TaBr : hébergement de services à taille humaine §

Voici un recueil d'outils permettant de gérer les inscriptions à un serveur.

Téléchargement :

tabr.tgz

Services actuellement gérés:

• mail (smtpd + dovecot)
• xmpp (prosody)

Un dossier ''/var/tabr-data/'' (variable "data" dans tabr.conf) contiendra un fichier par utilisateur contenant les codes de récupération hachés.

Ce dossier appartiendra et ne sera lisible que à/par un utilisateur dédié : ''_tabr_admin''.

Les utilisateurs appartiennent à un groupe commun ''_tabr_users'', ce qui pourra simplifier la gestion si un accès SSH est envisagé. Il s'agit de réels utilisateurs système, ce qui impose une limite à leur nombre maximum : 2147483647 (y a de la marge).

Mise en place §

Création de groupes et d'utilisateurs dédiés. _tabr_admin n'a pas de dossier personnel ni de shell, il ne servira qu'à lancer des commandes sans être root via doas.

groupadd _tabr_users
useradd -s /sbin/nologin -m -d /var/_tabr_admin _tabr_admin
install -m 0700 -o _tabr_admin -g _tabr_admin -d /var/_tabr_admin/tabr-data
install -m 0700 -o _tabr_admin -g _tabr_admin -d /var/_tabr_admin/tabr-data/instructions

La modification de mot de passe sera gérée par l'user _tabr_admin, il faut donc configurer doas:

cat >> /etc/doas.conf << EOF
permit root
# TaBr admin need to change passwords
permit nopass _tabr_admin cmd /usr/sbin/useradd
permit nopass _tabr_admin cmd /usr/sbin/usermod
permit nopass _tabr_admin cmd /usr/sbin/userdel
permit nopass _tabr_admin cmd /usr/local/sbin/prosodyctl

Les messages envoyés à _tabr_admin peuvent être redirigés vers root:

echo "_tabr_admin:  root" >> /etc/mail/aliases
newaliases

Un fichier de configuration est attendu à /etc/tabr.conf, vous devriez le configurer après l'installation.

vi /etc/tabr.conf

La commande qrencode doit être disponible pour tabr_adduser:

# pkg_add libqrencode

Installation §

Les différents scripts et outils peuvent être installés avec la commande ''make install''.

Vous voudrez probablement auparavant ajuster la configuration du script cgi en éditant le fichier ''config.h'' du dossier ''tabr_chpw_cgi''.

Utilisation §

Les différents scripts sont supposés être appelés en tant que _tabr_admin. Pour cela, doas est là.

Description des outils §

tabr_adduser §

doas -u _tabr_admin tabr_adduser nouvel_utilisateur

Ajout d'un nouvel utilisateur du si3tch TaBr.

• Vérification que l'user n'existe pas
• Création de l'user avec mot de passe aléatoire
• Création du compte xmpp
• Enregistrement de la phrase de récupération dans un fichier après passage à encrypt.
• Génération fiche avec instructions et QRcode contenant phrase de récupération. Cette fiche est envoyée à _tabr_admin qui peut la transmettre de la façon qu'il préfère à l'utilisateur.

tabr_chpw.cgi §

CGI pour demander une modification de mot de passe pour un utilisateur. Un délai d'attente avant de répondre et un captcha est prévu pour limiter les abus. Il profite de unveil et pledge pour éviter les escalades. Il se configure en éditant le fichier ''config.h'' situé dans le dossier ''src/chpw_cgi''.

• Affichage d'un formulaire avec user, code de recupération, nouveau pw demandé
• Enregistrement de la demande dans un fichier txt portant le nom de l'utilisateur dans un dossier dédié à cet effet.

httpd doit être configuré pour appeler le cgi:

# rcctl enable slowcgi
# rcctl start slowcgi
# cat /etc/httpd.conf
[...]
server "example.com" {
    [...]
    location "/chpw" {
        root "/cgi-bin/tabr_chpw.cgi"
        fastcgi
    }
}
# rcctl reload httpd

tabr_passwd §

doas -u _tabr_admin tabr_passwd /var/www/tabr_chpw_requests/

• Lecture des fichiers de demande de changement de mot de passe.
• Alerte _tabr_admin qu'une demande de changement a eu lieu
• Réalisation des changements. doas doit donc être correctement configuré.

Une tâche cron de _tabr_admin appelle le script qui regarde tous les fichiers éventuellement créés par tabr_chpw.cgi:

# crontab -u _tabr_admin -e
*/1 * * * * /usr/local/sbin/tabr_passwd /var/www/tabr_chpw_requests
...

• vérifie que l'user existe
• vérifie que le code de récupération de l'user correspond
• lance le changement de pw pour les différents services
• prévient l'admin de la tentative/réussite de changement.

tabr_deluser §

Script qui supprime l'utilisateur et son fichier de récupération