ใช้ Yubikey เป็น Multi-Factor Authentication สำหรับ MacOS

วันที่ 2 กุมภาพันธ์เป็นวัน 2FA ของโลกดังนั้นฉันจึงคิดว่าน่าจะสนุกที่จะเขียนคำแนะนำสั้นๆ เกี่ยวกับวิธีเพิ่มYubikey Security Key เป็นปัจจัยที่สอง (2FA) เพื่อลงชื่อเข้าใช้ MacBook ของคุณ คู่มือนี้มีไว้สำหรับอุปกรณ์ที่ไม่มีการจัดการ อุปกรณ์ที่จัดการใน Active Directory โดยบริษัทต้องมีการกำหนดค่าอื่น สำหรับผู้ที่ไม่คุ้นเคยกับ Yubikey นี่คือข้อความที่ตัดตอนมาจากเว็บไซต์ของพวกเขา:

YubiKey คือการยืนยันตัวตนด้วยฮาร์ดแวร์ที่ได้รับการปรับปรุงใหม่ รักษาความปลอดภัยข้อมูลประจำตัวของพนักงานและผู้ใช้ของคุณ ลดค่าใช้จ่ายในการสนับสนุน และสัมผัสประสบการณ์ผู้ใช้ที่ไม่มีใครเทียบได้

ก่อนอื่น ทำไมคุณถึงต้องการ Multi-Factor Authentication (MFA) ทุกคนมีข้อมูลที่ละเอียดอ่อนที่ต้องปกป้อง และเพียงแค่ใช้รหัสผ่านในปัจจุบันก็ถือว่าค่อนข้างอ่อนแอ สิ่งเหล่านี้สามารถเดาได้ แคร็กหรือรั่วไหลในการละเมิดข้อมูล เป็นต้น ดังที่บุคคลที่น่าทึ่งของ NIST อธิบาย :

จำเป็นต้องเพิ่มชั้นการรับรองความถูกต้องนอกเหนือจากรหัสผ่านเพื่อให้แน่ใจว่าบัญชียังคงปลอดภัย เลเยอร์เพิ่มเติมเหล่านี้นำไปสู่คำว่า 'การรับรองความถูกต้องด้วยหลายปัจจัย' หรือ MFA และสามารถรวมองค์ประกอบสามอย่าง:

- สิ่งที่คุณรู้ — เช่น รหัสผ่านหรือข้อมูลส่วนตัวอื่นๆ ที่รู้จัก เช่น คำตอบสำหรับคำถามเพื่อความปลอดภัย

- สิ่งที่คุณมี — เช่น id badge ที่มีชิปฝังอยู่ หรือตัวสร้างรหัสดิจิทัล

- สิ่งที่คุณเป็น — เช่น ลักษณะทางกายภาพ เช่น ลายนิ้วมือหรือเสียงของคุณ

MFA ใช้ปัจจัยจากหลายองค์ประกอบเหล่านี้เพื่อพิสูจน์ตัวตนของผู้ใช้ ตัวอย่างเช่น นอกจากการป้อนรหัสผ่านแล้ว ผู้ใช้อาจต้องระบุรหัสที่ส่งไปยังโทรศัพท์หรือบัญชีอีเมลของตน

ดังนั้น นอกจากการใช้ลายนิ้วมือหรือรหัสผ่านเพื่อลงชื่อเข้าใช้ MacOS แล้ว ทั้งสองอย่างเป็นเพียงชั้นเดียว เรายังต้องการการป้องกันเพิ่มเติมอีกชั้นหนึ่งด้วย ซึ่งในกรณีนี้คือสิ่งที่คุณมี: Yubikey

คุณต้องใช้ Yubikey สองตัวเพื่อให้ทำงานได้อย่างถูกต้อง หนึ่งอันสำหรับใช้ประจำวันและอีกอันสำหรับสำรองหากคุณสูญเสียหรือเสียหาย Yubikey หลักของคุณ ในขณะที่คุณดำเนินการ ตรวจสอบให้แน่ใจว่าคุณเปิดใช้งานFileVault แล้ว ไม่มีประโยชน์ในการเพิ่ม Yubikey หากฮาร์ดไดรฟ์ของคุณไม่ได้เข้ารหัส

คู่มือนี้ส่วนใหญ่อ้างอิงจากคู่มือ Yubikey สำหรับ MacOSและทำตามได้ง่าย อย่างไรก็ตาม หากคุณต้องการบังคับให้ลงชื่อเข้าใช้ MacBook ด้วย Yubikey คุณจะต้องใช้โปรไฟล์ที่กำหนดเองและเปลี่ยนการตั้งค่าบางอย่าง คู่มืออย่างเป็นทางการยังระบุด้วยว่า Yubikeys รุ่นใดจะทำงานเป็นสมาร์ทการ์ด ซึ่งเป็นคุณสมบัติที่จำเป็นในการทำหน้าที่เป็น 2FA พร้อมที่จะทำให้ MacBook ของคุณปลอดภัยยิ่งขึ้นหรือยัง ไปกันเถอะ!

ก่อนที่ฉันจะดำเนินการต่อ มีข้อเสียที่สำคัญประการหนึ่งสำหรับผู้ใช้ Apple Sillicon ตามคำแนะนำอย่างเป็นทางการของ Yubico :

ทุกครั้งที่ปิดคอมพิวเตอร์ macOS จะใช้สมาร์ทการ์ดที่ใช้ล่าสุดเพื่อล็อคดิสก์ด้วย FileVault ในสถานการณ์สมมตินี้ เฉพาะสมาร์ทการ์ดใบสุดท้ายที่ใช้ในการเข้าสู่ระบบเท่านั้นที่จะทำงานเพื่อปลดล็อกดิสก์เมื่อเริ่มต้นระบบครั้งถัดไป ซึ่งทำให้สมาร์ทการ์ดที่ตั้งค่าเป็นข้อมูลสำรองไม่สามารถปลดล็อกดิสก์ได้อย่างมีประสิทธิภาพ

คุณต้องตัดสินใจด้วยตัวเองหากคุณต้องการรับความเสี่ยงนี้ สำหรับตัวฉันเอง ฉันทำการสำรองข้อมูล Time Machine ทุกวัน และข้อมูลเกือบทั้งหมดของฉันจะซิงค์กับ NAS ในเครื่อง ดังนั้นฉันจึงสามารถเริ่มต้นและทำงานได้อย่างรวดเร็วอีกครั้ง โปรดพิจารณาตัวเลือกการกู้คืนที่เหมาะสมสำหรับโอกาสที่คุณจะปลดล็อก Mac ของคุณไม่ได้เพียงเล็กน้อย

ตกลง ตอนนี้เราจัดการเรียบร้อยแล้ว คุณกำลังจะดาวน์โหลดYubikey Managerสำหรับ MacOS จากที่นี่ เราจะทำตามคำแนะนำบนเว็บไซต์ Yubico :

เชื่อมต่อ Yubikey กับ MacBook เปิด Yubikey Manager แล้วทำตามขั้นตอนเหล่านี้:

• ตั้งค่า PIN ใหม่
• ตั้งค่า PUK ใหม่
• ตั้งค่าคีย์การจัดการใหม่

ถัดไป คลิกที่ “ตั้งค่าสำหรับ MacOS” เช่นเดียวกับในภาพหน้าจอด้านบน คุณจะได้รับการแจ้งเตือนให้จับคู่คีย์ของคุณ:

ในหน้าต่างถัดไป ให้ป้อน PIN และ Management Key ที่คุณเพิ่งสร้างและทำตามคำแนะนำ เมื่อเสร็จแล้ว ให้ล็อกหน้าจอและตรวจสอบว่าคุณสามารถใช้ PIN เพื่อเข้าสู่ระบบได้หรือไม่ หากสำเร็จ ให้ทำซ้ำขั้นตอนด้านบนสำหรับคีย์สำรอง

หากทุกอย่างทำงานได้ดี เราจะบังคับใช้การลงชื่อเข้าใช้ด้วย Yubikey เป็นสมาร์ทการ์ด สำหรับสิ่งนี้ เราจำเป็นต้องนำเข้าโปรไฟล์ด้วยการตั้งค่าที่ถูกต้องไปยัง MacBook ของเรา เปิดตัวแก้ไขข้อความที่คุณชื่นชอบ เช่น Sublime และวางสิ่งต่อไปนี้ (ตัวอย่างนี้มาจากไซต์สนับสนุนของ Apple ):

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
<key>PayloadContent</key>
<array>
<dict>
<key>PayloadDescription</key>
<string>Configures smart card-only</string>
<key>PayloadDisplayName</key>
<string>Smart card-only</string>
<key>PayloadIdentifier</key>
<string>com.apple.configprofile.78.</string>
<key>PayloadOrganization</key>
<string>Apple</string>
<key>PayloadType</key>
<string>com.apple.security.smartcard</string>
<key>PayloadUUID</key>
<string>5A15247B-899C-474D-B1D7-DBD82BDE5678</string>
<key>PayloadVersion</key>
<integer>1</integer>
<key>UserPairing</key>
<false/>
<key>allowSmartCard</key>
<true/>
<key>checkCertificateTrust</key>
<false/>
<key>enforceSmartCard</key>
<true/>
</dict>
</array>
<key>PayloadDescription</key>
<string>Smartcard profile.</string>
<key>PayloadDisplayName</key>
<string>Smart card-only</string>
<key>PayloadIdentifier</key>
<string>com.apple.configprofile.77</string>
<key>PayloadOrganization</key>
<string></string>
<key>PayloadRemovalDisallowed</key>
<false/>
<key>PayloadType</key>
<string>Configuration</string>
<key>PayloadScope</key>
<string>system</string>
<key>PayloadUUID</key>
<string>7D34CC86-C707-44D2-9A9F-C5F6E347BD77</string>
<key>PayloadVersion</key>
<integer>1</integer>
</dict>
</plist>

คุณยังสามารถไปที่ตำแหน่งไฟล์และคลิกสองครั้งที่โปรไฟล์ สุดท้าย ออกจากระบบ นำ Yubikey ของคุณออก และตรวจสอบว่าคุณสามารถเข้าสู่ระบบโดยไม่ใช้ Yubikey ได้หรือไม่ ที่ไม่ควรทำงาน ตอนนี้เชื่อมต่อ Yubikey ของคุณอีกครั้งแล้วลองอีกครั้ง มันทำงานหรือไม่ ยอดเยี่ยม! คุณรู้ว่าอะไรจะดีแม้ว่า? หน้าจอของคุณล็อกและต้องใช้ PIN ทันทีเมื่อคุณถอด Yubikey ทำให้มันเกิดขึ้นกันเถอะ.

กลับไปที่การตั้งค่าความปลอดภัยและความเป็นส่วนตัว แล้วคลิกขั้นสูง สลับTurn on screen saver when login token is removed_

จากนั้นไปที่ล็อคหน้าจอในการตั้งค่าระบบและเปลี่ยนRequire password after screen saver begins or display is turned offเป็นทันที

การเปลี่ยนการตั้งค่านี้อาจทำให้คุณต้องออกจากระบบหรือรีบูตจึงจะทำงานได้ และนั่นแหล่ะ! ฉันรู้ว่าการใช้ 2FA อาจดูเหมือนไม่สะดวกเล็กน้อย แต่มันจะช่วยปกป้อง MacBook ของคุณหากมีคนเข้าถึงโดยไม่ได้รับอนุญาต