해당하고 후자는
오지탑; 로그인 양식에는 Auggie를 허용하는 장치 모드 입력이 포함될 수 있습니다.
사용자 이름 필드에 "auggie"를 입력하고 JavaScript를 자동으로 추가하려면
선택 장치 모드에 따라 적절한 접미사. 이것의 명백한 단점
구성은 두 가지 다른 결과를 초래한다는 것입니다. DACS 동일한 개인의 신원;
Auggie를 식별하는 데 액세스 제어 규칙이 필요한 경우 이 정보를 기억해야 합니다.
명시적으로. 두 토큰이 동일하게 매핑되어야 하는 경우 DACS ID, Auth 절은
인증 성공 후 접미사를 제거하지만 관리자는
서로 다른 장치 유형을 사용하는 두 개의 다른 Auggies의 경우에 주의해야 합니다.

auth_hotp_token 및 auth_totp_token 항목 유형 모두(또는 그 중 하나만 구성)
및 auth_token) 계정을 별도로 유지하고 동일한 사용자 이름을
두 가지 유형의 장치. 따라서 Auggie는 동일한 계정 기록을 가질 수 있습니다.
두 장치 유형에 대한 사용자 이름. 이 접근 방식을 사용하려면 장치 모드를 지정해야 합니다.
올바른 항목 유형을 사용할 수 있도록 작업이 요청될 때 이것은 의미합니다
사용자는 사용 중인 장치 유형을 알아야 합니다(아마도 레이블을 부착하여).
에 관한 중요한 내용을 참조하십시오. DACS 신원[22].

XNUMXD덴탈의 -vfs auth_token 항목 유형을 구성하거나 재구성하는 데 사용됩니다.

최소 키 길이 요구 사항을 충족하는 키만(16 바이트)와 함께 저장할 수 있습니다.
계정 정보(예: -세트 or -수입). 다른 상황에서 요구 사항은
시행되지 않음.

비밀 키는 다음으로 암호화됩니다. 닥스톡 계정 파일에 기록될 때. NS
가상 파일 저장소 항목 유형 auth_token_keys는 암호화 키를 식별합니다. 닥스톡
사용; NS -잉키 과 - 아웃키 플래그는 대안을 지정합니다(참조 닥스키(1)[23]). 만약
암호화 키가 손실되면 비밀 키는 실제로 복구할 수 없습니다.

중대한
공격자가 비밀 키를 발견하면 소유하지 않고 사용 가능한 암호를 생성합니다.
토큰은 어렵지 않을 것입니다. 최소한 일부 하드웨어 토큰의 경우 키가 소각됩니다.
장치에 입력하고 변경할 수 없습니다. 이 경우 키가 누출 된 경우 장치
파괴되어야 한다. 토큰을 분실한 경우 해당 계정을 비활성화해야 합니다.
공격자가 분실된 토큰을 찾거나 보안 키를 발견한 경우
계정과 연결된 PIN은 공격자가 획득하기 어렵게 만듭니다.
액세스 할 수 있습니다.

중대한
· 이 인증 방법은 다음 OTP 제품에 대해 테스트되었습니다.

· 오테넥스 키 3600[24] 일회용 암호(HOTP) 하드웨어 토큰;

· 페이티안 기술[25] OTP C100 및 OTP C200 일회용 비밀번호 하드웨어
토큰, 제공 하이퍼시큐 정보 시스템은[26]; 그리고

· 맹세 Token[27] Archie Cobbs의 소프트웨어 응용 프로그램, 두 가지 모두 구현
HOTP 및 TOTP 아이팟 접촉, 아이폰 과 iPad[28].

· Feitian 기술 아이오트 라이트[29] iPod용 HOTP 소프트웨어 응용 프로그램
터치, 아이폰, 아이패드.

제품 지원에 관심이 있는 기타 제조업체 DACS are
Ds에 연락을 환영합니다.

· 사진[30]: Feitian OTP C200, OATH 토큰 앱이 포함된 iPod Touch, Authenex A-Key
3600(왼쪽 상단에서 시계 방향)

· 이 구현은 유사하고 호환되는 제품에서 작동해야 하지만
이 제품은 공식적으로 지원됩니다. DACS.

· 하드웨어 토큰은 공급업체에서 직접 구입할 수 있습니다.

· 토큰을 사용하여 인증하는 데 문제가 있는 경우 DACS 아닙니다
토큰 벤더의 책임.

가져 오기 과 내보내기 OTP 계정
계정 및 해당 토큰에 대한 설명을 로드하거나 덤프할 수 있습니다( -수입
과 -수출 플래그). 이는 대량 프로비저닝, 백업 및 이식성을 단순화합니다. NS
계정 정보는 간단한 응용 프로그램별(거의) XML 형식으로 작성됩니다.

에 의해 이해되는 형식 닥스톡 루트 요소("otp_tokens")로 구성되며
XNUMX개 이상의 "otp_token" 요소, 행당 하나씩, 각각 필수 및 선택 사항 포함
속성(아래에 설명됨). XML 선언은 생략해야 합니다. 선행 공백 및
한 줄 XML 주석과 마찬가지로 빈 줄은 무시됩니다. 또한 "#"이 있는 줄
공백이 아닌 첫 번째 문자는 무시됩니다. 다음이 아닌 선택적 속성
현재에는 기본값이 할당됩니다. 기본 다이제스트 알고리즘은 SHA1입니다. 짧은 속성
이름은 공간을 절약하는 데 사용됩니다. 인식할 수 없는 속성 및 관련이 없는 속성
장치 모드는 무시됩니다. XML 속성 내의 작은따옴표 또는 큰따옴표 문자(또는 둘 다)
값은 해당 엔티티 참조("'" 및 """,
각각) "<"(보다 작음) 및 "&"(앰퍼샌드) 문자가 있어야 합니다. A ">"(크게
~보다) 문자는 선택적으로 ">" 시퀀스로 대체될 수 있지만 다른 엔터티는 없습니다.
참조가 인식됩니다.

인식되는 속성은 다음과 같습니다.

· NS:
기지
-- OTP 값의 기수
[선택 과목:
10 (기본값),
16및 32]

· 씨:
카운터
-- HOTP에 대한 현재 카운터 값(앞에 있는 경우 XNUMX진수)
"0x"(또는 "0X")로, 그렇지 않으면 십진수
[선택 과목:
기본값은 0]

· NS:
OTP 장치 모드
-- "c"(HOTP용)
또는 "t"(TOTP의 경우)
[필수]

· NS:
다이제스트 이름
-- 보안 해시 알고리즘 중 하나
[선택 과목:
SHA1(기본값),
SHA224, SHA256,
SHA384, SHA512]

· 박사:
시계 드리프트
-- TOTP에 대한 초 단위의 시계 조정
[선택 과목]

· 에크:
암호화된 키
-- 암호화된 비밀 키, base-64로 인코딩됨
[필수의:
OTP 계정 기록만 해당]

· ko:
활성화 상태
-- 1 활성화된 경우
0 장애인 용
[필수]

· 케이:
일반 텍스트 키
-- 암호화되지 않은 비밀 키
[필수]

· 루:
마지막 업데이트
-- 마지막 레코드 업데이트의 유닉스 시간
[선택 사항: 기본값은 현재 시간]

· NS:
n자릿수
-- OTP 값의 자릿수
[선택 과목:
기본값은 6 HOTP의 경우,
8 TOTP용]

· NS:
일반 텍스트-PIN
-- 계정의 일반 텍스트 PIN 값
[필수의:
ph가 존재하지 않는 한,
수입 전용]

· 전화:
해시된 PIN
-- 계정의 해시된 PIN 값
[선택 과목:
에 의해 생성 된 닥스톡
내보내기 및 OTP 계정 파일 전용]

· NS:
일련 번호
-- 장치의 고유 식별자 문자열
[필수]

· TS:
시간 단계
-- TOTP에 대한 시간 단계 값(초)
[선택 과목:
기본값은 30]

· 유:
사용자 이름
-- 유효한 DACS 이 계정과 연결된 사용자 이름
[필수]

다음 예에서는 다음을 사용하여 만들 수 있는 두 개의 계정을 설명합니다. -수입 깃발:







보안
가져온 레코드에는 OTP 장치에 대한 암호화되지 않은 비밀 키가 포함되어 있기 때문에
내보낸 파일은 암호화된 상태로 유지되어야 합니다(예: 하려면 openssl) 또는 적어도 가지고
적절한 파일 권한.

주의 사항
OTP 장치 프로비저닝을 위한 표준 형식이 개발 중입니다. 이 형식은 다음과 같습니다.
의 미래 버전에서 이해 닥스톡, 또는 변환 유틸리티를 작성할 수 있습니다.
표준 형식은 기존 형식보다 훨씬 더 복잡할 수 있습니다. DACS 형식입니다.

옵션

표준 외에도 닥스옵션[1], 명령줄 플래그의 긴 목록은
인식. 언제 사용자 이름 주어진 경우 해당 계정과 연결된 기본값은
사용되지 않으면 권장되거나 구현별 기본값이 사용됩니다. 이러한 기본
값은 일반적으로 명령줄에서 재정의할 수 있습니다. 일부 플래그는
특정 토큰 모드(예: -카운터, -탑쇼) 및 그 모양은 해당 모드를 의미합니다.
만들기 -양식 플래그 불필요; 다른 플래그는 모드 독립적입니다(예: -지우다,
-할 수있게하다). 서로 호환되지 않는 플래그 조합을 사용하는 것은 오류입니다. 플래그
무의미한 작업은 여전히 ​​모드를 암시하지만 무시됩니다.
XNUMX진수 값은 대소문자를 구분하지 않습니다. 카운터 값이 필요하지만 지정되지 않은 경우
(예: 계정 생성 시) 초기 카운터 값 XNUMX이 사용됩니다.

XNUMXD덴탈의 연산 사양 XNUMX개 이상과 함께 수행할 작업을 지정합니다. 변화
플래그. 만약에 연산 사양 누락, -명부 작업이 수행됩니다. NS 연산 사양 중 하나입니다
다음 :

-인증 otp 값
이 깃발은 마치 -확인[31], 제외:

· ㅏ 사용자 이름 모든 매개변수(예: 키)를 가져오는 필수 항목입니다.

· 계정에 PIN이 있는 경우 제공해야 합니다.

· 계정이 HOTP 토큰용인 경우 인증이 완료되면 카운터가 업데이트됩니다.
성공했습니다.

XNUMX의 종료 상태는 성공적인 인증을 나타내고 다른 값은
인증 실패를 의미합니다.

-전환하다 파일 이름
에서 이전 형식(릴리스 1.4.25 이전) 토큰 계정 파일을 로드합니다. 파일 이름 ("-"
stdin에서 읽는 것을 의미합니다), 최신 형식으로 변환하고 stdout에 씁니다.
by -수출). 이 플래그는 더 이상 사용되지 않으며 이 기능은 향후 제거될 예정입니다.
방출 DACS.

-창조하다
계정 만들기 사용자 이름, 이미 존재해서는 안 됩니다. 다른 면에서는
처럼 작동 -세트[32]. 새 계정을 만들 때, -연속물 필수이며 -키 is
암시. 그렇지 않은 경우 -할 수있게하다 플래그는 계정 생성 시 제공되며, -장애를 입히다 묵시적입니다.
없는 경우 -카운터 플래그가 제공되면 기본값 XNUMX이 사용됩니다. PIN 플래그 중 하나가 다음과 같은 경우
현재, 제공된 PIN이 계정에 할당됩니다. 그렇지 않으면 계정이 할당되지 않습니다.
PIN이 있어야 합니다(또는 기존 PIN은 변경되지 않음).

-현재의
현재 이동 계수를 표시합니다(즉, HOTP에 대한 카운터 값 또는 간격
TOTP 값) 및 예상 OTP 사용자 이름. HOTP의 경우 카운터가 고급입니다. 모두
매개변수는 계정에서 가져옵니다.

-지우다
에 대한 계정 삭제 사용자 이름. 장치의 비밀 키 및 기타 작동
매개변수가 손실됩니다.

-델핀
해당 계정에서 PIN(있는 경우)을 삭제합니다. 사용자 이름, 계정 없이
PIN

-수출
모든 계정에 대한 정보를 작성하거나 다음과 같은 경우 하나의 계정만 작성하십시오. 사용자 이름 에게 주어진다
표준 출력. 그러나 모드를 선택하면 해당 모드의 계정만
쓴. 이 정보는 다음을 사용하여 다시 로드할 수 있습니다. -수입 or -가져오기-바꾸기. 출력
암호화된 형식으로 저장하거나 최소한 파일 권한이 있어야 합니다.
적절하게 설정합니다. 예를 들어:

% dacstoken -uj 예 -수출 | openssl enc -aes-256-cbc > dacstoken-exported.enc

나중에 다음과 같이 할 수 있습니다.

% openssl enc -d -aes-256-cbc < dacstoken-exported.enc | dacstoken -uj 예 -가져오기 -

-h
-도움
도움말 메시지를 표시하고 종료합니다.

-hotp-쇼 NUM
디스플레이 NUM 주어진 카운터 값과 키에서 연속 HOTP 암호. NS
-카운터 플래그는 초기 카운터 값을 지정하는 데 사용할 수 있습니다. 열쇠는
를 사용하여 지정 -키, -키 파일및 -키 프롬프트. 만약 사용자 이름 제공되며,
초기 카운터 값과 키는 사용자의 HOTP 계정에서 가져옵니다.
값은 명령줄에서 재정의됩니다. 계정에 저장된 카운터 값이 아닙니다.
수정됨. 이것은 주로 디버깅 목적을 위한 것입니다.

-수입 파일 이름
-가져오기-바꾸기 파일 이름
에서 계정 및 토큰 정보 로드 파일 이름; 만약 파일 이름 "-"이면 stdin을 읽습니다.
모드를 선택하면 해당 모드의 계정만 읽습니다. 와 함께 -수입 그것은
가져온 계정이 이미 존재하고 처리가 중지되는 경우 오류가 발생합니다. -가져오기-바꾸기
기존 계정을 가져온 데이터로 대체합니다.

-l
-명부
-긴
If 사용자 이름 해당 계정에 대한 정보를 표시합니다. 만약
-연속물 플래그가 지정되면 지정된 일련 번호가 있는 계정에 대한 정보를 표시합니다.
숫자; 그렇지 않으면 모든 계정을 나열하십시오. 만약 -양식 플래그는 이러한 경우에 제공되며,
그러나 작동 모드가 지정된 계정만 나열하십시오. 이 경우
플래그가 반복되거나 -긴 플래그, 더 자세한 정보가 표시됩니다: 장치 유형,
계정 상태, 장치 일련 번호, 카운터 값(HOTP용), 클록 드리프트 값(용
TOTP), 계정에 PIN이 있는지 여부("+" 또는 "-" 기호로 표시) 및
계정의 마지막 수정 시간과 날짜.

-이름 바꾸기 새로운 이름
에 대한 기존 계정 이름 바꾸기 사용자 이름 될 새로운 이름, 그리고 새로운 수정
명령줄 인수를 사용하는 계정( -세트[32]). 두 단계가 필요하기 때문에
원자적으로 수행되지 않는 오류가 발생하면 새 계정이
생성되고 이전 계정은 여전히 ​​존재합니다.

-세트
XNUMXD덴탈의 -세트 플래그는 에 대한 기존 계정을 수정하는 데 사용됩니다. 사용자 이름 하나 이상의 기반
수정자 인수(-베이스, -카운터, -숫자, -장애를 입히다 or -할 수있게하다, -키 (또는 -키 파일
or -키 프롬프트), 핀 (또는 -핀 파일 or -핀 프롬프트), 또는 -연속물). 모드도 가능
지정하여 변경 -양식, 그러나 계정과 연결된 모드별 매개변수
손실됩니다(예: HOTP 계정이
TOTP 계정으로 변경됨) 및 일반 매개변수(예: 일련 번호)는
명령줄에서 재정의되지 않는 한 유지됩니다.

-동조 비밀번호 목록
HOTP 모드에서 이것은 서버를 토큰과 동기화하려고 시도합니다. 사용자 이름. 그만큼
비밀번호 목록 는 쉼표로 구분된 쉼표로 구분된 세 개의 연속된 암호 목록입니다.
사용자 토큰(이 "자동 동기화" 기능은
local_token_authenticate[삼]). 주어진 시퀀스는 계산된 시퀀스와 일치해야 합니다.
정확하게, 유효한 운영 매개변수를 감안할 때; 예를 들어 선행 XNUMX은
표시 기수와 유효한 OTP 자릿수와 마찬가지로 중요합니다. 만약에
동기화가 성공하면 사용자는 다음을 사용하여 인증할 수 있어야 합니다.
장치에서 생성한 암호입니다. 증가를 사용한 철저한 검색 알고리즘
카운터 값이 사용되며 최대 컴파일 시간 제한이 있습니다.
계산. 검색은 서버의 현재 저장된 카운터 값에서 시작됩니다.
하나는 다음을 사용하여 제공됩니다. -카운터. 실패하면 이 작업에 시간이 오래 걸릴 수 있습니다.
종료되기 전에; 사용자는 관리자에게 도움을 요청해야 합니다.

TOTP 모드에서 시스템 시계가
토큰의 시계와 결과를 표시합니다. 이 정보는 업데이트하는 데 사용할 수 있습니다.
동기화되지 않은 시계를 보상하거나 조정하기 위한 사용자의 토큰 기록
검증 매개변수. 토큰의 키와 다이제스트 알고리즘의 이름은 다음과 같습니다.
에 속하는 토큰 레코드에 대해 획득 사용자 이름, 주어진 경우; 그렇지 않으면 키
프롬프트가 표시되고 사용할 다이제스트 알고리즘은 명령에서 얻습니다.
라인 또는 기본값. 첫 번째 비밀번호만 비밀번호 목록 사용. 그만큼
-top-timestep, -숫자및 -탑베이스 옵션은 이 작업 중에 유효합니다.

-테스트
몇 가지 자체 테스트를 수행한 다음 종료합니다. XNUMX이 아닌 종료 상태는 오류가 발생했음을 의미합니다.

-탑쇼 NUM
현재 유효한 매개변수를 사용하여 TOTP 암호 시퀀스를 표시합니다.
간격 크기(-top-timestep), 자릿수(-숫자) 및 기본(-베이스).
계정의 저장된 매개변수는 수정되지 않습니다. 이것은 주로 디버깅을 위한 것입니다.
목적.

경우 사용자 이름 제공되고(TOTP 장치와 연결되어야 함), 키 및
명령줄에서 재정의하지 않는 한 계정의 다른 저장된 매개변수가 사용됩니다.
플래그. 비밀번호의 순서 NUM 현재 시간 전후의 간격,
현재 시간의 비밀번호와 함께 인쇄됩니다.

없는 경우 사용자 이름 가 주어지면 프로그램은 키(반향됨)를 묻고 다음을 사용합니다.
매개변수에 대한 명령줄 플래그 또는 기본값. 그런 다음 TOTP 암호를 내보냅니다.
Return/Enter를 누를 때마다 현재 시간 동안. EOF를 입력하면 즉시 발생합니다.
종료.

-확인 otp 값
If otp 값 다음으로 예상되는 일회용 비밀번호입니다. 종료 상태가 XNUMX인 경우
성공을 나타냅니다. 다른 값은 실패를 나타냅니다. 만약에 사용자 이름 매개변수가 주어지면
키를 포함하여 유효성 검사를 위해 재정의되지 않는 한 해당 계정에서 가져옵니다.
명령줄. 서버의 상태는 변경되지 않습니다. 예를 들어 HOTP 카운터는
고급의. 그렇지 않은 경우 사용자 이름 주어진, -양식 플래그를 사용해야 하며 매개변수
키를 포함하여 해당 모드에 필요한 키를 제공해야 합니다. HOTP 모드의 경우 카운터 값
제공되어야 합니다. TOTP 모드의 경우 이 동안 명령줄 매개변수가 유효합니다.
확인. 닥스톡 여부를 테스트합니다 otp 값 의 매개변수에 대해 유효성을 검사합니다.
효과.

다음 변화 플래그는 다음과 같이 이해됩니다.

-모두
와 -세트 아니요 사용자 이름, 변경 사항을 적용 모든 계정. 이것은 사용할 수 있습니다
예를 들어 모든 계정을 활성화 또는 비활성화합니다. NS -잉키 과 - 아웃키 플래그는
명예로운. 오류가 발생하면 처리가 즉시 중지되며, 이 경우 일부만
계정이 수정되었을 수 있습니다.

-베이스 NUM
NUM OTP를 표시할 때 기본(기수)으로 사용합니다. 의 가치 NUM 제한됩니다
10 (기본값), 16및 32.

-카운터 NUM
설정할 8바이트 HOTP 카운터 값이며 앞에 오는 경우 XNUMX진수 값으로 표시됩니다.
"0x"(또는 "0X")로, 그렇지 않으면 십진수. 선행 XNUMX은 생략될 수 있습니다. 이것은 HOTP를 의미합니다
방법. 토큰 장치의 경우 카운터를 재설정할 수 없어야 합니다(모듈로 카운터
오버플로) 암호 시퀀스가 ​​반복되는 결과를 가져오기 때문입니다.
키가 변경되지 않습니다. 소프트웨어 구현에는 이 제한이 없을 수 있습니다.
그러나 보안 영향에 주의하십시오.

-숫자 NUM
NUM OTP를 표시할 때 숫자. 의 가치 NUM 제한됩니다 6, 7, 8 (
기본값) 또는 9 베이스 포함 10. 다음으로 제한됩니다. 6 베이스 포함 32 그리고 무시된다
기지 16 (XNUMX진 출력).

-장애를 입히다
에 대한 계정 비활성화 사용자 이름. 그만큼 local_token_authenticate 모듈, 그리고 -인증 과
-확인 플래그, 계정이 인증될 때까지 사용자 인증을 허용하지 않습니다.
계정에서 다른 작업을 계속 수행할 수 있지만. 만약에 -할 수있게하다
이후에 사용되는 경우 해당 계정은 인증에 사용할 수 있게 되며
비활성화되었을 때의 상태로 복원되었습니다. 비활성화하는 것은 오류가 아닙니다.
이미 비활성화된 계정입니다.

-할 수있게하다
계정 활성화 사용자 이름. 그만큼 local_token_authenticate 모듈은
사용자를 인증합니다. 이미 활성화된 계정을 활성화하는 것은 오류가 아닙니다.

-hotp-창 NUM
예상 HOTP 암호가 주어진 암호와 일치하지 않으면 다음과 일치하도록 시도하십시오.
NUM 순서에서 예상 암호 뒤에 오는 암호. 값이 XNUMX인 경우 NUM
이 검색을 비활성화합니다.

-잉키 항목 형식
비밀 키를 해독하려면 다음으로 식별되는 저장소를 사용하십시오. 항목 형식, 아마도
dacs.conf에 구성되어 있습니다.

-키 키발
키발 XNUMX진수 문자열로 표현되는 비밀 키로.

보안
명령줄에 키를 제공하는 것은 다른 사람에게 보일 수 있기 때문에 안전하지 않습니다.
다른 프로세스.

-키 파일 파일 이름
XNUMX진수 문자열로 표현된 비밀 키를 다음에서 읽습니다. 파일 이름. 면 파일 이름 is
"-", 키는 표준 입력에서 읽습니다.

-키 프롬프트
XNUMX진수 문자열로 표현되는 비밀 키에 대한 프롬프트입니다. 입력은 에코되지 않습니다.

-양식 otp 모드
이것은 사용할 토큰 유형(OTP 장치 모드)을 지정합니다(대소문자 구분 안 함).
과 -세트, -창조하다, 유효성 검사 및 동기화 작업. NS otp 모드 수
카운터 모드의 경우 counter 또는 hotp, 시간 기반 모드의 경우 time 또는 topp입니다. 이것
새 계정을 만들 때 플래그가 필요합니다.

- 아웃키 항목 형식
비밀 키를 암호화하려면 다음으로 식별되는 저장소를 사용하십시오. 항목 형식, 아마도 정의
dacs.conf에서

핀 핀발
핀발 계정의 비밀 PIN으로.

보안
명령줄에 PIN을 제공하는 것은 볼 수 있기 때문에 안전하지 않습니다.
다른 프로세스.

-핀 제약 하위 버전
사용하는 대신 PASSWORD_CONSTRAINTS[14], 사용 하위 버전 (동일한 문법과
의미) PIN에 대한 요구 사항을 설명합니다.

주의 사항
PIN에 대한 요구 사항은 명령줄 플래그를 통해 얻은 PIN과
가져오기를 통해 얻습니다("p" 속성 사용). 요구 사항이 아닙니다
그러나 "소급"이므로 요구 사항을 변경해도 PIN에는 영향을 미치지 않습니다.
기존 계정 또는 이전에 내보낸 계정 가져오기(
"ph" 속성).

-핀 파일 파일 이름
다음에서 비밀 PIN 읽기 파일 이름. 면 파일 이름 "-"인 경우 PIN은 stdin에서 읽습니다.

-핀 프롬프트
비밀 PIN을 묻는 메시지가 표시됩니다. 입력은 에코되지 않습니다.

-rnd
향후 사용을 위해 예약되어 있습니다.

-씨 하위 버전
향후 사용을 위해 예약되어 있습니다.

-연속물 하위 버전
일련 번호, 하위 버전, 토큰에 할당된 고유 식별자입니다.
이 옵션은 다음과 함께 사용됩니다. -세트, -창조하다및 -명부 플래그. 일련 번호
특정 OTP 장치를 식별하고 비밀로 유지할 필요가 없습니다. 고유성 속성
항목 유형 저장 장치 내에서 시행됩니다. 즉, 모든 HOTP의 일련 번호
장치는 고유해야 하고 모든 TOTP 장치의 일련 번호는 고유해야 하며 다음과 같은 경우
두 장치 유형에 대한 계정이 결합된 경우 모든 장치 일련 번호는
고유 한. 인쇄 가능한 모든 문자열이 허용됩니다. 소프트웨어 클라이언트가 생성 중인 경우
장치의 일련 번호를 사용하거나 적절하게 설명하는 암호를 선택할 수 있습니다.
장치에 아직 할당되지 않은 문자열입니다.

주의 사항
하드웨어 토큰과
소프트웨어 생성 클라이언트 애플리케이션은
토큰에 대한 명명 체계. 예를 들어 관리자는 "-hw"를 추가할 수 있습니다.
공급업체의 일련 번호 닥스톡 일련 번호. 소프트웨어용
토큰, 관리자는 닥스톡 추가하여 일련 번호
"-sw"를 장치의 공급업체 일련 번호로 변경합니다.

-상단-델타 NUM
기준 시간을 다음과 같이 조정합니다. NUM 간격(초 단위의 각 단계 크기)
TOTP를 계산합니다. NS NUM 음수, XNUMX 또는 양수일 수 있습니다. 이것은 수정하는 데 사용됩니다.
동기화되지 않은 시계의 경우.

-탑 드리프트 엔윈도우
TOTP의 경우 창 크기를 사용하십시오. 엔윈도우 (간격 크기 측면에서)
확인. 만약에 엔윈도우 is 0, 계산된 TOTP 값은 주어진 값과 일치해야 합니다.
바로 그거죠. 만약에 엔윈도우 is 1예를 들면, 닥스톡 주어진 TOTP와 일치하려고 시도합니다.
이전, 현재 및 다음 간격의 값입니다. 이것은 시계의
시스템 실행 닥스톡 (또는 local_token_authenticate) 및 토큰 생성 장치
덜 동기화됩니다.

보안
동기화되지 않은 클럭을 보상하지만,
엔윈도우 일회용 암호의 수명을 연장하여 시스템을 약화시킵니다.

-top-hash ALG
ALG TOTP를 사용한 다이제스트 알고리즘. 의 가치 ALG 로 제한됩니다(경우
둔감하게) SHA1(기본값), SHA256 또는 SHA512.

-top-timestep 초
초 TOTP를 계산할 때 간격 크기로. XNUMX보다 커야 합니다. NS
기본값은 30 초.

보안
동기화되지 않은 클럭을 보상하지만,
초 일회용 암호의 수명을 연장하여 시스템을 약화시킵니다.

-vfs vfs_uri
vfs_uri 재정의하다 Vfs[33] 구성 지침이 유효합니다. 이것은 될 수있다
auth_token, auth_hotp_token 또는 auth_totp_token을 구성하거나 재구성하는 데 사용됩니다.
작업 중인 계정의 저장 방법을 지정합니다.

표준 오류로 인쇄되는 오류 메시지를 제외하고 모든 출력은
표준 출력.

일반적으로 닥스옵션 대신하여 관할 구역을 선택하도록 지정됩니다.
계정을 관리하고 있습니다.

사용 예

이 예에서는 사용할 관할 구역 이름이 EXAMPLE이고 해당 연합이 있다고 가정합니다.
도메인은 example.com입니다.

이 인증 방법을 사용하려면 DACS 관리자는 다음 단계를 수행할 수 있습니다.
사용자에게 할당된 각 OTP 장치에 대해:

1. 지원되는 토큰 획득, 인증 용도 검토 및 값 선택
다양한 매개변수에 대해. 공급업체로부터 장치의 비밀 키를 얻습니다. ~을위한
프로그램 가능한 장치의 경우 적절한 임의 키를 선택하고 장치에 프로그래밍합니다.
현재 카운터 값은 공급업체로부터 얻을 수도 있지만
XNUMX으로 초기화될 가능성이 있습니다. 프로그래밍 가능한 장치의 경우 카운터 값을 다음으로 설정하십시오.
영. PIN이 필요한지 여부를 결정합니다(참조 TOKEN_REQUIRES_PIN[9]). 소프트웨어의 경우
클라이언트가 사용 중인 경우 사용자의 장치에 소프트웨어를 설치합니다(또는 사용자가
so), 소프트웨어를 구성합니다.

2. 계정 정보가 저장될 위치를 결정하고 필요한 경우 적절한
Vfs[33] dacs.conf에 대한 지시문. 기본값(site.conf에 있음)은 계정을 유지합니다.
각 관할 구역의 기본 비공개 파일에 있는 auth_tokens라는 파일의 정보
지역:

VFS "[auth_token]dacs-kwv-fs:${Conf::FEDERATIONS_ROOT}/\
${Conf::FEDERATION_DOMAIN}/${Conf::JURISDICTION_NAME}/auth_tokens"

3. 계정 정보를 암호화하기 위한 키 생성(참조 토큰 과 비밀 키[34]) 그리고
저장 위치를 ​​결정하십시오. 예를 들어(사용자 ID, 그룹 ID, 경로,
관할 구역 이름 및 페더레이션 도메인은 다를 수 있음):

% cd /usr/local/dacs/federations_root/example.com/EXAMPLE
% dacskey -uj 예 -q 인증 토큰_키
% chgrp www auth_token_keys
% chmod 0640 인증 토큰 키

필요한 경우 적절한 추가 Vfs[33] dacs.conf에 대한 지시문; 기본값은
위에서 사용된 auth_token_keys라는 파일에 계정 정보를 유지합니다.
각 관할 구역의 기본 개인 영역:

VFS "[auth_token_keys]dacs-fs:${Conf::FEDERATIONS_ROOT}/\
${Conf::FEDERATION_DOMAIN}/${Conf::JURISDICTION_NAME}/auth_token_keys"

4. 사용자의 로그인이 필요한 경우 dacs_인증(8)[2], 구성해야 합니다
dacs.conf의 적절한 Auth 절, 예:


URL "토큰"
STYLE "통과"
"충분한" 제어


5. 관리자가 진행할 수 있는 방법은 여러 가지가 있습니다.
노력은 사용자가 수행할 수 있습니다(예: 신뢰할 수 있는지 여부, 기술
능력), 사용자 수(몇 명 또는 수천 명), 보안 수준
이 필요합니다.

1. 다음이 포함된 파일을 준비합니다. XML 기록[35] 생성될 각 계정에 대해; 만약
PIN을 사용해야 하며, 각 계정에 임의의 PIN을 할당합니다.

2. 사용 -수입[36] 계정을 생성하기 위한 플래그;

3. 사용자에게 토큰 장치, 사용자 이름 및 (필요한 경우) 초기 PIN을 제공합니다.
(아마도 신원 확인), 필요한 데모 제공 및
명령;

4. 사용자가 계정에 대한 PIN을 설정하거나 재설정하도록 하고 사용자에게 로그인하도록 요청합니다.
토큰을 사용하여 올바른 작동을 확인합니다.

HOTP 장치에 대해 사용자 bobo에 대해 비활성화된 계정을 만들려면:

% dacstoken -uj 예 -mode hotp -serial 37000752 -key-file bobo.key -bobo 만들기

계정의 비밀 키(이미 존재해서는 안 됨)를 파일에서 읽습니다.
보보.키. 새 계정은 기본적으로 비활성화되어 있습니다. 사용하다 -할 수있게하다 활성화된 계정을 생성합니다.

계정이 생성되면 토큰과 동기화할 수 있습니다. 동기화하려면
사용자 bobo에 대한 HOTP 토큰:

% dacstoken -uj 예 -sync 433268,894121,615120 보보

이 예에서 특정 토큰은 세 개의 연속적인 암호 433268을 생성했습니다.
894121 및 615120. 다음에 오는 암호 시퀀스 문자열에 유의하십시오. -동조 깃발은
공백을 포함할 수 없는 단일 인수입니다. 이 토큰의 키가
19c0a3519a89b4a8034c5b9306db, 이 토큰에 의해 생성된 다음 비밀번호는 544323이어야 합니다.
(카운터 값으로 13). 이것은 다음을 사용하여 확인할 수 있습니다. -hotp-쇼:

% dacstoken -hotp-show 5 -카운터 10 -키 19c0a3519a89b4a8034c5b9306db
000000000000000a: 433268
000000000000000b: 894121
000000000000000c: 615120
000000000000000d: 544323
000000000000000e : 002442

사용자 bobo에 대한 계정을 활성화하려면:

% dacstoken -uj 예 -enable -set 보보

PIN을 설정하고 사용자 bobo에 대한 계정을 활성화하려면:

% dacstoken -uj EXAMPLE -활성화 -핀 "CzAy" -보보 설정

모든 계정을 자세히 나열하려면:

% dacstoken -uj 예 -long

XNUMXD덴탈의 -명부 플래그는 기본 작업이므로 중복됩니다. NS -양식, -카운터등
수정자는 나열할 때 효과가 없습니다.

bobo에 대한 계정만 나열하려면:

% dacstoken -uj EXAMPLE -목록 보보

이 사용자에게 계정이 없으면 종료 상태는 XNUMX이 아닙니다.

일련 번호가 37000752인 장치의 계정을 표시하려면:

% dacstoken -uj 예 - 직렬 37000752

토큰을 고유하게 식별해야 하는 일련 번호는 종종 토큰에 인쇄됩니다.
또는 토큰으로 표시할 수 있습니다.

기존 bobo 계정에 대한 카운터 값을 설정하려면:

% dacstoken -uj 예 -카운터 9 -보보 세트

이 작업은 테스트 또는 소프트웨어 토큰과 함께 사용할 수 있습니다. NS -동조 작업은
하드웨어 토큰에 더 적합합니다.

사용자 이름 bobo의 PIN을 변경하려면:

% dacstoken -uj 예 -pin-prompt -set bobo

프로그램에서 새 PIN을 입력하라는 메시지가 표시됩니다.

대체 계정 파일을 사용하려면 /secure/auth_tokens:

% dacstoken -uj 예 -vfs "dacs-kwv-fs:/secure/auth_tokens" -목록

새 키를 사용하려면(이전과 동일한 가정을 함)
dacs.conf; 기본값은 항목 유형 auth_token_keys_prev를 다음과 같이 정의합니다.

VFS "[auth_token_keys_prev]dacs-fs:${Conf::FEDERATIONS_ROOT}/\
${Conf::FEDERATION_DOMAIN}/${Conf::JURISDICTION_NAME}/auth_token_keys.prev"

% cd /usr/local/dacs/federations_root/example.com/EXAMPLE
% mv auth_token_keys auth_token_keys.prev
% dacskey -uj 예 -q 인증 토큰_키
% chgrp www auth_token_keys
% chmod 0640 인증 토큰 키
% dacstoken -uj 예 -inkeys auth_token_keys.prev -set

진단

프로그램은 0을 종료하거나 오류가 발생한 경우 1을 종료합니다.

onworks.net 서비스를 사용하여 dacstoken 온라인 사용