Smart card (Yubikey)로 Mac에 로그인 하기

안녕하세요.  마르탱이라고 합니다.  서버 운영시 보안이 참 중요한데요.  패스워드로만 서버 운용시 참 껄쩍지근하죠.

 

앞으로 몇개의 튜토리얼로 

- Smart card (Yubikey)로 Mac에 로그인하기 (암호로도 로그인 가능)

- Smart card 로만 Mac에 로그인 하기 (Apple Silicon Mac만)

- Yubikey로 ssh public key authentication하기 (RSA)

- Yubikey로 ssh FIDO2 authentication하기 (ed25519sk)

를 할 수 있게 해 보겠습니다.

 

준비물은 Yubikey 입니다.  yubikey 4 이상이 필요합니다.

 

그럼 첫번째로 Smart card (Yubikey)로 맥에 로그인 해 보겠습니다.  Ventura 혹은 Sonoma OS update를 최신으로 하고 진행 해 주세요.

 

일단 몇가지 미리 설치할 앱이 있는데요.  

 

brew install gnupg ykman
brew install --cask yubico-yubikey-manager 

 

gnupg는 openpgp의 gnu 버전이고 ykman은 yubikey-manager의 cli 버전이고 yubico-yubikey-manager는 ykman의 gui버전입니다.

 

Applications폴더에 이제 Yubikey Manager라는 앱이 설치가 되었을텐데요.  그 앱을 여시고 USB슬롯에 Yubikey를 꽂습니다.

 

그러면 위와 같이 현재 연결된 Yubikey종류와 firmware 버전이 나옵니다.   이 튜토리얼은 Yubikey 4 이상에서만 작동합니다.

 

그리고 Applications tab을 누르시면 아래와 같이 Yubikey Manager로 설정이 가능한 yubikey application 리스트가 나옵니다.

Yubikey Manager로는 OTP, FIDO2, PIV 요 세가지 application의 설정이 가능한데요.  SSH 접속시 public key authentication을

 

할 수 있게 하는 openpgp application은 yubikey manager로는 설정이 안됩니다.  요건 위에 설치한 gnupg (openpgp gnu버전) 를

 

통해 설정합니다.  일단 여기서는 맥에서 로그인 하는 것에 집중 합니다.

 

맥으로 로그인 할 때에는 Yubikey의 PIV application을 이용합니다.  PIV 메뉴를 클릭하고 들어가면 다음과 같은 화면이 

 

나옵니다.

 

PIN Management 아래 configure PINs를 눌러 메뉴로 들어갑니다.

 

 

PIN 메뉴에 가서 6자리 PIN을 설정합니다.  default값은 123456입니다.

PUK 메뉴에 가서 8자리 PUK를 설정합니다.  default 값은 12345678입니다.  PUK는 PIN을 잃어버렸을 때 사용됩니다.

PIN사용시 세번 이상 틀리게 되면 PUK를 사용해서 PIN을 다시 세팅해야 하니 3번 이상 틀리지 않게 조심합시다.

Management Key 메뉴로 들어갑니다.  

 

Use default, 원하시는 암호화 알고리즘 (AES256), protect with PIN을 누르시고 "Generate" 버튼을 누르고 Finish버튼을 누르고 

 

상위 메뉴로 나옵니다.  한 번 더 back 버튼을 누르고 PIV application 메뉴로 나옵니다.

 

여기서 오른쪽 위 에 보시면 작게 Setup for macOS라는 버튼이 있는데 요 버튼을 누릅니다.  그리고 진행을 하면 

 

위와같이 2개의 certificate이 생긴 것을 볼 수 있습니다.  Yubikey를 USB슬로에서 뺐다가 다시 끼웁니다.

 

이시점에 화면 오른쪽 위에 notification이 아래와 같이 뜨고 

Pair 버튼을 눌러서 스마트 카드를 맥에 등록합니다.

 

등록이 되었으면 터미널을 열어서 다음과 같이 실행시켜 등록이 되었는지 확인합니다.

 

sc_auth list 

 

등록된 카드의 해쉬값을 표시 해 줍니다.  리스트에 아무것도 안나오면 무언가 잘못되어 등록이 안된 것입니다.

 

등록된 smartcard는 다음과 같이 등록 해제 합니다.

 

sc_auth unpair 

 

다시 등록하려면 smartcard를 usb에서 뺐다 다시 끼우고 pair를 진행을 합니다.

 

Intel based Mac에서는 filevault2가 설정 되어 있을 시에는 매번 부팅 시 첫 한 번은 패스워드를 치고 로그인 해야 다음부터

 

스마트카드로 로그인이 가능합니다. (로그아웃 로그인)  이건 부트타임에

 

하드디스크가 로그인 암호로 암호화 되어 있어서 그런데요.  filevault2가 설정 안되어 있을 시에는 초장부터 스마트카드

 

로그인 가능합니다. sudo 도 스마트 카드로 가능하게 됩니다.

 

 

Apple Silicon Mac에서는 filevault2가 설정이 되어있어도 스마트카드로 처음부터 로그인 가능합니다. 

 

이건 부트타임에 가능하도록 apple silicon mac부터는 되었다고 합니다.

 

일단 이렇게 하면 패스워드로도 스마트카드로도 로그인 가능한 환경이 됩니다.  역시 패스워드만 알면 로그인이 가능하기에

 

다음에는 스마트 카드로만 로그인이 되도록 하는 법을 올려보도록 하겠습니다.  이렇게 하면 smart card를 가지고 있을 때만

 

로그인이 가능해서 보안에 도움이 됩니다.

 

감사합니다.