OVH Cloud OVH Cloud

PKI ? Token ? Gina.dll ? Quelle methode utiliser pour de l'authentification Physique ?

44 réponses
Avatar
Imochon
Bonjour a tous,

Je me renseigne actuellement sur une methode d'authentification permettant
de rendre accessible un pc uniquement si un clé USB est connecté avec un
fichier dauthentification dessus.

Il y a des déjà des offres comme celle de Placoot par exemple qui correspond
parfaitement a ce que je souhaite :
http://fr.palcott.com/products/naturallogin/screenshots.php

par contre je me dis que l'on peut peut-etre créer soit mm une telle
solution avec des bases de de développement et un cle usb ;)

J'ai effectué qq recherches mais rien de bien top mis a part le fait que
tout part de la gina.dll pour l'ouverture de sessiosn. par apres je ne sais
comment faire ..

Des idées ? Avis ? Suggestiosn ?

D'avance merci.

10 réponses

1 2 3 4 5
Avatar
Arnold McDonald
"YBM" a écrit dans le message de news:
42f42031$0$19282$

(j'avais un peu bricolé
avec une Gina pour openldap sans succès ceci dit).


Oui, on ne "bricole" pas avec une Gina.

Vous voulez dire
que le développement d'une simple procédure internationalisable de
login sous Windows prend entre 3 et 6 mois pour un dévelopeur qualifié,
alors que qu'avec un .dm quelconque sous Linux et un bête module PAM
on s'en tire en deux semaines (dans le pire des cas) sous UNIX/Linux ??


On ne code pas un produit professionnel, sécurisé, vérifié, testé, etc. en
deux semaines. Linux ou pas. Le jour où je voudrai être célèbre, j'écrirai
une encyclopédie avec toutes les bêtises que j'ai pu lire sur Linux (j'ai à
peu près tout lu, sauf que ça faisait les crêpes). Ce sera un gros pavé...
Sinon, il ne faut certes pas 6 mois, mais un truc bien pro, compte bien 4-5
bonnes semaines va.

Si vous avez raison, vous venez d'expliquer pourquoi Windows n'existera
plus dans dix ans, sinon comme traces.


Mais oui. Celle là, ça fait depuis 1994 qu'on la sort et on attend toujours
la fin de Microsoft et les parts de marché significatives de Linux.
Pourtant, partout où ce n'est pas imposé (enseignement, administrations,
etc.), je veux dire, partout où t'as le libre choix de choisir ton OS, ben,
je vois toujours autant de Mac, de Windows, de Linux et d'Unix-like. Cela ne
bouge pas vraiment.

Bref, je t'embaucherai pas comme oracle :-).

--
Arnold McDonald (AMcD®)

http://arnold.mcdonald.free.fr/

Avatar
YBM
Vous voulez dire
que le développement d'une simple procédure internationalisable de
login sous Windows prend entre 3 et 6 mois pour un dévelopeur qualifié,
alors que qu'avec un .dm quelconque sous Linux et un bête module PAM
on s'en tire en deux semaines (dans le pire des cas) sous UNIX/Linux ??



On ne code pas un produit professionnel, sécurisé, vérifié, testé, etc. en
deux semaines. Linux ou pas. Le jour où je voudrai être célèbre, j'écrirai
une encyclopédie avec toutes les bêtises que j'ai pu lire sur Linux (j'ai à
peu près tout lu, sauf que ça faisait les crêpes). Ce sera un gros pavé...
Sinon, il ne faut certes pas 6 mois, mais un truc bien pro, compte bien 4-5
bonnes semaines va.


Sous UNIX/Linux pam (et les modules standards) et les dm fournissent à
eux seuls 80% de ce qu'il semble (je dit bien semble si je me base sur
la discussion en cours) falloir réécrire entièrement de a à z (je
pense en particulier à l'internationalisation de l'interface) sous
Windows. De plus il semble aussi qu'on risque en phase de développement
de bloquer toute l'authentification sur le système puisqu'on conseille
de monter un multi-boot rien que pour ça. Il faut quand même admettre
que c'est totalement ridicule.

Quand je disais deux semaines, je n'en comptais qu'une pour le
développement, professionnel, l'autre pour les tests.

Il n'y a aucune raison rationnelle pour que le développement de
quelque chose de fondamentalement simple soit si compliqué.


Avatar
Arnold McDonald
Il n'y a aucune raison rationnelle pour que le développement de
quelque chose de fondamentalement simple soit si compliqué.


Certes, mais sous Windows t'as quasiment rien sur la Gina dans le SDK. Un
peu de doc dans le MSDN et il te faut batailler avec quelques maigres
articles sur le sujet. Ce n'est pas que cela soit "compliqué", c'est que
cette phase va inférer, et pas qu'un peu, sur le reste du lancement de l'OS.
Il faut donc être prudent, attentif et pas rechigner sur les tests. Une Gina
foirée et on te hacke comme on veut. Je suppute que Kro a rendu cette phase
obscure par sécurité...

Bref, faire une Gina complète, c'est long, pénible et tu vas rebooter
quelques fois ! C'est ainsi. Si tu cherches seulement à customiser un peu,
c'est plus simple. D'ailleurs, deux articles récents sont parus qui, amha,
sont parmi les plus clairs sur le sujet :

http://msdn.microsoft.com/msdnmag/issues/05/05/SecurityBriefs/default.aspx
http://msdn.microsoft.com/msdnmag/issues/05/06/SecurityBriefs/default.aspx

Maintenant, si c'est plus simple pour Unix-Like, tant mieux pour ceux qui
bossent dessus.

--
Arnold McDonald (AMcD®)

http://arnold.mcdonald.free.fr/

Avatar
Imochon
pour faire un code qui marche 2 ou 3 jours (implémentation partielle des
points d'entrée GINA et gestion des events plug&play liés au
périphérique USB).

mais vous serez surement loin du produit palcott dont j'ignore tout et
donc dont je ne parlerais pas; de manière standard, si vous imaginez un
produit complet (qu'il faut coder/tester), validé sur différents OS
(tester/retester), en différentes langues (pas que roman, mais Kandji,
Chinois, Arabe, etc) avec plein de beaux écrans (qu'il faut dessiner),
un install propre, un user guide, et qlq features commerciaux comme des
emergency back-doors (?!) ça prends beaucoup plus de temps (3 à 6
mois/homme).


Ah qd mm ;)

Ben merci sylvain

Avatar
Imochon
Merci a vous tous pour vos remarques, conseils, et avis.

Ca n'a pas l'air bien aisé cette histoire ..

On va chercher autre chose ;o) a moins que qqun soit interessé par ce projet
...

Merci
Avatar
Sylvain
YBM wrote on 06/08/2005 21:38:

Sous UNIX/Linux pam (et les modules standards) et les dm fournissent à
eux seuls 80% de ce qu'il semble (je dit bien semble si je me base sur
la discussion en cours) falloir réécrire entièrement de a à z


il a été indiqué que une GINA n'est que la gestion de 2 dialogues
(prompt passphrase, change passphrasse) et que l'approche pass-thru (une
DLL sandwich) était possible, donc il me "semble" que vos remarques ne
sont guères fondées (excepté sur des a priori).

bien le bonjour à vos dm, pam et pets au passage !

(je pense en particulier à l'internationalisation de l'interface)
sous Windows.


où avez-vous lu que l'i18n était une charge lourde sous Wintel ??

j'ai simplement indiqué qu'offrir un produt localisé induit un cout dans
son developpement - mais que c'est une des caractéristiques entre le
"fastoque je l'ai fait sur mon OS à moi" et un produit commercial.

(en 2000, la Chine a choisi Linux parce que c'était un système ouvert,
il ne supportait à cette date aucun système de script codé sur 2 bytes;
Asianux 2.0 était attendu en juin 2005, vraiment facile l'i18n sous linux ?)

les temps de conception pure (définition du concept, annalyse marché,
prototypage) puis de réalisation commerciale (branding, UI, doc
utilisateur, packaging, lancement) sont souvent plus long que le codage
seul (là aussi ne confondez pas un POC (proof of concept) et un produit
fini.

De plus il semble aussi qu'on risque en phase de développement
de bloquer toute l'authentification sur le système puisqu'on conseille
de monter un multi-boot rien que pour ça. Il faut quand même admettre
que c'est totalement ridicule.


j'admets que ce serait totalement ridicule ... de ne pas prendre cette
précaution, un développeur sérieux ne se prend pas pour un surdoué qui
ne commets aucun bug mais maitrise son environment (de dev) et l'utilise
au mieux.

à quitte à me répéter, il y a une différence entre "ça marche sur mon
OS" et qualifier un produit sur des environments utilisateurs; le login
de XP n'a rien à voir avec 2K, le support de 98 -s'il est requis-
utilisera des recettes propres, ce simple fait exige plusieurs OS.

Quand je disais deux semaines, je n'en comptais qu'une pour le
développement, professionnel, l'autre pour les tests.


donc il vous faut 2 semaines pour faire ... on sait pas quoi !
on est content pour vous.

Il n'y a aucune raison rationnelle pour que le développement de
quelque chose de fondamentalement simple soit si compliqué.


je vous recite ? "j'avais un peu bricolé avec une Gina pour openldap
sans succès ceci dit"

donc fondamentalement simple mais foireux mais en version bricolage,
merci pour ces informations pertinentes !

Sylvain.

Avatar
YBM
il a été indiqué que une GINA n'est que la gestion de 2 dialogues
(prompt passphrase, change passphrasse) et que l'approche pass-thru (une
DLL sandwich) était possible, donc il me "semble" que vos remarques ne
sont guères fondées (excepté sur des a priori).


Les a priori en question, se basent, je l'ai bien précisé, sur les
réponses données ici.

bien le bonjour à vos dm, pam et pets au passage !


Le dm est le "display manager" c'est simplement l'invite graphique
de connexion pour X-Window. Comme toutes les applications susceptibles
de faire de l'authentification d'utilisateur (comme, par exemple, le
login en mode texte, un serveur de mail, web, etc.) elle utilise une
API standardisé appelée PAM (Pluggable Authentication Module), qui
permet d'indiquer soit pour toutes les applications, soit pour l'une
d'entre elle à la fois, quel module (en pratique un DLL) utiliser
pour l'authentification, le changement de mot de passe, les débuts
et fin de session, etc. Il est donc trivial, lors du développement,
de configurer un DM pour utiliser un module en cours de dev, tout
en laissant les autres modes de connexions au système utiliser
un module d'origine. On peut donc casser la connexion en mode
graphique sans crainte, puisqu'une simple connexion en mode
texte, ou par le réseau, ou avec un autre DM, utilisera
l'authentification d'origine.

(je pense en particulier à l'internationalisation de l'interface)
sous Windows.


où avez-vous lu que l'i18n était une charge lourde sous Wintel ??


dans ce fil... (et pas seulement)

j'ai simplement indiqué qu'offrir un produt localisé induit un cout dans
son developpement - mais que c'est une des caractéristiques entre le
"fastoque je l'ai fait sur mon OS à moi" et un produit commercial.

(en 2000, la Chine a choisi Linux parce que c'était un système ouvert,
il ne supportait à cette date aucun système de script codé sur 2 bytes;
Asianux 2.0 était attendu en juin 2005, vraiment facile l'i18n sous
linux ?)


rien à voir avec le système, d'autant que la plupart des langages de
script sont multi-plateforme et ont les même problèmes avec Unicode
(sauf Perl !) sur les deux plateformes.

De plus il semble aussi qu'on risque en phase de développement
de bloquer toute l'authentification sur le système puisqu'on conseille
de monter un multi-boot rien que pour ça. Il faut quand même admettre
que c'est totalement ridicule.


j'admets que ce serait totalement ridicule ... de ne pas prendre cette
précaution, un développeur sérieux ne se prend pas pour un surdoué qui
ne commets aucun bug mais maitrise son environment (de dev) et l'utilise
au mieux.


hugh ? Trois quarts d'heure avant sa mort, Lapalisse vivait encore.

donc il vous faut 2 semaines pour faire ... on sait pas quoi !
on est content pour vous.


très exactement ce qui était demandé dans le post d'origine, mais sous
une autre famille de système.

Il n'y a aucune raison rationnelle pour que le développement de
quelque chose de fondamentalement simple soit si compliqué.


je vous recite ? "j'avais un peu bricolé avec une Gina pour openldap
sans succès ceci dit"

donc fondamentalement simple mais foireux mais en version bricolage,
merci pour ces informations pertinentes !


Pour préciser : les tests de remplacement de la Gina standard de XP/2000
par une autre attaquant directement une base LDAP classique s'est avéré
être ingérable et instable au niveau du poste client. Au final, Samba
s'est montrée être une meilleure solution.


Avatar
Sylvain
YBM wrote on 07/08/2005 17:17:

il a été indiqué que une GINA n'est que la gestion de 2 dialogues
(prompt passphrase, change passphrasse) et que l'approche pass-thru
(une DLL sandwich) était possible, donc il me "semble" que vos
remarques ne sont guères fondées (excepté sur des a priori).


Les a priori en question, se basent, je l'ai bien précisé, sur les
réponses données ici.


et bien revenez plutôt avec une expérience, cette explication (déviation
?) de texte ne rime à rien.


bien le bonjour à vos dm, pam et pets au passage !



Le dm est le "display manager" c'est simplement l'invite graphique
de connexion pour X-Window.


pas seulement

elle utilise une API standardisé appelée PAM,
(Pluggable Authentication Module)


merci, on utilise "PAM" aussi sous Windows; au dela les SSP et LSA de
windows focntionnent en mode protégé, les contraintes de dev sont plus
lourdes.

(je pense en particulier à l'internationalisation de l'interface)
sous Windows.


où avez-vous lu que l'i18n était une charge lourde sous Wintel ??


dans ce fil... (et pas seulement)


donc méprise initiale, bouclage mais pas d'expérience, je vous laisse
broder.


(en 2000, la Chine a choisi Linux parce que c'était un système ouvert,
il ne supportait à cette date aucun système de script codé sur 2 bytes;
Asianux 2.0 était attendu en juin 2005, vraiment facile l'i18n sous
linux ?)


rien à voir avec le système, d'autant que la plupart des langages de
script sont multi-plateforme et ont les même problèmes avec Unicode
(sauf Perl !) sur les deux plateformes.


(épuisant) en effet *rien à voir*, j'ai dit *SYSTEME* de script (roman,
etc) pas language; vous pensez vraiment que la secrétaire chinoise rève
de perl ?

hugh ? Trois quarts d'heure avant sa mort, Lapalisse vivait encore.


hugh aussi.

donc il vous faut 2 semaines pour faire ... on sait pas quoi !


très exactement ce qui était demandé dans le post d'origine, mais sous
une autre famille de système.


et bien faites un Placoot sous linux et rendez-vous dans 2 semaines pour
sa commercialisation.

Pour préciser : les tests de remplacement de la Gina standard de XP/2000
par une autre attaquant directement une base LDAP classique s'est avéré
être ingérable et instable au niveau du poste client.


d'autres y arrivent assez bien (google GINA, pGINA, MAC, LDAP)

Au final, Samba s'est montrée être une meilleure solution.


pour accéder à un LDAP sur réseau hétérogène surement, mais cela n'a
rien à voir avec les taches propres à une GINA.

Sylvain.



Avatar
YBM
où avez-vous lu que l'i18n était une charge lourde sous Wintel ??


dans ce fil... (et pas seulement)


donc méprise initiale, bouclage mais pas d'expérience, je vous laisse
broder.


ben tiens, essaye donc d'installer un environnement de bureautique
multilingue au niveau document et au niveau interface sous Windows sous
un seul système, et essaye la même chose sous UNIX, on pourra en
reparler.

Pour le reste, vous ne faites que confirmer mes remarques ou boter
en touche.



Avatar
Thierry
Bonjour,

Sylvain a écrit :

prévoyer simplement une machine multi-OS pour ne pas passer
plus de temps à réinstaller un système bloqué qu'à developper.


Pas besoin. En cas de pb : reboot en mode sans echec sans reseau et
suppression de la cle declarant la Gina dans la BDR.

--
« Le travail est probablement ce qu'il y a sur cette terre de plus bas et
de plus ignoble. Il n'est pas possible de regarder un travailleur sans
maudire ce qui a fait que cet homme travaille, alors qu'il pourrait nager,
dormir dans l'herbe ou simplement lire ou faire l'amour avec sa femme. »
Boris VIAN
Mon blog RSS : http://yarglah.free.fr/monblog_rss.php <<




1 2 3 4 5