كيفية إعداد المصادقة الثنائية (2FA) لـ SSH على دبيان 9 باستخدام Google Authenticator

• المتطلبات الأساسية
• الخطوة 1: تثبيت مكتبة Google Authenticator
• الخطوة 2: تكوين Google Authenticator لكل مستخدم
• الخطوة 3: تكوين SSH لاستخدام Google Authenticator
• ملحوظة
• استنتاج

هناك عدة طرق لتسجيل الدخول إلى خادم عبر SSH. تتضمن الأساليب تسجيل الدخول بكلمة المرور وتسجيل الدخول المستند إلى المفتاح والمصادقة الثنائية.

المصادقة الثنائية هي نوع أفضل من الحماية. في حالة اختراق جهاز الكمبيوتر الخاص بك ، سيظل المهاجم بحاجة إلى رمز وصول لتسجيل الدخو��.

في هذا البرنامج التعليمي ، ستتعلم كيفية إعداد المصادقة ذات العاملين على دبيان 9 باستخدام Google Authenticator و SSH.

المتطلبات الأساسية

• خادم دبيان 9 (أو أحدث).
• مستخدم غير جذري مع وصول sudo.
• هاتف ذكي (Android أو iOS) مثبت عليه تطبيق Google Authenticator. يمكنك أيضًا استخدام Authy أو أي تطبيق آخر يدعم تسجيلات الدخول لكلمة المرور لمرة واحدة (TOTP).

الخطوة 1: تثبيت مكتبة Google Authenticator

نحتاج إلى تثبيت وحدة مكتبة Google Authenticator المتاحة لـ Debian ، والتي ستسمح للخادم بقراءة الرموز والتحقق منها.

sudo apt update
sudo apt install libpam-google-authenticator -y

الخطوة 2: تكوين Google Authenticator لكل مستخدم

تكوين الوحدة النمطية.

google-authenticator

بمجرد تشغيل الأمر ، سيتم سؤالك بعض الأسئلة. السؤال الأول سيكونDo you want authentication tokens to be time-based (y/n)

اضغط Yوستحصل على رمز الاستجابة السريعة والمفتاح السري ورمز التحقق والرموز الاحتياطية للطوارئ.

أخرج هاتفك وافتح تطبيق Google Authenticator. يمكنك إما مسح رمز الاستجابة السريعة أو إضافة مفتاح السر لإضافة إدخال جديد. بمجرد القيام بذلك ، لاحظ الرموز الاحتياطية واحتفظ بها في مكان ما. في حالة تلف هاتفك أو تلفه ، يمكنك استخدام هذه الرموز لتسجيل الدخول.

بالنسبة للأسئلة المتبقية ، اضغط Yعند سؤالك لتحديث .google_authenticatorالملف ، Yلعدم السماح باستخدامات متعددة لنفس الرمز ، Nلزيادة النافذة الزمنية Yولتمكين تحديد المعدل.

سيكون عليك تكرار هذه الخطوة لجميع المستخدمين على جهازك ، وإلا فلن يتمكنوا من تسجيل الدخول بمجرد الانتهاء من هذا البرنامج التعليمي.

الخطوة 3: تكوين SSH لاستخدام Google Authenticator

الآن بعد أن قام جميع المستخدمين على جهازك بإعداد تطبيق Google Authentator ، فقد حان الوقت لتكوين SSH لاستخدام طريقة المصادقة هذه على الطريقة الحالية.

أدخل الأمر التالي لتحرير sshdالملف.

sudo nano /etc/pam.d/sshd

ابحث عن الخط @include common-authوعلق عليه ، مثل ما هو موضح أدناه.

# Standard Un*x authentication.
#@include common-auth

أضف السطر التالي إلى أسفل هذا الملف.

auth required pam_google_authenticator.so

اضغط على CTRL+ Xللحفظ والخروج.

بعد ذلك ، أدخل الأمر التالي لتحرير sshd_configالملف.

sudo nano /etc/ssh/sshd_config

أوجد الحد ChallengeResponseAuthenticationوتعيين قيمته على yes. ابحث أيضًا عن المصطلح PasswordAuthentication، وقم بإلغاء تعليقه ، وقم بتغيير قيمته إلى no.

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

الخطوة التالية هي إضافة السطر التالي إلى أسفل الملف.

AuthenticationMethods publickey,keyboard-interactive

احفظ وأغلق الملف بالضغط على CTRL+ X. الآن بعد أن قمنا بتكوين خادم SSH لاستخدام Google Authenticator ، فقد حان وقت إعادة تشغيله.

sudo service ssh restart

حاول تسجيل الدخول مرة أخرى إلى الخادم. هذه المرة ستتم مطالبتك برمز Authenticator الخاص بك.

ssh user@serverip

Authenticated with partial success.
Verification code:

أدخل الرمز الذي يولده تطبيقك وسيتم تسجيل دخولك بنجاح.

ملحوظة

في حالة فقدان هاتفك ، استخدم الرموز الاحتياطية من الخطوة 2. إذا فقدت الرموز الاحتياطية ، فيمكنك دائمًا العثور عليها في .google_authenticatorالملف ضمن دليل الصفحة الرئيسية للمستخدم بعد تسجيل الدخول عبر وحدة تحكم Vultr.

استنتاج

يعمل الحصول على المصادقة ذات العاملين على تحسين أمان الخادم إلى حد كبير ويسمح لك بالمساعدة في إحباط هجمات القوة الغاشمة الشائعة.