<metaname="description"content="YubiKey 5 Series Une gamme multiprotocole (FIDO2/WebAuthn, U2F, Smart Card, OpenPGP, OTP) qui est le premier choix des entreprises et qui prend en charge la ...">
<divclass="col-main cell cell--auto"><!-- start custom main top snippet --><divid="results-container"class="search-result js-search-result"></div><!-- end custom main top snippet -->
</details><p><em>YubiKey 5 Series Une gamme multiprotocole (FIDO2/WebAuthn, U2F, Smart Card, OpenPGP, OTP) qui est le premier choix des entreprises et qui prend en charge la fonction sans mot de passe (autres liens <ahref="https://notamax.be/yubikey-et-keepassxc/">Yubikey et KeePassXC</a> et <ahref="https://geekeries.org/2020/03/keepass-et-yubikey-multiplateforme-article-misc-103/?doing_wp_cron=1688115570.8655300140380859375000">KeePass et Yubikey multiplateforme, article MISC 103</a>)</em></p>
<h4>YubiKey 5 Series sécurité multi-protocole</h4>
</div>
<divclass="item__description">
<p>
La YubiKey 5 Series élimine les prises de contrôle de comptes en offrant une solide défense contre le phishing grâce à des capacités multi-protocoles qui peuvent sécuriser les systèmes anciens et modernes. La série offre une gamme de choix d'authentification, y compris une authentification forte à deux facteurs, à plusieurs facteurs et sans mot de passe, ainsi qu'une signature tactile transparente.
<ul>
<li>Stoppe les prises de contrôle de comptes</li>
<li>Prise en charge multiprotocole : FIDO2/WebAuthn, U2F, carte à puce, OpenPGP, OTP</li>
<li>USB-A, USB-C, Lightning, NFC</li>
<li>La YubiKey 5C NFC est désormais disponible avec l'USB-C et le NFC tout-en-un pour sécuriser les comptes en ligne sur les téléphones portables et les ordinateurs de bureau.</li>
La série de clés de sécurité de Yubico propose des clés de sécurité FIDO uniquement pour les particuliers et les entreprises. Ces clés combinent l'authentification matérielle, la cryptographie à clé publique et les protocoles d'authentification modernes pour éliminer les prises de contrôle de comptes.
<ul>
<li>Sécurise Google Workspace, Microsoft 365, les principales plateformes IAM, les gestionnaires de mots de passe, les applications de médias sociaux et des centaines d'autres services.</li>
<li>Prise en charge de FIDO2/WebAuthn et FIDO U2F</li>
<li>Fonctionne sur les ordinateurs de bureau et les téléphones portables avec l'authentification "tap-and-go" pour les téléphones portables.</li>
<li>Très durable, résistant à l'eau et à l'écrasement</li>
<li>Clés à double connecteur USB-A/NFC et USB-C/NFC</li>
<li>Les clés de l'édition Entreprise offrent une numérotation en série ; disponible avec l'abonnement YubiEnterprise uniquement.</li>
</ul>
</p>
</div>
</div>
</div>
<p><em>La clé YubiKey 5 NFC va être utilisée pour déverrouiller le chiffrement du disque au démarrage du PC, sur Keepass comme clé en plus du mot de passe et en OTP pour une API</em></p>
<h2id="déverrouillage-au-boot-dun-disque-entièrement-chiffré-luks2">Déverrouillage au boot d’un disque entièrement chiffré LUKS2</h2>
<p>On peut utiliser une clé avec le protocole FIDO2 pour déverrouiller un disque chiffré sans saisie de mot de passe</p>
<p>Prérequis: Système linux avec systemd-boot et dracut sur un disque entièrement chiffré</p>
<p>Par défaut le disque chiffré est déverrouillé après la saisie de la phrase mot de passe</p>
<ul>
<li>Slot 0 pour le déverrouillage du volume par saisie d’une phrase mot de passe.</li>
<li>Slot 1 pour le déverrouillage par une clé FIDO2 avec un appui sur une touche.</li>
</ul>
<p>Installer librairie <strong>libfido2</strong> pour la prise en charge des clés Yubico</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>🔐 Please enter current passphrase for disk /dev/nvme0n1p2: *********************
Requested to lock with PIN, but FIDO2 device /dev/hidraw5 does not support it, disabling.
Initializing FIDO2 credential on security token.
👆 (Hint: This might require confirmation of user presence on security token.)
Generating secret key on FIDO2 security token.
👆 In order to allow secret key generation, please confirm presence on security token.
New FIDO2 token enrolled as key slot 1.
</code></pre></div></div>
<pclass="info">Le <strong>Y</strong> de la clé se met à clignoter , il suffit de poser son doigt sur l’emplacement du <strong>Y</strong> pour le déverrouillage</p>
<h3id="prise-en-charge-yubikey">Prise en charge YubiKey</h3>
<p>Configurer /etc/crypttab pour la prise en charge des clés</p>
<p><codeclass="language-plaintext info highlighter-rouge">Redémarrer la machine</code></p>
<h2id="configurer-slot-1-et-slot-2">Configurer slot 1 et slot 2</h2>
<h3id="challenge-response-hmac-sha1-sur-le-slot-1">Challenge Response HMAC SHA1 sur le slot 1</h3>
<p>Pour que <strong>KeePassXC</strong> détecte correctement votre Yubikey, vous devez configurer l’un de vos deux emplacements pour utiliser un <strong>Challenge-Response HMAC-SHA1</strong>.</p>
<p>Ouvrir application <strong>Yubikey Personalization Tool</strong> et sélectionner <strong>Challenge-Response</strong> puis <strong>HMAC-SHA1</strong><br/>
<li><strong>Configuration Slot</strong> : nous avons deux slots utilisables, on sélectionne le premier (s’il est occupé on prend le second)</li>
<li><strong>Require user input</strong> : on peut éventuellement cocher cette case pour que l’utilisateur ait d’abord à appuyer avec son doigt sur la Yubikey pour envoyer la réponse</li>
<li><strong>Secret Key</strong> : ici dépendant de l’application, soit la clé vous sera donnée et vous pouvez l’encoder dans la case à droite, soit vous pouvez en générer une et la donner à l’application. Ici, nous allons générer une clé</li>
</ul>
<p>Une fois générée, stockez la bien précieusement, faute de quoi vous ne pourrez plus jamais ré-ouvrir votre DB KeePass si vous venez à ne plus avoir votre Yubikey !</p>
<p>On peut ensuite cliquer sur <strong>Write Configuration</strong> :<br/>
<p><strong>Utilisation de l’outil de personnalisation YubiKey</strong></p>
<ol>
<li>Téléchargez, installez et lancez l’outil de personnalisation <strong>YubiKey Personalization Tool</strong></li>
<li>Insérez votre YubiKey et vérifiez que l’outil de personnalisation le détecte (vous devriez voir que <strong>“YubiKey is inserted”</strong> en haut à droite de la fenêtre).</li>
<li>Sélectionnez <strong>Yubico OTP</strong> en haut de la fenêtre de l’outil de personnalisation.</li>
<li>Sélectionnez <strong>Quick</strong>.</li>
<li>Sélectionnez Configuration** Slot 2<strong>, cliquez sur **Regenerate</strong>, puis sur** Write Configuration**</li>
<li>Répondez à toutes les fenêtres contextuelles indiquant où enregistrer le fichier journal/comment l’appeler.<br/>
<li>Une fois le traitement terminé, cliquez sur <strong>Try it out</strong> et suivez les instructions de la page pour tester votre justificatif d’identité. <ahref="https://demo.yubico.com/otp/verify">https://demo.yubico.com/otp/verify</a></li>
</ol>
<p>Ceci vous permet de faire une démonstration de la YubiKey pour l’authentification à facteur unique avec le Yubico One-Time Password.</p>
<ol>
<li>Insérez votre YubiKey dans un port USB.</li>
<li>Cliquez dans le champ YubiKey et touchez le bouton YubiKey.</li>
</ol>
<p>L’authentification à facteur unique (YubiKey uniquement) n’est pas recommandée pour une utilisation en production, car une YubiKey perdue ou volée suffirait pour s’authentifier en tant qu’utilisateur. Utilisez l’<ahref="https://demo.yubico.com/playground">aire de jeu YubiKey</a> pour tester les OTP en tant que deuxième facteur.</p>
<h2id="ajout-dune-clé-en-plus-du-mot-de-passe-pour-accéder-à-keepass">Ajout d’une clé en plus du mot de passe pour accéder à Keepass</h2>
<p>On utilise le mode <strong>Challenge-Response HMAC-SHA1</strong><br/>
<h3id="configurer-keepassxc-avec-yubikey">Configurer KeePassXC avec Yubikey</h3>
<p><em>Instructions pour configurer KeePassXC avec votre Yubikey.</em><br/>
<imgsrc="/images/keepassxc_logo.png"alt=""/></p>
<h4id="keepassxc-linux">KeepassXC linux</h4>
<p>Lancer l’application bureau <strong>KeePassXC</strong> puis accéder à <strong>Base de données</strong> → <strong>Sécurité de la base de données</strong><br/>
<p>Sous Android, l’application <strong>Keepass2Android</strong> supporte le mode <strong>challenge-response</strong>, moyennant l’installation de l’application <strong>ykDroid</strong> (<ahref="https://f-droid.org/packages/net.pp3345.ykdroid/">installée depuis F-Droid</a>), un pilote supportant ce mode.</p>
<p>Ouvrir la base de données keepass</p>
<ol>
<li><strong>Sélectionner le type de la Clé maître: Mot de passe + Défi réponse pour Keepass…</strong><br/>
<h2id="obtenir-une-clé-api-pour-le-développement-de-yubikey">Obtenir une clé API pour le développement de YubiKey</h2>
<ul>
<li><ahref="https://support.yubico.com/hc/en-us/articles/360013647680-Resetting-the-OTP-Application-on-the-YubiKey">Program and upload a new Yubico OTP credential</a></li>
<li><ahref="https://support.yubico.com/hc/en-us/articles/360013717560-Obtaining-an-API-Key-for-YubiKey-Development">Obtaining an API Key for YubiKey Development</a></li>
<p>Pour obtenir votre clé API, lien <ahref="https://upgrade.yubico.com/getapikey/">https://upgrade.yubico.com/getapikey/</a> et saisissez une adresse e-mail valide ainsi que l’OTP Yubico de l’une de vos YubiKeys (cliquez dans le champ OTP YubiKey et touchez le capteur tactile capacitif de votre YubiKey), puis cliquez sur <strong>Get API key</strong>. <br/>
Un ID client et une clé secrète sont générés</p>
<h2id="déverrouiller-sa-session-linux-avec-une-yubikey">Déverrouiller sa session Linux avec une Yubikey</h2>
<h3id="introduction">Introduction</h3>
<p>Ce guide explique comment sécuriser une connexion locale à Linux en utilisant la fonction U2F sur les YubiKeys et les Security Keys. Cela ne fonctionne pas avec les connexions à distance via SSH ou d’autres méthodes.. Voir <ahref="https://support.yubico.com/en/support/solutions/articles/15000011445-red-hat-linux-family-login-guide-challenge-response">ici</a> pour un article orienté vers Red Hat et ses dérivés.</p>
<h3id="installation-des-logiciels-requis">Installation des logiciels requis</h3>
<pclass="info">Il se peut que l’on vous demande un code PIN lors de l’exécution de pamu2fcfg. Si c’est le cas, notez qu’il s’agit du code PIN FIDO2 de votre YubiKey que vous devez saisir. Pour plus d’informations, voir <ahref="https://support.yubico.com/hc/en-us/articles/4402836718866">Comprendre les codes PIN YubiKey</a>.</p>
<p><codeclass="language-plaintext info highlighter-rouge">Lorsque votre appareil commence à clignoter, touchez le contact métallique pour confirmer l'association.</code></p>
<p>Si vous disposez de <codeclass="language-plaintext info highlighter-rouge">dispositifs de sauvegarde</code>, suivez les étapes ci-dessous pour les associer à votre compte.(Si vous ne disposez pas encore d’un appareil de sauvegarde, vous pouvez en ajouter un plus tard en suivant les étapes ci-dessous, tant que vous avez toujours accès à votre compte.)</p>
<pclass="warning">Attention : Il est fortement recommandé de disposer d’un périphérique de sauvegarde afin de ne pas être bloqué sur votre ordinateur en cas de perte ou de panne de votre périphérique.</p>
<p><codeclass="language-plaintext info highlighter-rouge">Lorsque votre appareil commence à clignoter, touchez le contact métallique pour confirmer l'association.</code></p>
<p>Si vous souhaitez ajouter une couche de sécurité supplémentaire, vous pouvez modifier la sortie du fichier <codeclass="language-plaintext highlighter-rouge">u2f_keys</code> dans une zone du système d’exploitation où vous aurez besoin de l’autorisation sudo pour éditer le fichier ( par exemple, <ahref="URL">/etc</a> ). Après avoir créé un répertoire nommé Yubico ( par exemple <codeclass="language-plaintext highlighter-rouge">/etc/Yubico</code> ). Vous pouvez alors déplacer le fichier de <codeclass="language-plaintext highlighter-rouge">~/.config/Yubico</code> vers <codeclass="language-plaintext highlighter-rouge">/etc/Yubico</code> en exécutant les commandes</p>
<p>Une fois le fichier <codeclass="language-plaintext highlighter-rouge">u2f_keys</code> déplacé vers un emplacement plus sûr, le fichier PAM devra être modifié afin que le module u2f PAM puisse trouver le fichier u2f_keys. Pour ce faire, ajoutez <codeclass="language-plaintext highlighter-rouge">authfile=/etc/Yubico/u2f_keys</code> à la fin de la ligne du fichier <codeclass="language-plaintext highlighter-rouge">pam_u2f.so</code> dans le fichier nécessaire à l’authentification. Celui-ci se trouve normalement dans le chemin <codeclass="language-plaintext highlighter-rouge">/usr/lib/x86_64-linux-gnu/security/pam_u2f.so</code>, mais il peut être différent selon la configuration.</p>
<pclass="warning">Attention : Veuillez noter qu’une fois que vous avez modifié le fichier <codeclass="language-plaintext highlighter-rouge">/etc/pam.d/sudo</code> pour exiger la YubiKey, si vous deviez perdre ou égarer la YubiKey, vous ne pourrez pas modifier ou changer le fichier pour supprimer l’exigence de la YubiKey.</p>
<pclass="warning">Attention : En activant ce processus, si les fichiers ne sont pas lisibles par les utilisateurs, vous risquez d’être bloqué sur votre système. La cause la plus fréquente est le dossier /home/ crypté qui ne sera pas lisible par l’utilisateur root. Vous serez alors bloqué une fois que vous aurez réinitialisé la machine.</p>
<h3id="configuration-du-système-pour-lutilisation-des-clés-u2f">Configuration du système pour l’utilisation des clés U2F</h3>
<h4id="test-de-configuration-avec-la-commande-sudo">Test de configuration avec la commande Sudo</h4>
<p>Cette section explique comment demander la clé YubiKey en utilisant la commande sudo, qui devrait être utilisée comme test afin que vous ne vous bloquiez pas sur votre ordinateur.</p>
<p>Ajoutez la ligne ci-dessous après la ligne <codeclass="language-plaintext highlighter-rouge">"@include common-auth"</code> ou en fin de fichier (archlinux).</p>
<p>Note : <codeclass="language-plaintext info highlighter-rouge">Si vous avez déplacé le fichier u2f_keys vers /etc/Yubico/u2f_keys</code> , vous devrez ajouter authfile et un chemin vers la configuration PAM, comme indiqué ci-dessous :</p>
<p>Appuyez sur Ctrl+O puis sur Entrée pour enregistrer le fichier.</p>
<ol>
<li>Veillez à ne pas fermer la fenêtre du terminal, sinon vous ne pourrez pas revenir sur les modifications.</li>
<li>Retirez votre clé de l’ordinateur.</li>
<li>Ouvrez un nouveau terminal.</li>
<li>Dans le nouveau terminal, exécutez : <codeclass="language-plaintext highlighter-rouge">sudo echo test</code>. Lorsque vous y êtes invité, entrez votre mot de passe et appuyez sur Entrée.</li>
<li><codeclass="language-plaintext error highlighter-rouge">Même avec le bon mot de passe, l'authentification devrait échouer</code> car la clé U2F n’est pas branchée. Si l’authentification réussit sans la clé U2F, cela indique que le module PAM U2F n’a pas été installé ou qu’il y a une erreur dans les modifications que vous avez apportées au fichier <codeclass="language-plaintext highlighter-rouge">/etc/pam.d/sudo</code>.</li>
<li>Insérez votre clé.</li>
<li>Ouvrez un nouveau terminal et exécutez à nouveau <codeclass="language-plaintext highlighter-rouge">sudo echo test</code>. Lorsque vous y êtes invité, entrez votre mot de passe et appuyez sur Entrée. Ensuite, touchez le contact métallique de votre clé U2F lorsqu’il commence à clignoter.</li>
</ol>
<p><codeclass="language-plaintext success highlighter-rouge">Félicitations ! Si le mot de passe a été accepté cette fois-ci, vous avez configuré le système correctement et vous pouvez passer à la section suivante pour demander la clé U2F pour se connecter</code></p>
<p><codeclass="language-plaintext info highlighter-rouge">Note : si vous ne voulez pas exiger que la clé U2F exécute la commande sudo, supprimez la ligne que vous avez ajoutée au fichier /etc/pam.d/sudo.</code></p>
<h4id="ajouter-dautres-commandes-comme-su-pour-exiger-une-connexion-par-yubikey">Ajouter d’autres commandes comme su pour exiger une connexion par YubiKey</h4>
<p>Le module PAM différencie les différents états de la commande sudo car ils ont des chemins d’authentification différents. Cela signifie qu’en fonction de votre version, vous devrez peut-être éditer un autre fichier contenant les informations PAM pour les rendre valides. Dans Ubuntu 22.04, les commandes suivantes ont les fichiers suivants que vous pouvez éditer pour ajouter l’authentification :</p>
<p>Si vous avez déplacé le fichier u2f_keys vers /etc/Yubico/u2f_keys comme mentionné dans la section 3, vous devrez ajouter authfile et un chemin vers la configuration PAM, comme indiqué ci-dessous :</p>
<p>Après avoir sauvegardé les modifications, vous devriez maintenant avoir besoin de la clé YubiKey pour vous authentifier lors de l’utilisation de la commande sélectionnée.</p>
<h4id="configurer-le-système-pour-quil-exige-la-yubikey-pour-le-terminal-tty">Configurer le système pour qu’il exige la YubiKey pour le terminal TTY</h4>
<p>Note : Si vous avez déplacé le fichier u2f_keys vers /etc/Yubico/u2f_keys comme mentionné dans la section 3, vous devrez ajouter authfile et un chemin vers la configuration PAM, comme indiqué ci-dessous :</p>
<h4id="pour-utiliser-la-clé-u2f-comme-second-facteur-requis-2fa">Pour utiliser la clé U2F comme second facteur requis (2FA)</h4>
<p>Ajoutez la ligne ci-dessous après la ligne <codeclass="language-plaintext highlighter-rouge">"@include common-auth"</code>ou en fin de fichier (archlinux).</p>
<p>Note : Si vous avez déplacé le fichier u2f_keys vers /etc/Yubico/u2f_keys , vous devrez ajouter authfile et un chemin vers la configuration PAM, comme indiqué ci-dessous :</p>
<p>Note : Si vous avez déplacé le fichier u2f_keys vers /etc/Yubico/u2f_keys , vous devrez ajouter authfile et un chemin vers la configuration PAM, comme indiqué ci-dessous :</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>auth sufficient pam_u2f.so authfile=/etc/Yubico/u2f_keys cue [cue_prompt=Toucher le "Y" de la clé]
</code></pre></div></div>
<p>Appuyez sur Ctrl+X puis sur Entrée pour enregistrer et fermer le fichier.</p>
<h4id="verrouiller-la-session-quand-la-yubikey-est-débranchée">Verrouiller la session quand la Yubikey est débranchée</h4>
<p>Le but de la manœuvre est de verrouiller automatiquement la session lorsque la Yubikey est débranchée. De cette manière, dès qu’on part en pause-café, il suffit de prendre sa Yubikey avec soit et plus aucun risque de devoir payer les croissants aux collègues le lendemain 🥐</p>
<p>On va commencer par créer le script de verrouillage <codeclass="language-plaintext highlighter-rouge">/usr/local/bin/lockscreen.sh</code></p>
<p>Il faut déterminer la valeur du paramètre <codeclass="language-plaintext highlighter-rouge">ENV{PRODUCT}</code></p>
<ol>
<li>Déconnecter la clé yubikey</li>
<li>Dans un terminal exécuter : <codeclass="language-plaintext highlighter-rouge">udevadm monitor --environment --udev</code></li>
<li>Reconnecter la clé yubikey puis saisir <codeclass="language-plaintext highlighter-rouge">Ctrl C</code> pour stopper monitor</li>
</ol>
<p>Dans la sortie, repérez un bloc de lignes contenant la ligne ID_VENDOR=Yubico et contenant les entrées ID_VENDOR_ID, ID_MODEL_ID et ID_REVISION. Concaténez ces 3 dernières valeurs, sans les <codeclass="language-plaintext highlighter-rouge">0</code> de gauche, séparés par des <codeclass="language-plaintext highlighter-rouge">/</code></p>
<p>Par exemple, avec les lignes suivantes, vous obtiendrez 1050/407/543</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>sudo udevadm control --reload-rules
</code></pre></div></div>
<h3id="dépannage">Dépannage</h3>
<p>Activation du mode débogage</p>
<p>Si vous ne parvenez pas à vous connecter et que vous ne savez pas pourquoi, vous pouvez activer le débogage sur le module Yubico PAM en suivant les étapes ci-dessous. Cela vous permettra de comprendre pourquoi le module n’autorise pas la connexion.</p>
<p>Ajoutez <codeclass="language-plaintext highlighter-rouge">"debug debug_file=/var/log/pam_u2f.log"</code> à la fin de la ligne qui contient <codeclass="language-plaintext highlighter-rouge">pam_u2f.so</code>.</p>
<p>À chaque connexion ultérieure, le journal de débogage sera enregistré dans le fichier <codeclass="language-plaintext success highlighter-rouge">/var/log/pam_u2f.log</code></p>
