Yubico PAM 模块技术文档

1. 安装指南

1.1 从 Git 源码构建

如果你使用的是官方打包版本，可以跳过此步骤。

首先，使用 Git 克隆源码：

$ git clone https://github.com/Yubico/yubico-pam.git

这将创建一个名为 yubico-pam 的目录。

接下来，安装构建所需的依赖项：

• Autoconf
• Automake
• Libtool
• Asciidoc
• Xsltproc
• Docbook-xsl

生成构建系统：

$ cd yubico-pam
$ autoreconf --install

1.2 依赖项安装

在构建之前，确保已安装以下依赖项：

• libykclient（ykclient.h, libykclient.so）
• libpam-dev（security/pam_appl.h, libpam.so）
• cURL
• libyubikey

如果需要离线验证（Challenge-Response），还需要安装 libykpers-1，它来自 yubikey-personalization 项目。

1.3 构建与安装

运行以下命令来设置构建系统：

$ ./configure

如果不需要 LDAP 支持，可以使用 --without-ldap 选项。

然后构建代码、运行自检并安装二进制文件：

$ make check install

2. 项目的使用说明

2.1 配置 PAM

在 /etc/pam.d/ 目录下的适当文件中添加以下行来配置 PAM：

auth sufficient pam_yubico.so id=[Your API Client ID] debug

并将 pam_yubico.so 移动到 PAM 模块所在的目录（通常是 /lib/security/）：

mv /usr/local/lib/security/pam_yubico.so /lib/security/

2.2 支持的 PAM 模块参数

• authfile：指定保存 YubiKey 令牌 ID 与用户名映射的文件路径。
• id：Yubico 验证服务器的 API 客户端 ID。
• key：客户端密钥，以 base64 格式表示。
• debug：启用调试输出。
• debug_file：指定调试输出的文件名。
• alwaysok：使所有认证尝试成功（演示模式）。
• try_first_pass：在提示用户输入密码之前，先尝试使用前一个模块的密码。
• use_first_pass：强制模块使用前一个模块的密码，不会提示用户。
• always_prompt：无论用户是否配置了 YubiKey，都提示输入 YubiKey OTP。
• nullok：如果没有为该用户声明令牌，则不失败。
• ldap_starttls：在 LDAP 连接上发出 STARTTLS 命令。
• ldap_bind_as_user：使用登录用户绑定到 LDAP。
• urllist：指定要使用的 URL 模板列表。
• url：指定要使用的 URL 模板（不推荐使用，建议使用 urllist）。
• capath：指定 X509 证书的存储路径。
• cainfo：允许使用 CA 捆绑包而不是路径。
• proxy：指定连接到验证服务器的代理。
• verbose_otp：显示输入的 OTP（不推荐使用）。
• ldap_uri：指定 LDAP 服务器 URI。
• ldapdn：指定用户存储的 DN。
• ldap_clientcertfile：与 LDAP 服务器通信时使用的客户端证书文件路径。
• ldap_clientkeyfile：与 LDAP 服务器通信时使用的客户端密钥文件路径。
• ldap_bind_user：尝试绑定到 LDAP 的用户。
• ldap_bind_password：绑定到 LDAP 时使用的密码。
• ldap_filter：用于在 LDAP 中查找正确对象的过滤器。
• ldap_cacertfile：LDAP 连接的 CA 证书文件。
• user_attr：指定用于存储用户名的 LDAP 属性。
• yubi_attr：指定用于存储 YubiKey ID 的 LDAP 属性。
• yubi_attr_prefix：指定 LDAP 属性值的前缀。
• token_id_length：OTP 前缀的长度。
• mode：操作模式，可以是 "client" 或 "challenge-response"。
• chalresp_path：用于存储挑战文件的目录。
• mysql_server：MySQL 服务器的主机名/地址。
• mysql_port：MySQL 服务器的网络端口。
• mysql_user：访问 MySQL 数据库的用户。
• mysql_password：MySQL 用户的密码。
• mysql_database：要使用的 MySQL 数据库。

3. 项目 API 使用文档

3.1 在线验证

在线验证模式通过 Yubico 验证服务（如 YubiCloud）进行验证。使用 mode=client 参数来启用此模式。

3.2 离线验证

离线验证模式使用 YubiKey 的 HMAC-SHA1 Challenge-Response 功能进行验证。使用 mode=challenge-response 参数来启用此模式。

3.3 调试输出

通过 debug 参数启用调试输出，调试信息将输出到标准输出或指定的 debug_file。

4. 项目安装方式

4.1 Fedora/EPEL

在 Fedora/EPEL 上，可以使用 yum 安装预编译的包：

$ sudo yum install pam_yubico

4.2 Ubuntu PPA

在 Ubuntu 上，可以使用 PPA 安装：

$ sudo add-apt-repository ppa:yubico/stable
$ sudo apt-get update
$ sudo apt-get install libpam-yubico

安装后，可以查看 /usr/share/doc/libpam-yubico/README.Debian 文件获取更多信息。

4.3 FreeBSD ports

在 FreeBSD 上，可以通过 ports 安装：

$ cd /usr/ports/security/pam_yubico
$ make install clean

高级配置说明可以在相关文档中找到。

5. 授权映射文件

授权映射文件用于将 YubiKey 令牌 ID 与用户名进行映射。文件格式如下：

[用户名] [YubiKey 令牌 ID]

例如：

user1 cccccccc
user2 dddddddd

确保文件的权限设置为仅 root 可读写，以保证安全性。

6. 注意事项

• 物理访问通常可以绕过安全控制。如果攻击者可以物理访问系统并进入单用户模式，他们可以禁用 yubico-pam。
• 使用 debug 参数时，建议创建一个全局可写的日志文件：

touch /var/run/pam-debug.log
chmod go+w /var/run/pam-debug.log

通过以上步骤，您可以成功安装、配置和使用 Yubico PAM 模块，实现 YubiKey 的双因素认证。