✎ tutoriel:authentification_usb [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

{{tag>Xenial Trusty tutoriel authentification téléphone sécurité}}

----

====== Comment s'authentifier sur Ubuntu à partir d'une clé USB ou d'un téléphone ======

Voici un courte description sur comment configurer Ubuntu et une clé USB (et par extension un téléphone vous donnant accès à un stockage USB) afin de pouvoir vous authentifier sur Ubuntu.

Vous pouvez utiliser ce fonctionnement pour plus de simplicité. Lorsque vous brancher votre téléphone à votre ordinateur il se connecte, lorsque vous le déconnectez l'écran de veille s'affiche et ce sans devoir saisir un  mot de passe.

Il est aussi possible pour mettre en place une [[wpfr>authentification forte]], via les deux facteurs d'authentification (téléphone ET saisie d'un mot de passe). Ce second cas, plus risqué car il est possible bloquer sa connexion, ne sera pas traité dans ce tutoriel mais facilement extrapolable.

===== Pré-requis =====

* Disposer d'une connexion à Internet configurée et activée.
  * Disposer des [[:sudo|droits d'administration]].
  * Disposer d'une clé USB ou d'un téléphone permettant le stockage USB.

===== Installation =====
==== Avant Ubuntu 16.04 ====

Il vous suffit, pour cela, d'[[:tutoriel:comment_installer_un_paquet|installer le paquet]] **[[apt>libpam-usb]]**.

====À partir d'Ubuntu 16.04====
Le paquet précédent ne se trouve malheureusement plus dans les dépôts officiels, il faut donc les télécharger manuellement, 3 paquets sont necéssaires. Téléchargez donc et [[:tutoriel:comment_installer_un_paquet|installez]] pour les [[:architecture matérielle|architectures]] 64 bits :
  * [[http://launchpadlibrarian.net/180428026/udisks_1.0.5-1build1_amd64.deb|udisk]]
  * [[http://launchpadlibrarian.net/103753206/pamusb-common_0.5.0-4_amd64.deb|pamusb-common]],
  * [[http://launchpadlibrarian.net/103753205/libpam-usb_0.5.0-4_amd64.deb|libpam-us]].
Pour les architectures 32 bits :
  * [[http://launchpadlibrarian.net/180428026/udisks_1.0.5-1build1_i386.deb|udisk]]
  * [[http://launchpadlibrarian.net/103753206/pamusb-common_0.5.0-4_i386.deb|pamusb-common]],
  * [[http://launchpadlibrarian.net/103753205/libpam-usb_0.5.0-4_i386.deb|libpam-us]].

=====Configuration=====
==== Déclarer votre périphérique (clé USB, téléphone) auprès de PAM ====

Ce mécanisme étant basé sur la détection automatique des périphériques de stockage USB, nous vous conseillons de laisser brancher que celui que vous souhaitez configurer. Dans le cas contraire, un choix vous sera proposé.

<code bash>
sudo pamusb-conf --add-device un_nom_a_votre_convenance</code>

**Pamusb-conf** va lister les périphériques USB montés sur l'ordinateur, dans le cas où il n'y en a qu'un il vous le proposera d'office, il suffira donc de taper Y et entrée : <code bash>
Please select the device you wish to add.
* Using "Key File-CD Gadget (0123456789ABCDEF)" (only option)

Which volume would you like to use for storing data ?
* Using "/dev/sdb1 (UUID: C099-1AA8)" (only option)

Name		: un_nom_a_votre_convenance
Vendor		: KeyVendor
Model		: File-CD Gadget
Serial		: 0123456789ABCDEF
UUID		: C099-1AA8

Save to /etc/pamusb.conf ?
[Y/n]
</code>

Dans le cas où il y en a plusieurs il les liste et leur attribue un numéro, à vous de choisir celui que vous voulez.
Laissez le terminal ouvert. Il est préférable de n'avoir que la clé USB voulue de connectée pour éviter toute confusion au moment de cette manipulation.
<note>Pour ceux qui tentent d'utiliser une SD card plutôt qu'une clé USB, le périphérique est appelé mmcblk0 ou équivalent</note>

==== Déclarer un utilisateur auprès de PAM ====

<code bash>sudo pamusb-conf --add-user nom_d_utilisateur</code>
"nom_d_utilisateur" est à remplacer par le nom d'utilisateur de votre PC.
<code bash>Which device would you like to use for authentication ?
* Using "un_nom_a_votre_convenance" (only option)

User		: votre_login
Device		: un_nom_a_votre_convenance

Save to /etc/pamusb.conf ?
[Y/n] Y
Done.
</code>

==== Tester votre configuration====
Nous allons simuler l'authentification d'un utilisateur pour voir si cela fonctionne, tapez dans le [[:terminal]] :
<code bash>
pamusb-check nom_d_utilisateur</code>

Si vous avez pour résultat :

<code>
* Pad checking failed !
* Access denied.
</code>

Faites un peu de ménage avec :

<code>
rm ~/.pamusb/*</code>

Vous pouvez aussi débranchez puis rebranchez votre périphérique.

Lorsque c'est bon, vous pouvez insérer dans le terminal :

<code>su nom_d_utilisateur</code>

et oh magie, vous n'avez plus votre mot de passe à insérer :-)

====(Dé)verrouiller automatiquement votre écran de veille lorsque vous (dé)branchez votre téléphone====

PAM permet de détecter la connexion de votre périphérique. Nous avons en profiter pour verrouiller l'écran de veille lorsque le téléphone est débrancher et le déverrouiller lorsqu'il est branché.

[[:tutoriel:comment_modifier_un_fichier|Editez avec les droits d'administration le fichier]] **/etc/pamusb.conf** et insérer les lignes :
<file /etc/pamusb.conf>
<agent event="lock">gnome-screensaver-command -l</agent> 
<agent event="unlock">gnome-screensaver-command -d</agent>
</file>

entre les balises </device> (au singulier) et </user> (au singulier aussi) concernant votre périphérique et votre utilisateur. Les deux commandes précédentes ayant complété ce fichier automatiquement.

Puis pour détecter les (dé)branchements de votre périphérique il suffit d’exécuter (dans préférence dans un autre terminal afin d'avoir la trace) :
<code>
$ pamusb-agent
</code>

Il ne reste plus qu'à débrancher la clé USB / le téléphone pour s'apercevoir que, oh miracle, l'écran de veille se verrouille. Et le rebrancher pour s'apercevoir que oh miracle... il ne se passe rien.

<note important> En effet, sous la 14.04, la commande "gnome-screensaver-command -d" ne fonctionne pas par défaut, il faut configurer l'écran de veille grâce à :

<code>
gsettings set org.gnome.desktop.a11y.applications screen-keyboard-enabled true
</code>
</note>

Ne reste plus qu'à automatiser le démarrage de pamusb-agent, pour se faire aller dans "Applications au démarrage" et ajouter une entrée ayant pour commande "pamusb-agent".

===== Pour aller plus loin =====

A priori il est possible de réaliser la même action avec le Bluetooth.

La configuration par défaut vous permet de vous authentifier soit avec le mot de passe soit avec la clé USB. Pour mettre en place une authentification forte avec le mot de passe ET la clé, nous vous conseillons de lire [[https://wiki.debian.org/pamusb#Profiles_for_the_Authentication|cette documentation]].
SI ce n'est que le fichier à configurer sous Ubuntu 14.04 est : /etc/pam.d/common-auth

<note important>Attention cette manipulation peut se révéler dangereuse. En cas de mauvaise manipulation, il faudra redémarrer avec sous un live-CD pour remettre le paramètre initial.</note>

===== Voir aussi =====

* **(en)** [[https://ubuntuportal.com/2012/11/how-to-login-into-ubuntu-12-10-using-usb-flash-drive.html|article limpide pour Ubuntu 12.10 mais incomplet]]
  * **(en)** [[http://linuxconfig.org/linux-authentication-login-with-usb-device|article plus complet]]
  * **(en)** [[https://github.com/aluzzardi/pam_usb/wiki/Getting-Started|une très bonne doc. en anglais]]
  * **(en)** [[https://bugs.launchpad.net/ubuntu/+source/gnome-screensaver/+bug/1307163|la page donnant la solution pour le problème de désactivation de l'écran de veille sur la 14.04]]
  
----

Contributeurs principaux : [[utilisateurs:root75]].

Merci de recopier le code ci-contre pour prouver que vous êtes humain : X X N G D Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported