In diesem Kapitel befassen wir uns mit der zusätzlichen Absicherung beim Login z.B. bei unserer Nextcloud-Installation mit Hilfe eines Sicherheitstoken im Speziellen mit U2F¹⁾. Hierzu verwenden wir den Nitrokey FIDO U2F (Daten-/Infoblatt) welcher hier für einen überschaubaren Betrag von etwas mehr als 20€ erstanden werden kann. In dem folgenden Beitrag gehen wir auf die Besonderheiten bei der Verwendung unter Linux Mint 20 insbesondere beim NitroPad X230 ein.

Der Nitrokey FIDO U2F Cryptostick vereint in einem kleinen Plastikgehäuse ein vollständig FIDO Universal 2nd Factor (U2F) kompatibles zu 100% Open Source und Open Hardware Device mit einer Sensortaste/Knopf welches zum zusätzlichen Absichern einer unbegrenzte Anzahl von Benutzerkonten verwendet werden kann. Weitere Informationen zum Nitrokey-Stick findet findet man auch hier bzw. im Support Forum.

Informationen über den Stick können wir mit Hilfe des Befehls usb-devices aus dem RPM-Paket usbutils dem System abverlangen.

 # usb-devices

T:  Bus=01 Lev=02 Prnt=02 Port=01 Cnt=01 Dev#=  5 Spd=12  MxCh= 0
D:  Ver= 2.00 Cls=00(>ifc ) Sub=00 Prot=00 MxPS=64 #Cfgs=  1
P:  Vendor=20a0 ProdID=4287 Rev=01.00
S:  Manufacturer=Nitrokey
S:  Product=Nitrokey FIDO U2F
S:  SerialNumber=0000000000000000
C:  #Ifs= 1 Cfg#= 1 Atr=80 MxPwr=100mA
I:  If#=0x0 Alt= 0 #EPs= 2 Cls=03(HID  ) Sub=00 Prot=00 Driver=usbhid

Mit dem Befehl lshw können wir uns ebenso anzeigen lassen, ob der Stick angesteckt und erkannt wird. Da der USB-Stick unter die Klasse input fällt suchen wir gezielt nach diesen Geräte-Typus.

 # lshw -short -C input

H/W path               Device     Class          Description
============================================================
/0/100/1a/1/1/2                   input          Nitrokey FIDO U2F

Mit Hilfe des Befehls lsusb aus dem RPM-Paket usbutils können wir auch die Produkt- und Hersteller-Identifikationsnummer des Nitrokey-Sticks ermitteln.

 # lsusb

Bus 001 Device 005: ID 20a0:4287 Clay Logic

Im Syslog wird uns beim Anstecken des Sticks dies entsprechend protokolliert:

Aug 23 18:37:19 Djangos-ThinkPad-X230 kernel: [ 5565.020431] usb 1-1.2: new full-speed USB device number 6 using ehci-pci
Aug 23 18:37:19 Djangos-ThinkPad-X230 kernel: [ 5565.131700] usb 1-1.2: New USB device found, idVendor=20a0, idProduct=4287, bcdDevice= 1.00
Aug 23 18:37:19 Djangos-ThinkPad-X230 kernel: [ 5565.131707] usb 1-1.2: New USB device strings: Mfr=1, Product=2, SerialNumber=3
Aug 23 18:37:19 Djangos-ThinkPad-X230 kernel: [ 5565.131712] usb 1-1.2: Product: Nitrokey FIDO U2F
Aug 23 18:37:19 Djangos-ThinkPad-X230 kernel: [ 5565.131716] usb 1-1.2: Manufacturer: Nitrokey
Aug 23 18:37:19 Djangos-ThinkPad-X230 kernel: [ 5565.131719] usb 1-1.2: SerialNumber: 0000000000000000
Aug 23 18:37:19 Djangos-ThinkPad-X230 kernel: [ 5565.135368] hid-generic 0003:20A0:4287.0002: hiddev3,hidraw0: USB HID v1.11 Device [Nitrokey Nitrokey FIDO U2F] on usb-0000:00:1a.0-1.2/input0
Aug 23 18:37:19 Djangos-ThinkPad-X230 mtp-probe: checking bus 1, device 6: "/sys/devices/pci0000:00/0000:00:1a.0/usb1/1-1/1-1.2"
Aug 23 18:37:19 Djangos-ThinkPad-X230 mtp-probe: bus: 1, device: 6 was not an MTP device
Aug 23 18:37:19 Djangos-ThinkPad-X230 mtp-probe: checking bus 1, device 6: "/sys/devices/pci0000:00/0000:00:1a.0/usb1/1-1/1-1.2"
Aug 23 18:37:19 Djangos-ThinkPad-X230 mtp-probe: bus: 1, device: 6 was not an MTP device

Für den Betrieb unter Linux Mint 20 insbesondere beim NitroPad X230 müssen wir uns noch passende udev-Definitionen hier besorgen.

Wir wechseln also erst einmal in das entsprechende Konfigurationsverzeichnis /etc/udev/rules.d/.

 # cd /etc/udev/rules.d/

Dann holen wir uns die entsprechende Musterdatei auf unseren Rechner.

 # wget https://www.nitrokey.com/sites/default/files/41-nitrokey.rules

Zum Aktivieren unserer neuen udev-Regeldatei lassen wir diese nun erneut einlesen; hierzu verwenden wir folgenden Befehl:

 # udevadm control --reload-rules

Verwenden wir den Browser Google Chrome bzw. Chromium müssen wir nichts besonderes unternehmen, da diese bereits bestens vorbereitet sind. Auch beim Browser Firefox 78.0.2esr (64-bit) bedarf es keiner gesonderten Konfiguration mehr. Im Zweifelsfall kann man sich aber auch vergewissern, ob die Option hier richtig gesetzt ist.

Im Zweifelsfall geben wir also in der Adresszeile about:config ein und suchen dann nach der Option u2f.

Mit einem Doppelklick würden wir die Option aktivieren indem wir den Parameter auf auf true setzen..

Melden wir uns nun an einer Webseite an, werden wir wie gewohnt aufgefordert uns mit unserem Benutzer und dem zugehörigen Passwort anzumelden.

Nach dem Bestätigen der Daten werden wir nun gebeten unseren Nitrokey FIDO U2F-Stick anzustecken bzw. die Touch-Taste darauf zu drücken bzw. genauer gesagt zu berühren.

Nach einer Sekunde werden wir automatisch angemeldet und wir können den Stick wieder vom USB-Port abziehen.

• Zurück zu Projekte und Themenkapitel
• Zurück zur Startseite