Bug 55694
| Summary: | Настройка OpenSSH доступа по Рутокен MFA | ||
|---|---|---|---|
| Product: | Sisyphus | Reporter: | Сергей <it.kkx> |
| Component: | openssh | Assignee: | Gleb F-Malinovskiy <glebfm> |
| Status: | CLOSED FIXED | QA Contact: | qa-sisyphus |
| Severity: | normal | ||
| Priority: | P5 | CC: | glebfm, glinkinvd, it.kkx, ldv, vt |
| Version: | unstable | ||
| Hardware: | x86_64 | ||
| OS: | Linux | ||
Необходимо отметить, что при описанной ранее проблеме рутокен mfa без проблем позволяет защитить аккаунты в веб-сервисах, поддерживающих спецификацию WebAuthn, в частности в mail.ru (https://dev.rutoken.ru/pages/viewpage.action?pageId=155942942). Также выполнение рекомендаций не исправило проблему: Чтобы Рутокен MFA мог работать в системах GNU/Linux: Откройте терминал и введите команду: sudo nano /lib/udev/rules.d/70-u2f.rules Затем введите строки: #Rutoken KERNEL=="hidraw*", SUBSYSTEM=="hidraw", ATTRS{idVendor}=="0a89", ATTRS{idProduct}=="0093", TAG+="uaccess" Сохраните файл. Для этого нажмите Ctrl + O или F3. Здравствуйте! Подтверждаю вашу проблему при создании ключей. > ssh-sk-helper: No FIDO SecurityKeyProvider specified Нужна внешняя библиотека для поддержки U2F/FIDO, переданная в SSH_SK_PROVIDER=<путь> либо встроенная поддержка в openssh. В 2019 году такая библиотека была добавлена в libfido2 - https://github.com/Yubico/libfido2/commit/601565cbfab772e4adda2d6de1d7f46e9d913193 В 2020 году она была удалена из libfido2 - https://github.com/Yubico/libfido2/commit/2ba6c6afe5f2d1717bf366da043ccb515fbed8de с комментарием "the openssh middleware now lives with openssh itself" В репозитории openssh собран без опции security_key_builtin, что отключает встроенную поддержку U2F/FIDO: %def_without security_key_builtin openssh-9.6p1-alt4 -> sisyphus: Wed Aug 27 2025 Anton Zhukharev <ancieg@altlinux> 9.6p1-alt4 - NMU: Enabled FIDO2 security key support (ALT#55694). спасибо! Все работает. $ ssh-keygen -t ecdsa-sk -O resident Generating public/private ecdsa-sk key pair. You may need to touch your authenticator to authorize key generation. Enter PIN for authenticator: You may need to touch your authenticator again to authorize key generation. Enter file in which to save the key (/home/user_name/.ssh/id_ecdsa_sk): Enter passphrase (empty for no passphrase): Enter same passphrase again: Your identification has been saved in /home/user_name/.ssh/id_ecdsa_sk Your public key has been saved in /home/v0lk/.ssh/id_ecdsa_sk.pub The key fingerprint is: SHA256:Ri8gdbfCDxt4alt/enF0+GvOYR9uRdE3yj0SFYrNQ1U v0lk@intel-v The key's randomart image is: +-[ECDSA-SK 256]--+ | . . . .o+E| | . + . .=..oo| | . o B ...=+.+| | . = B ++oo| | o S o ..+.| | . + o . . o| | . . .o +o| | o. +++| | .. ++.| +----[SHA256]-----+ |
Description
Сергей 2025-08-22 12:32:30 MSK