✎ tutoriel:securiser_ubuntu_avec_peripherique_externe [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

====== Gérer la sécurité d'une installation ubuntu avec une clé usb ======
Ici nous verrons comment paramétrer le verrouillage/déverrouillage d'une installation d'Ubuntu avec une clé USB.

{{tag> sécuriser Ubuntu avec périphérique externe chiffrage déchiffrage encryptage décryptage clé usb automatique}}

===== Décrypter automatiquement une partition cryptée au démarrage =====

Si vous possédez une installation d'Ubuntu sur partition LUKS (Linux Unified Key Setup) et que vous en avez marre de taper le mot de passe à chaque démarrage, vous pouvez paramétrer une clé usb afin de vous authentifier automatiquement si cette dernière est branchée!

Si cette dernière n'est pas branchée, le mot de passe vous sera demandé.

<note warning>Il est plus que conseillé de faire un backup de la clé, l'histoire de pas tout devoir reparamétrer si perte de la clé.
De plus, Il est conseillé d'avoir une alternative de réparation (type livecd ou live usb) afin de pouvoir réparer le démarrage en cas de soucis!</note>
==== Prérequis ====

- Une partition de type LUKS avec ubuntu d'installé dessus
  - Une partition de boot séparée
  - Une clé usb ou un support amovible (testé avec carte SD et clé usb)

Vous pouvez avoir une installation de windows à coté. Ceci ne posera pas de soucis.

==== Etape 1 : Préparer la clé ====
<note warning>
Sauvegardez toute données présente sur la clé que vous allez utiliser!

De plus, soyez attentifs aux commandes, et ne validez celles-ci que lorsque vous-vous êtes relu!
Un risque de perte de données existe si vous faites des erreurs de code!
</note>
Créez une partition vierge de type ext4[3/2] d'au moins 1Mo sur le support. Utilisez **[[apt>gparted]]** par exemple.
<note>
Fat32 devrait fonctionner aussi, mais non testé. Vous pouvez aussi utiliser une seule partition sur toute la clé.
J'utilise personnellement une petite partition de 1Mo sur ma clé en ext4, puis le reste de la clé en fat32 pour compatibilité Windows.
</note>
<note important>
/dev/sdb1 représentera ici la partition de notre clé.
/dev/sda2 représentera ici la partition du disque crypté.
Vous pouvez identifier la votre dans gparted. Elle est situé en tout début de ligne à gauche de votre partition:

Attention, /dev/sdb représente la clé en entier, n'oubliez pas de spécifier le numéro de partition (sdb1, sdf2, sdc4... tout dépend de votre clé)
</note>

Montez la clé
<code>
mkdir /mnt/usb
mount /dev/sdb1 /mnt/usb
</code>

Créez un fichier "d'authentification" de 256octet sur la clé.
<code>
dd if=/dev/random of=/mnt/usb/.authkey bs=1 count=256
</code>

Puis démontezla clé.
<code>
sync
umount /mnt/usb
</code>

==== Etape 2 : Préparer la séquence de démarrage ====

Editez le fichier /etc/initramfs-tools/modules avec les droits root
<code>
sudo gedit /etc/initramfs-tools/modules
</code>

Et ajoutez les lignes suivantes au fichier.
  * Si vous utilisez une carte SD:
<code>
mmc_core
sdhci
mmc_block
aes_i586
sha256
dm_mod
dm_crypt
</code>
  * Si vous utilisez une clé USB:
<code>
usbcore
ohci_hcd
ehci_hcd
usb_storage
sd_mod
aes_i586
sha256
dm_mod
dm_crypt
</code>

Ajoutez la nouvelle configuration au système.
<code>update-initramfs -v -u</code>

==== Etape 3 : Paramétrer le démarrage ====

Montez la clé
<code>mkdir /mnt/usb
mount /dev/sdb1 /mnt/usb</code>
Ajoutez le fichier d'authentification aux clé connues
<code>cryptsetup luksAddKey /dev/sda2  /mnt/usb/.authkey</code>
Démontez la clé et redémarrez
<code>umount /mnt/usb
sync
reboot</code>
==== Etape 4 : Paramétrer le système ====

Redémarrez normalement.

Notez l'UUID (identifiant de partition) de la partition contenant la clé (/dev/sdb1), obtenu par cette commande:

(Nous prendrons ici **4645b6cb-80db-457b-8d46-fbb9fd33dxxb**. N'oubliez pas de le remplacer par le votre dans les commandes suivantes)
<code>sudo blkid /dev/sdb1</code>

Éditez le fichier /etc/crypttab avec les droits root:
<code>sudo gedit /etc/crypttab</code>

Vous devriez avoir quelque chose du genre:
<code>sda2_crypt          UUID=9df4f-878ytju-ilk45q-gfbb9f-d33dxxb       none                luks</code>
**9df4f-878ytju-ilk45q-gfbb9f-d33dxxb** est l'UUID de la partition cryptée

Dupliquez la ligne et changez le **none** par **UUID=4645b6cb-80db-457b-8d46-fbb9fd33dxxb:.authkey**, et rajoutez **,tries=3,keyscript=/usr/local/sbin/bootkeyscript** à la fin de la ligne

Soit après **luks** dans notre exemple. Attention à la virgule qui est importante, et à ne pas avoir de duplicata dans la ligne.

Notre fichier final ressemblera donc à quelque chose du genre:
<code>sda2_crypt          UUID=9df4f-878ytju-ilk45q-gfbb9f-d33dxxb       UUID=4645b6cb-80db-457b-8d46-fbb9fd33dxxb:.authkey                luks,tries=3,keyscript=/usr/local/sbin/bootkeyscript
sda2_crypt          UUID=9df4f-878ytju-ilk45q-gfbb9f-d33dxxb       none                                                                                                   luks</code>

Téléchargez [[https://dl.dropboxusercontent.com/u/11154643/bootkeyscript| ce script]] et placez le dans **/usr/local/sbin/bootkeyscript** à l'aide des droits root.
<code>sudo cp ~/Téléchargements/bootkeyscript /usr/local/sbin/bootkeyscript</code>
(N'oubliez pas de changez l'emplacement du fichier téléchargé si **~/Téléchargements/bootkeyscript** n'est pas sa localisation)

Donnez-lui les droits d’exécution:
<code>sudo chmod +x /usr/local/sbin/bootkeyscript</code>

Réactualisez la séquence de démarrage:
<code>update-initramfs -v -u</code>
Redémarrez et profitez! ;)
==== En cas de soucis ====

Si une erreur apparaît au démarrage indiquant quelque chose du genre "UUID=nf14k7-ui56gf-wzdf4gt1-yj3-61sd not found".

Et que vous tombez sur la console
<code>(initramfs)</code>

Alors le fichier **/etc/crypttab** n'est pas correct.
La procédure est comme ceci:
  * Démarrez sur un live cd ou live usb
  * Identifiez les emplacements de la partition de boot et la partition root avec gparted ici respectivement **/dev/sda1** et **/dev/sda2**
  * Identifiez l'UUID de la partitino cryptée par un:
<code>sudo cryptsetup luksUUID /dev/sda2</code>
  * créez le répertoire /tmproot:
<code>mkdir /tmproot</code>
  * montez les deux partitions:
<code>cryptsetup luksOpen /dev/sda2 tmproot
mount /dev/mapper/tmproot /tmproot
mount /dev/sda1 /tmproot/boot</code>
  * Chrootez-vous dans le système:
<code>chroot /tmproot</code>
  * [[:tutoriel:comment_modifier_un_fichier|Modifiez]] le fichier **/etc/crypttab**, et vérifiez que l'UUID de montage est bien celui de la partition cryptée.
  * Nous aurons donc, pour l'optimal:
<code>sda2_crypt   UUID=uuid-de-votre-partition-cryptee   none   luks</code>

<note warning>ATTENTION, **sda2_crypt** doit correspondre avec le nom de la partition montée en root listée dans le fichier /etc/fstab!

Sinon quoi, la partition sera bien décryptée au démarrage, mais absolument pas montée dans **/**, ce qui ne permettra bien évidement pas le démarrage!
Logiquement, vous n'avez pas à y toucher à n'importe quel moment du tutoriel. Seul le "none" et la partie "luks" sont à modifier dans l'étape 4!</note>

* Enregistrez et réactualisez la configuration:
<code>update-initramfs -v -u</code>
  * Redemarrez
===== Verrouiller / Déverrouiller l'écran avec une clé USB =====
==== Identifier l'ID de sa clé ====

Notez l'identification de la clé, obtenu par cette commande:
<code>lsusb</code>
Vous devrez obtenir une résultat similaire:
<code>Bus 001 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub
Bus 002 Device 002: ID 8087:0024 Intel Corp. Integrated Rate Matching Hub
Bus 001 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 002 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 003 Device 001: ID 1d6b:0002 Linux Foundation 2.0 root hub
Bus 004 Device 001: ID 1d6b:0003 Linux Foundation 3.0 root hub
Bus 001 Device 003: ID 114b:085b PNY 
Bus 002 Device 004: ID 035f:0945 Microsoft Corp. Nano Transceiver v1.0 for Bluetooth</code>

Nous choisirons ici la clé "PNY".
Retenez donc la section ID qui précède le nom du materiel. Ici:

**ID 114b:085b PNY**

==== Paramétrer et installer le script ====

Installez **[[apt>xscreensaver]]** (requis)
<code>sudo apt-get install xscreensaver</code>

Créez un script dans le répertoire **~/** (votre home) appelé **.autoLock**
Éditez avec gedit:
<code>touch ~/.autoLock
gedit ~/.autoLock</code>
Et on copie/colle le code suivant:
<code>#!/bin/bash
# A simple shell to lock / unlock your Desktop
# Ubuntu
# ----------------------------------------------------------------------------
# Original Script by Echowrap http://echowarp.neomenlo.org
# Modified by Vidyadhar D S <http://www.techienote.com/>
# vidyadhards@gmail.com techienote.com@gmail.com
# Translated and corrected by malabarth malabarth@gmail.com
# ----------------------------------------------------------------------------
#Replace with the ID of your USB device
id="ID 114b:085b PNY"
 
#runs every 2 seconds
for ((i=0; i<=30; i++))
do
if [ -z "`lsusb | grep "$id"`" ]
then
 
    echo "Clé d'authentification absente"
    if [ -n "`DISPLAY=:0.0 gnome-screensaver-command --query | grep "est actif"`" ]
    then 
    
    if [ -e /tmp/autoUnlock.lock ]
    then
    rm /tmp/autoUnlock.lock
 
fi
 
elif [ -e /tmp/autoUnlock.lock ]
then
 
    DISPLAY=:0.0 notify-send -t 5000 --icon=dialog-info "Clé d'authentification deconnectée" "A bientôt!"
    DISPLAY=:0.0 gnome-screensaver-command --lock
    rm /tmp/autoUnlock.lock
 
fi
else
 
    echo "Clé d'authentification connectée"
    if [ ! -e /tmp/autoUnlock.lock ]
    then
    
    DISPLAY=:0.0 gnome-screensaver-command --deactivate
    DISPLAY=:0.0 notify-send -t 5000 --icon=dialog-info "Clé d'authentification connectée" "Bienvenue!"
    touch /tmp/autoUnlock.lock
    
    fi
 
fi
sleep 2
done</code>

**ATTENTION** On n'oubliera pas de remplacer **ID 114b:085b PNY** par votre **ID**

Puis donnez-lui les droits d'execution:
<code>chmod +x .autoLock</code>
==== Ajouter aux tâches cron ====

<code>crontab -u votrenomdutilisateur -e</code>
On ajoute la ligne suivante:
<code>* * * * * bash /home/votrenomdutilisateur/.autoLock & >/dev/null 2>&1</code>
  * Enregistrez (ctrl + o)
  * Quittez (ctrl + x)

Redémarrez cron:
<code>sudo /etc/init.d/cron restart</code>

Voila, enlevez votre clé, l'écran devrait se verrouiller.
Remettez-là, L'écran se déverrouillera!

Si pas de clé, le mot de passe sera demandé comme un déverrouillage normal.

==== Utiliser une clé de décryptage ====
Si vous souhaitez verrouiller/déverrouiller avec la même clé (le même fichier .authkey) que lors du déchiffrement de votre partition cryptée, c'est possible.

Pour cela, copiez le fichier **.authkey** à la racine de votre home!

Identifiez le label de la partition de votre clé:
<code>sudo blkid</code>
Vous obtiendrez une liste des périphériques branchés.
Identifiez votre partition, et le label. Si elle ne possède pas de label, notez l'UUID.
<code># La première ligne est un exemple de partition avec label, la deuxième sans label:
/dev/sdb1: LABEL="PNY" UUID="820E-970B" TYPE="vfat"
/dev/sdb1: UUID="820E-970B" TYPE="vfat"</code>
Ici le label est **PNY**, si le label n'etait pas indiqué, il aurait fallu relever **820E-970B**:

[[:tutoriel:comment_modifier_un_fichier|Éditez le fichier]] .autoLock
<code>gedit ~/.autoLock</code>
Et remplacez la ligne contenant votre ID:
<code>id="ID 114b:085b PNY"</code>
Par cette ligne:
<code>LABEL="PNY"</code>
Bien entendu, remplacez **PNY** par votre LABEL (ou votre UUID si label inexistant), n'oubliez pas les guillemets.

Trouvez la ligne
<code>if [ -z "`lsusb | grep "$id"`" ]</code>
Et remplacez-la par:
<code>if !(diff ~/.authkey /media/$(whoami)/$LABEL/.authkey);</code>

Le système va maintenant chercher dans la partition indiquée (qui est automatiquement montée dans le repertoire /media/votrenomdutilisateur/LABELouUUID/) le fichier .authkey, et le comparer avec celui présent sur la clé!

Vous pouvez maintenant redémarrer!
==== En cas de soucis ====
Si problème il y a, loguez vous en console tty1 (ctrl + alt + 1), et déplacez le fichier exécutable:
<code>mv .autoLock .autoLock.bak</code>
Puis redémarrez! N'oubliez pas de supprimer la tâche de cron tab si vous ne souhaitez plus cette fonctionnalité!
<code>crontab -u votrenomdutilisateur -e</code>
====== Sources ======
[[http://web.archive.org/web/20100110234521/http://petaramesh.org/post/2007/11/29/Une-cle-de-contact-pour-votre-portable-chiffre]]

[[http://www.techienote.com/2011/03/lock-unlock-ubuntu-desktop-using-usb-drive.html]]

Merci de recopier le code ci-contre pour prouver que vous êtes humain : A A W V C Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported