Dropbox introduce il supporto per U2F

Il supporto allo standard U2F arriva anche per Dropbox. Ora già due grandi colossi dell'IT (Google e ora anche Dropbox) prevedono questo metodone come secondo fattore di autenticazione. Speriamo che molti altri prendano questa strada, e che magari, in un futuro non troppo lontano, anche gli istituti bancari (PayPal in primis) introducano questo fantastico sistema. Addio a tutti i token generator che ci portiamo dietro. Alcuni potrebbero obbiettare che le app per iPhone e Android che permettono di generare gli OTP (Google Authenticator in primis) possano essere già un'ottima soluzione al problema di avere un secondo fattore di autenticazione solido. E io condordo in pieno. Il difetto di queste app a mio avviso è che sono fortemente legate al telefono, un dispositivo che un giorno c'è e il giorno dopo non c'è più: perchè è stato sostituito, smarrito, rubato oppure semplicemente formattato. Una volta che questo succede è necessario effettuare le operazioni di recupero della password per ogni servizio che va ad utilizzare l'OTP. Con le chiavi di sicurezza invece si ha uno strumento dedito ad un unico scopo. Una stessa chiave permette il login a più servizi e pià chiavi possono essere associate al medesimo servizio. Questo ci permette

Continua a leggere >>>

Compilare pam-u2f e integrarlo nell'autenticazione in Linux

Premetto che su CentOS 6 questo è ancora un work in progess, probabilmente sbaglierò io qualcosa, ma i binari e le librerie prodotte non riescono a instaurare una comunicazione corretta tra bus USB e sistema, anche se la Yubikey viene vista correttamente dal sistema. La compilazione di pam-u2f richiede parecchie dipendenze e le librerie necessarie non sono disponibile nei repo ufficiali (incluso epel). Preso dalla frustrazione ho tirato su una VM CentOS 7 e con grande soddisfazione ho trovato alcune librerie necessarie (json-c e hidapi) in epel. In questo caso la compilazione va a buon fine in maniera semplice semplice e possibile applicare il modulo pam-u2f a tutte quelle applicazioni pam-aware. Lo stesso vale per Debian 8. Nel caso non sapeste cosa e come funzioni PAM, consiglio la lettura di questo ottimo articolo. Vi darà un'infarinatura generale sulle potenzialità di PAM, uno strumento spesso non considerato. INSTALLAZIONE Per prima cosa installiamo un po' di pacchetti necessari, per la guida prenderò in considerazione installazioni CentOS 6 e CentOS 7: yum groupinstall "Development Tools" yum install epel-release json-c json-c-devel hidapi hidapi-devel gengetopt help2man openssl openssl-devel check check-devel pam-devel Da tenere in considerazione che alcuni pacchetti come json-c (presente nei repo, ma non

Continua a leggere >>>

Integrazione FIDO U2F con WordPress

Oggi parliamo di U2F (Universal Second Factor), una tecnologia sponsorizzata dalla FIDO Alliance. Esistono due implementazioni di questa tecnologia per WordPress, entrambe sono pacchettizzate in comodi plugin da aggiungere al vostro blog. Il primo rilasciato direttamente da Yubico necessita dell'utilizzo di composer per risolvere un po' di dipendenze. In entrambi i casi è consigliabile (per il secondo plugin è un requisito) usare una versione di PHP pari o superiore alla 5.5. Per l'installazione basta eseguire il seguente comando nella cartella wp-content/plugins/ git clone https://github.com/Yubico/wordpress-u2f L'unico valore da impostare è l'AppID, si tratta semplicemente del nostro dominio preceduto da http:// o https://. Il secondo plugin invece è scritto da una terza parte. Molto valido. Ne caso non avessimo una chiave U2F ci permetterà di autentificarsi tramite l'utilizzo di un token inviato alla casella mail. Al momento in cui scrivo è presente un problema, ho dovuto fare un bel po' di debug per scovare l'inghippo, in quanto i messaggi di errore non sono proprio così chiari. Una volta scaricato il plugin nella cartella dei plugin di WordPress bisognerà modificare un file. Attenzione che il progetto include moduli da altri repository. Nel caso si utilizzasse git sarà necessario usare l'opzione --recursive oppure dopo

Continua a leggere >>>