Re: Authentification ssh et PAM
> Le 20 juil. 2023 à 10:16, didier gaumet <didier.gaumet@gmail.com> a écrit :
>
> Le 20/07/2023 à 09:25, Michel Verdier a écrit :
>> Le 19 juillet 2023 didier gaumet a écrit :
>>> Pour autant que ça s'applique ici, Wikipedia a une explication d'un mécanisme
>>> d'autentification à clés asymétriques par l'utilisation d'un double
>>> chiffrement avec les deux clés publiques (celles de chaque partie):
>>> https://fr.wikipedia.org/wiki/Cryptographie_asym%C3%A9trique#M%C3%A9canismes_d'authentification
>> En français c'est mieux :)
>> On retrouve Alice et Bob. Et effectivement le dernier truc sur lequel je
>> travaillais c'est de l'authentification qui crypte avec la clef privée,
>> d'où mon inversion pour ssh.
>
> Ah, c'est pas à moi que ça arriverait, ça: je ne me trompe jamais, qu'on se le dise ;-)
>
> D'ailleurs c'est à se demander quel phénomène occulte et maléfique est intervenu pour corrompre et distordre mon message précédent, puisque à le lire soigneusement ainsi que le lien qu'il cite, on s'aperçoit que je me suis encore planté (c'est pas un double chiffrement par les deux clés publiques, c'est un double chiffrement par la clé privée de l'émetteur puis la clé publique du destinataire ;-)
>
> Encore une preuve qu'il ne faut pas faire aveuglément confiance à un contributeur mais valider l'exactitude et la pertinence de ses propos :-)
>
Bonjour,
Il faut toujours vérifier.
Ça me semblait bizarre de chiffrer avec les deux clefs publiques.
En vérifiant, j’ai redécouvert le mécanisme que je connaissais de chiffrement d’un fichier par l’expérience avec la clef publique du destinataire.
C’est un mécanisme pour assurer la confidentialité.
En revérifiant, j’ai découvert le mécanisme de chiffrement d’un (hash de) fichier avec la clef privée de l’expéditeur, qui permet au destinataire de vérifier que l’expéditeur est bien celui qui le revendique.
C’est un mécanisme d’authentification (par signature).
Et si on combine les deux (chiffrement par l’expéditeur avec sa clef privée d’un hash du fichier et avec la clef publique du fichier, alors on obtient une communication confidentielle et authentifiée.
On peut donc supposer que le client ssh envoie simplement au serveur un message signé avec sa clef privée. Et le serveur ssh qui a une copie de la clef publique peut vérifier que celui qui demande la connexion est celui qu’il dit être (authentification).
Échanger ici a permis de mettre les idées au clair.
Merci.
PS : une fois cette authentification configurée, il faut penser impérativement à désactiver l’authentification par pwd ou bien avoir un fail2ban installé pour éviter des intrusions qu’on croirait devenues impossibles sans avoir la clef privée si longue (RSA 2048 ou 4096).
J’ai commencé à étudier PAM et ses fichiers de configuration.
En pratique, si j’utilise une clef USB sans chiffrement ou avec chiffrement ou carrément un HSM, PAM est-il transparent à utiliser (cad qu’il suffit de configurer account, auth, password, session) ou faut-il trouver/développer un composant logiciel pour interagir avec chaque type ou modèle de HSM ?
Quelle est votre expérience pratique avec un HSM/une clef USB et PAM ?
PS : La question viendra ensuite de savoir quelle confiance on peut accorder à PAM en tant que « bus/slot/interface). Cad quelle garantie apporte-t-il de n’être pas un trou de sécurité ?
Reply to: