Ходячий генератор энтропии

Аккаунты для всех ноутбуков и прочих компьютеров на почтовом сервере у меня были заведены довольно давно. Чтобы когда эти ноутбуки отправляют по SMTP почту от демонов на почтовый сервер, они бы это делали c авторизацией. Когда-то давно я экспериментировал с авторизацией по сертификатам в этом случае, но пришел к выводу что это оверкилл.

Но недавно я стал переводить на авторизцию через ту же базу и все остальные сервисы на сервере.

Например, веб сервер. И в результате оказалось что dyndns запросы им тоже проще авторизовать через те же аккаунты.

Теперь вот я подумал, а раз так, то может и сообщения об успехе бэкапа в jabber им тоже от имени этих пользователей слать? Завести мультиюзер-чат, куда они все будут рапортовать. И тогда юзер backup на почтовом/jabber сервере становится ненужным.

Очевидный плюс от этого решения в том, что не нужно хранить на ноутбуках (в конфигах командно-строчной джаббер-посылалки) пароль, который используется какими-то другими машинами. И в случае утери ноутбука достаточно заблокировать этого пользователя. Но эта угроза у меня в модели угроз где-то очеь низко.

Второй плюс - в текст сообщения не нужно включать имя машины. Оно будет виддно как имя пользователя.

Использовать RaspBerry PI в качестве рабочего места мне понравилось. Тишина, легко сосредоточиться. Только вот беда - диски-то присоединены к большому компьютеру. В принципе у пишки хватает мощности на современный браузер, почтовый клиент, либреофис. Но как только надо работать с тем, что сохранено локально, надо идти по ssh на большой компьютер. А там pdf-ы, фоссиловский web ui и прочее что требует локального запуска программ.

А файрфокс через ssh X-forwarding работает что-то медленно. Потому что ethernet порты у роутера стомегабитные. Не искать же другой роутер. Впрочем может быть это еще и оверхед на шифровaние заметен.

Сначала я подумал о том, чтобы примонтировать его диски. Но как-то nfs настраивть лениво. Тем более, что NFS как-то хреново относится к server outages. Из самбы нынче выпилили smbmount, и монтировать на ходу стало довольно неудобно. А smb в принципе требует монтирования в каждой пользовательской сессии отдельно.

И тут я вспомнил что когда-то настраивал свой lightdm на работу с VNC как со вторым X-display.

Попробовал, получается.

Конечно, протокол spice был бы лучше vnc, Он позволяет редиректить звук (но у rasberry pi нет колонок) и USB-устройства (но у Raspberry pi ограничена мощность, вряд ли она что кроме флешки потянет). Кстати, не уверен, что все это умеет раздавать Xspice,

https://www.interfax-russia.ru/main/mincifry-rf-postepenno-otklyuchaet-podtverzhdenie-po-sms-dlya-vhoda-na-portal-gosuslug

Наконец до наших властей стала доходить идея о ненадежности использования SMS в качестве фактора авторизации.

Теперь постепенно собираются отказаться от авторизации через SMS на госуслугах.

Всем кому хоть немножко дорога их информационная безопаснсть рекомендую включить в качестве второго фактора одноразовые пароли. На Госуслугах используется TOTP в соответствии с RFC 6238 то есть открытый (и неоднократно проверенный на безопасность) стандарт, для которого существует уйма реализаций как для мобильных устройств, так и для операционных систем для нормальных компьютеров, как коммерческих, так и опенсурсных. Выбирайте сами, какому приложению для генерации TOTP вы больше доверяете.

Лично я использую keepass2. Конечно хранение и пароля, и секрета для вычисления TOTP в одной и той же шифрованной базе данных несколько снижает безопасность, но я счел, что это вполне окупается повышением usability.

X-Post to LJ