Можно ли настроить аутентификацию по USB-токену перед загрузкой операционной системы?

Question

[Sancho_Pansa]

Можно ли настроить аутентификацию по USB-токену перед загрузкой операционной системы?

Comments

[Михаил]

Можно, например, с помощью Rohos Logon Key

[AlexVWill]

hint000, или их собственный самописный загрузчик...

[kalapanga]

Подозреваю, что тут в вопросе просто формулировка неудачная. Может всё таки не "перед операционной системой", а просто логон пользователя в операционной системе имелся ввиду?

[CityCat4]

Можно. Какова модель нарушителя?

Answer 1

[KillJ0y]

Сделать можно, работает в Linux, требуется USB token с поддержкой openpgp, создаёте подпись, подписываете ядро, и Luks шифрование диска с ключевым файлом на токене. Сертификат проверяет подпись ядра на действительность через индикатор на токене сообщает что все ок, а дальше расшифровать диск пин токена+пароль+и ключевой файл на токене

Comments

[KillJ0y]

Sancho_Pansa, все есть в репозитории, пакет gpg для генерации серта/подписи, токен на который экспортнуть, собрать initramfs с необходимыми библиотеками для инициализации, и пара скриптов. Ну и настроить все точки монтирования, дело не простое. Есть вариант по проще с veracrypt и полным шифрованием системы. Только проверки по токену на изменение и ключевого файла не будет. Про шифрование luks с ключевым файлом писали. На сайте рутокен можно посмотреть в инструкциях что нибудь найдётся. У меня эцп 2.0 флеш, так загрузчик и первичный initramfs на нем находятся. Он сначала расшифровывает раздел с ядром и потом его запускает а там уже стандартный запуск. А т.к. раздел на токене не изменяем без в режиме r/o изменить его случайно не удасться.