Znas nejaky levny, ktery pujde snadno pod Linuxem?
Taková střední cesta býval Feitian, kterej funguje v pohodě s OpenSC, ale má dvě nevýhody:
1. čínský výrobce - někteří lidi tvrdí, že mu nevěří tolik, jako výrobcům z US a že prý se jim nelíbí nějaké ne úplně transparentní konstanty, co se prý někde ve zdrojácích používají. To už je na tobě, jakou máš míru paranoie... Každopádně OpenSC je opensource, takže tady jde jenom o riziko, že k tobě fyzicky přijde nějakej Číňan záměrně proto, aby ukradl ausgerechnet tvůj token s ausgerechnet tvým klíčem. Nevím, nakolik to považuješ za reálný riziko pro tebe osobně
2. svýho času šel koupit přes prodejce ve Francii (gooze.eu*), ale ti už to teď neprodávají, prý by to mělo jít koupit napřímo od Číňanů, ale to nevím.
Cena byla nějaká rozumná, do tisícovky u usb tokenu a u smartkarty snad dvě stovky? Už nevím, musel by ses poohlídnout.
Kdybys pokukoval po jiné značce, tak si hlavně dej pozor na to, jestli to je opravdu hw token a ne nějaký šméčko, který vlastní šifrování/podepisování dělá v sw... Musíš se dívat na konkrétní model - třeba Aladdin měl vtipně řadu 1000,2000 a 3000, kde první z nich byl sw a další už hw... 2k a 3k už se lišily myslím jenom FIPS certifikací nebo tak něco, ale 1k řada byla vyloženě šmé...
Asi nejlepší máš se kouknout na
https://www.opensc-project.org/opensc/wiki/SupportedHardware* ještě mají na webu návody, tak na to můžeš kouknout, jak se to používá - např.
http://www.gooze.eu/howto/using-openssh-with-smartcards/using-ssh-authentication-agent-ssh-add-with-smartcardsRad bych mel i moznost pouzivat aplikaci na Androidu, nejen hw zarizeni.
S tokenem/kartou se s trochou fantazie dají dělat různý kouzla, protože prostě v kartě máš normální RSA klíč a karta umí na žádost podepsat hash, aniž by klíč kartu opustil. Je na to standardní API (PKCS11), který pak umí různý softwary použít (např. PAM, Firefox, SSH, ssh-agent, windows...)
Protože je to otevřenej standard, můžeš si něco dopsat i sám - já jsem třeba zkusil takovouhle věc:
https://github.com/mprymek/cagent (BACHA! Nejsem žádnej bezpečnostní expert, takže použití čistě na vlastní nebezpečí!)
Je mozne pak pouzivat token i pro pristup napr. ke Google uctu?
Jsou nejspíš různý způsoby, ale žádnej nemám vyzkoušenej, takže nemůžu doporučit. Např. v MacOSu jde klíčem na smartkartě zamykat Keychain, kde můžeš mít uložený různý hesla k webům. Podobně to nejspíš bude s nějakýma těma gnome-keyringama apod., nevím, nepoužívám.
Jestli má Google nějakej oficiální support pro přímý přihlašování s využitím PKCS11, to nevím, ale nejspíš ne:
https://productforums.google.com/forum/#!topic/chrome/hWW4OwtFxdY
8 Odpovědí
3661 Zhlédnutí