Yubikey & PAM

之前没看懂 PAM 怎么用，今天重新看了一下pam(8)，打算搞好之前想弄的 yubikey 解锁桌面。

看pam(8)的结果：这在说什么？

看了一篇讲 PAM 的博客：噢，我明白了（没有懂），甚至应该修改 /etc/pam.d下的哪一个文件都不清楚。

还是另一篇博客让我豁然开朗。

先在 Arch Linux 上安装yubico-pam包。

然后修改/etc/pam.d/system-auth，将下面一行添加到 auth required pam_unix.so ... 那一行的前面。如果添加到后面的话，还会先调用 pam_unix.so 来索取密码，而且失败了就失败了，并不能 fallback 到 Yubikey 登陆，然而将 sufficient 的 pam_yubico 放在最前，当 yubikey 验证成功了就一定成功。

如果写的是 required 而不是 sufficient ，结果就是不仅要 yubikey 验证成功，而且还要接着再输一遍密码，相当于倒过来的二步验证。

auth sufficient pam_yubico.so id=<yubikey API id> authfile=/etc/yubikeys

这样就大功告成了！现在 sudo，解锁屏，登陆都可以用 Yubikey 一摁完成了！

当然，如果 KDE 的用户

• 只想用它解锁屏，就把这一行放到 /etc/pam.d/kde 里的对应位置，注意当前用户需要有 authfile 的读权限，否则无法使用
• 只想用它登陆，就把这一行放到 /etc/pam.d/sddm 里的对应位置

如果只想用 yubikey 登陆 console （估计没有这样的人），就把这一行放到 /etc/pam.d/login 里就行了，ssh类似，大概。

而如果想离线也能验证，或者嫌在线验证时间过长的话，就换用 challenge-response 模式就可以了。具体见 Yubico 官网的相关页面，就懒得再翻译一遍了。设置好之后甚至连一摁都不需要了。

Arch Wiki 关于 Yubikey 的条目可以说比较混乱，而 Fedora Wiki 的页面则较为简洁直白，可以作为参考。

顺便一提，也是 Fedora Wiki 告诉我有 modhex 这种东西。 Yubikey 作为键盘输入，它只会向机器发送键盘扫描码，机器再将其转换为按键。因此 Yubikey 不能控制键盘的 layout ，也就导致如果随意输入，在不同的键盘 layout 上可能会输出不同的字符。比如QWERTY的Y，在德语键盘上就成了Z（它交换了Y和Z），而在日语键盘上差不多就是假名 N （说差不多的意思是在假名输入下才是 N）。因此 Yubikey 选择了那些在任何键盘 layout 下都不会变的16个字符，用以表示16进制数，这就是 modhex 。

请关掉假名输入！不然そそそそそそりこはすいきまにすこまきましすいりそなままりこのかいそひひしきのにすきしのき

中断

今天读了一篇关于硬件中断，以及如何用 PIC 处理的博文，因为没怎么看懂，就不翻译了。

玩蛇？玩个蛇皮！

Arcaea 潜力值终于上 9 了，或者说，才上 9 。啊……

慢慢来吧。