SecSign ID Plugin: FTP PAM

Bevor Sie damit beginnen das SecSignID PAM als Authentifizierung für ProFTPd zu nutzen, lesen Sie sich bitte das Tutorial für das SecSign ID PAM Tutorial durch und befolgen die Schritte 3-5 um das PAM korrekt zu konfigurieren und installieren.

Hinweis: Die Verwendung des FTP-Protokolls ohne weitere Sicherheitsmaßnahmen wird als sehr kritisch eingestuft, da die Übertragung unverschlüsselt stattfindet. Kennwörter und Daten werden als Klartext übertragen und können mitgelesen werden. FTP über SSL/TLS schafft als FTPS verschlüsselte Übertragungswege und mit der SecSignID Zwei-Faktor Authentifizierung wird die Authentifizierung abgesichert.

Da es verschiedene Wege gibt, die FTP Verbindung zu verschlüsseln, wird im weiteren Verlauf trotzdem nur von FTP gesprochen – eine verschlüsselte Verbindung wird aber vorausgesetzt, auch wenn die Zugriffsdaten dank der SecSign ID 2FA nicht mehr kompromittiert werden können.

In diesem Tutorial verwenden wir den bekannten FTP Server „ProFTPd“. Andere FTP Server wie zum Beispiel „vsftpd“ unterstützen ebenfalls PAM und werden genau so oder sehr ähnlich wie hier beschrieben mit der SecSignID verbunden.

Kurzversion der Konfiguration & Installation:

1. libcurl und gcc werden vorrausgesetzt
2. SecSignID PAM anfragen und entpacken
3. Pfade zur Konfigurationsdatei in secsign.c anpassen
4. Namen aller Nutzer und dazugehörige SecSignIDs in secsignid.config eintragen
5. make
6. Die kompilierte Datei pam_secsignid.so in die PAM Bibliothek kopieren (normalerweise /lib/security)

Installieren Sie ProFTPd als Standalone Version über apt-get install proftpd openssl. Öffnen Sie die Konfigurationsdatei /etc/proftpd/proftpd.conf und treffen Sie alle umgebungsspezifischen Einstellungen für FTP wie zum Beispiel die Übertragung via TLS. Das Konfigurations-Script von ProFTPd schaut nach ob das System PAM unterstützt und lädt mod_auth_pam automatisch. Bei anderen FTP Servern wie zum Beispiel „vsftpd“ kann es sein, dass man in der Konfigurationsdatei explizit die Verwendung von PAM angeben muss.

Um dem Nutzer etwas Zeit zu geben, den Login auch auf seinem Smartphone zu bestätigen, sollten die Werte TimeoutNoTransfer, TimeoutStalled und TimeoutIdle entsprechend verlängert werden, auf mindestens 2 Minuten.

Öffnen Sie dann die Konfigurationsdatei für die ProFTPd PAM Einstellungen /etc/pam.d/proftpd und ändern Sie es wie folgt ab:

#%PAM-1.0
auth [success=1 default=ignore] pam_secsignid.so
auth requisite pam_deny.so
auth required pam_permit.so
#auth required pam_listfile.so item=user sense=deny file=/etc/ftpusers onerr=$
#@include common-auth 

Speichern Sie die Datei und starten Sie den FTP Server neu, in dem Fall mit service proftpd restart.

Nun kann der FTP Server getestet werden. Dazu sollte im entsprechenden FTP Client-Programm wie zum Beispiel FileZilla die Timeout Zeit auf 2 Minuten hochgesetzt werden, damit der Nutzer ausreichend Zeit hat den Login auf seinem Smartphone zu bestätigen.v

Fehler beim Kompilieren

Die Bibliothek libcurl muss im Standardpfad installiert sein, ansonsten schlägt make fehl. Befindet sich libcurl außerhalb der Standardpfade, muss manuell kompiliert werden.

Fehler bei der Authentifizierung

Gibt es Fehler bei der Authentifizierung sollte immer der Debug- sowie der Logmodus aktiviert werden (siehe PAM Debug- & Logmodus) und die Ausgaben in eine Datei geschrieben werden, da das PAM normalerweise still ist und keine Ausgaben zulässt (sicherheitsrelevant). Werden trotzdem keine Log- oder Debug Dateien erstellt, sind die in secsignid.c angegebenen Pfade fehlerhaft bzw. es besteht kein Lese- & Schreibrecht.

Es wird dann eine Log-Datei erstellt, wo generelle Fehler aufgezeichnet werden. Arbeitet libcurl korrekt und ist der SecSignID Server erreichbar? Ist Port 443 verfügbar um mit dem Server zu kommunizieren? Wird die Konfigurationsdatei gefunden und hat das PAM Lesezugriff darauf?

Es wird eine Debug-Datei erstellt, wo die Schnittstellen Kommunikation aufgezeichnet ist. Gibt es Fehler bei der Kommunikation, weil keine SecSignID zu dem Nutzer gefunden werden kann oder gibt es Fehler bei einem der Parameter, wie Servicename?