In diesem Kapitel befassen wir uns mit der zusätzlichen Absicherung beim Login z.B. bei unserer Nextcloud-Installation mit Hilfe eines Sicherheitstoken im Speziellen mit FIDO2¹⁾, einem neuen Internet-Standard und die passwortlose Weiterentwicklung von FIDO U2F.

Eine grundlegende Beschreibung zu den Verfahren finden sich in den Erklärungen für Einsteiger zu FIDO1/U2F und FIDO2 der FIDO-Allianz (in englischer Sprache).

Hierzu verwenden wir den Nitrokey FIDO2 (Daten-/Infoblatt) welcher hier für einen überschaubaren Betrag von knapp erstanden werden kann. Zu Test- und Demozwecken wurde von der Firma Nitrokey GmbH freundlicherweise ein Nitrokey FIDO2 kostenfrei zur Verfügung gestellt, was natürlich lobend erwähnt werden darf! In dem folgenden Beitrag gehen wir auf die Besonderheiten bei der Verwendung unter openSUSE Leap 15.2 ein.

Der Nitrokey FIDO U2F Cryptostick vereint in einem kleinen Plastikgehäuse ein vollständig FIDO2) kompatibles zu 100% Open Source und Open Hardware Device, mit einer Sensortaste/Knopf welches zum zusätzlichen Absichern einer unbegrenzte Anzahl von Benutzerkonten verwendet werden kann. Weitere Informationen zum Nitrokey-Stick findet findet man auch hier bzw. im Support Forum.

Informationen über den Stick können wir mit Hilfe des Befehls usb-devices aus dem RPM-Paket usbutils dem System abverlangen.

 # usb-devices

T:  Bus=01 Lev=02 Prnt=02 Port=01 Cnt=02 Dev#=  8 Spd=12  MxCh= 0
D:  Ver= 2.00 Cls=00(>ifc ) Sub=00 Prot=00 MxPS=64 #Cfgs=  1
P:  Vendor=20a0 ProdID=42b1 Rev=01.00
S:  Manufacturer=Nitrokey
S:  Product=Nitrokey FIDO2 2.0.0
S:  SerialNumber=123E456789000
C:  #Ifs= 1 Cfg#= 1 Atr=80 MxPwr=100mA
I:  If#= 0 Alt= 0 #EPs= 2 Cls=03(HID  ) Sub=00 Prot=00 Driver=usbhid

Mit dem Befehl lshw können wir uns ebenso anzeigen lassen, ob der Stick angesteckt und erkannt wird. Da der USB-Stick unter die Klasse input fällt suchen wir gezielt nach diesen Geräte-Typus.

 # lshw -short -C input

H/W path                   Device     Class          Description
================================================================
/0/100/14/0/3/1                       input          Das Keyboard P13
/0/100/14/0/3/2                       input          Nitrokey FIDO2 2.0.0
/0/100/14/0/3/3/4                     input          USB Optical Mouse

Mit Hilfe des Befehls lsusb aus dem RPM-Paket usbutils können wir auch die Produkt- und Hersteller-Identifikationsnummer des Nitrokey-Sticks ermitteln.

 # lsusb

Bus 001 Device 008: ID 20a0:42b1 Clay Logic 

Im Syslog wird uns beim Anstecken des Sticks dies entsprechend protokolliert:

2020-08-12T11:39:43.752414+02:00 localhost kernel: [12927.555574] usb 1-3.2: new full-speed USB device number 8 using xhci_hcd
2020-08-12T11:39:43.972344+02:00 localhost kernel: [12927.777441] usb 1-3.2: New USB device found, idVendor=20a0, idProduct=42b1, bcdDevice= 1.00
2020-08-12T11:39:43.972380+02:00 localhost kernel: [12927.777446] usb 1-3.2: New USB device strings: Mfr=1, Product=2, SerialNumber=3
2020-08-12T11:39:43.972384+02:00 localhost kernel: [12927.777448] usb 1-3.2: Product: Nitrokey FIDO2 2.0.0
2020-08-12T11:39:43.972386+02:00 localhost kernel: [12927.777450] usb 1-3.2: Manufacturer: Nitrokey
2020-08-12T11:39:43.972388+02:00 localhost kernel: [12927.777452] usb 1-3.2: SerialNumber: 123E456789000
2020-08-12T11:39:43.984359+02:00 localhost kernel: [12927.790662] hid-generic 0003:20A0:42B1.0005: hiddev98,hidraw4: USB HID v1.11 Device [Nitrokey Nitrokey FIDO2 2.0.0] on usb-0000:00:14.0-3.2/input0
2020-08-12T11:39:43.994456+02:00 localhost mtp-probe: checking bus 1, device 8: "/sys/devices/pci0000:00/0000:00:14.0/usb1/1-3/1-3.2"
2020-08-12T11:39:43.997465+02:00 localhost mtp-probe: bus: 1, device: 8 was not an MTP device

Für den Betrieb unter openSUSE Leap 15.2 müssen wir uns noch passende udev-Definitionen hier besorgen.

Wir wechseln also erst einmal in das entsprechende Konfigurationsverzeichnis /etc/udev/rules.d/.

 # cd /etc/udev/rules.d/

Dann holen wir uns die entsprechende Musterdatei auf unseren Rechner.

 # wget https://www.nitrokey.com/sites/default/files/41-nitrokey.rules

Zum Aktivieren unserer neuen udev-Regeldatei lassen wir diese nun erneut einlesen; hierzu verwenden wir folgenden Befehl:

 # udevadm control --reload-rules

Verwenden wir den Browser Google Chrome bzw. Chromium müssen wir nichts besonderes unternehmen, da diese bereits bestens vorbereitet sind. Auch beim Browser Firefox 78.0.2esr (64-bit) bedarf es keiner gesonderten Konfiguration mehr. Im Zweifelsfall kann man sich aber auch vergewissern, ob die Option hier richtig gesetzt ist.

Im Zweifelsfall geben wir also in der Adresszeile about:config ein und suchen dann nach der Option u2f.

Mit einem Doppelklick würden wir die Option aktivieren indem wir den Parameter auf auf true setzen..

Melden wir uns nun an einer Webseite an, werden wir wie gewohnt aufgefordert uns mit unserem Benutzer und dem zugehörigen Passwort anzumelden.

Nach dem Bestätigen der Daten werden wir nun gebeten unseren Nitrokey FIDO U2F-Stick anzustecken bzw. die Touch-Taste darauf zu drücken bzw. genauer gesagt zu berühren.

Nach einer Sekunde werden wir automatisch angemeldet und wir können den Stick wieder vom USB-Port abziehen.

• Zurück zu Projekte und Themenkapitel
• Zurück zur Startseite