Início de sessão em Linux com segundo fator: o módulo PAM e o agente

Os computadores e servidores Linux vão ter o mesmo segundo fator que o Windows: depois da palavra-passe do Linux, a pessoa aprova no telemóvel ou escreve um código. A solução tem duas peças: um módulo PAM (pam_authguard.so), que o Linux chama no início de sessão, e um agente (authguard-agentd), que comunica com o serviço.

Já está disponível?

Ainda não. O módulo e o agente estão construídos e testados em Debian, mas o serviço ainda não aceita computadores Linux, e os pacotes de instalação para cada distribuição ainda vão ser publicados. Este artigo descreve como vai funcionar, para que possa planear um piloto.

O que protege?

O módulo corre depois do módulo da palavra-passe, por isso uma palavra-passe errada nunca chega ao telemóvel. Os serviços que não conhece ficam de fora; um serviço próprio pode indicar o seu cenário com o argumento scenario=.

Como se inscreve um computador?

1. Crie um token de instalação em «Gerir» › «Computadores», como no Windows. Ver Tokens de instalação.
2. Instale o agente e execute authguard-agentd enrol --origin <endereço da organização> --token-file <ficheiro>. O token só funciona uma vez.
3. O agente escreve /etc/authguard/agent.toml e depois obtém do serviço as definições e a marca.
4. Acrescente o módulo às pilhas PAM que quer proteger, depois do módulo da palavra-passe.

Um único pacote serve todas as organizações. Os computadores nunca contam como licenças. Um computador que nunca foi inscrito nunca é afetado pelo módulo.

Onde ficam as chaves?

Quando o computador tem um chip TPM 2.0, o agente sela as suas chaves nele com o systemd-creds; caso contrário, guarda-as em ficheiros que só o root pode ler. Só processos do root podem pedir ao agente uma decisão de início de sessão; os bloqueadores de ecrã só podem desbloquear a sessão do próprio utilizador, na consola.

O que acontece sem rede?

• Na consola, quem já entrou com rede nesse computador usa o seu código offline, ou o desafio do suporte (escrevendo R).
• O início de sessão remoto (SSH) é recusado enquanto não houver rede.
• As contas de emergência entram na consola só com a palavra-passe, e o evento é comunicado mais tarde.

E se o agente parar?

Por omissão, o módulo falha fechado: na consola só funcionam as contas de emergência e o desafio do suporte. Num lançamento faseado pode definir fail=open, que deixa passar só a palavra-passe enquanto o agente estiver parado. Retire-o quando o piloto estiver estável.