Hay varias formas de iniciar sesión en un servidor a través de SSH. Los métodos incluyen inicio de sesión con contraseña, inicio de sesión basado en clave y autenticación de dos factores.
La autenticación de dos factores es un tipo de protección mucho mejor. En caso de que su computadora se vea comprometida, el atacante aún necesitaría un código de acceso para iniciar sesión.
En este tutorial, aprenderá cómo configurar la autenticación de dos factores en un servidor Ubuntu usando Google Authenticator y SSH.
Paso 1: requisitos previos
- Un servidor Ubuntu 14.04 (o más reciente).
- Un usuario no root con acceso a sudo.
- Un teléfono inteligente (Android o iOS) con la aplicación Google Authenticator instalada. También puede usar Authy o cualquier otra aplicación que admita inicios de sesión basados en TOTP.
Paso 2: Instalación de la Biblioteca de Google Authenticator
Necesitamos instalar el módulo Google Authenticator Library disponible para Ubuntu que permitirá al servidor leer y validar códigos. Ejecute los siguientes comandos.
sudo apt-get update
sudo apt-get install libpam-google-authenticator
Para configurar el módulo, simplemente ejecute el siguiente comando.
google-authenticator
Una vez que ejecute el comando, se le harán ciertas preguntas. La primera pregunta sería:
Do you want authentication tokens to be time-based (y/n)
Presione y
y obtendrá un código QR, clave secreta, código de verificación y códigos de respaldo de emergencia.
Saque su teléfono y abra la aplicación Google Authenticator. Puede escanear el código QR o agregar la clave secreta para agregar una nueva entrada. Una vez que haya hecho eso, anote los códigos de respaldo y manténgalos seguros en algún lugar. En caso de que su teléfono se extravíe o se dañe, puede usar esos códigos para iniciar sesión.
Para las preguntas restantes, presione y
cuando se le solicite actualizar el .google_authenticator
archivo, y
para no permitir múltiples usos del mismo token, n
para aumentar la ventana de tiempo y y
para habilitar la limitación de velocidad.
Tendrá que repetir el Paso 3 para todos los usuarios de su máquina; de lo contrario, no podrán iniciar sesión una vez que haya terminado con este tutorial.
Ahora que todos los usuarios en su máquina han configurado su aplicación de autenticación de Google, es hora de configurar el SSH para usar este método de autenticación sobre el actual.
Ingrese el siguiente comando para editar el sshd
archivo.
sudo nano /etc/pam.d/sshd
Encuentra la línea @include common-auth
y coméntala como a continuación.
# Standard Un*x authentication.
#@include common-auth
Agregue la siguiente línea al final de este archivo.
auth required pam_google_authenticator.so
Presione Ctrl + X
para guardar y salir.
Luego, ingrese el siguiente comando para editar el sshd_config
archivo.
sudo nano /etc/ssh/sshd_config
Encuentre el término ChallengeResponseAuthentication
y establezca su valor en yes
. También encuentre el término PasswordAuthentication
, descomente y cambie su valor a no
.
# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no
El siguiente paso es agregar la siguiente línea al final del archivo.
AuthenticationMethods publickey,keyboard-interactive
Guarde y cierre el archivo presionando Ctrl + X
. Ahora que hemos configurado el servidor SSH para usar el Autenticador de Google, es hora de reiniciarlo.
sudo service ssh restart
Intente iniciar sesión nuevamente en el servidor. Esta vez se le pedirá su código de autenticación.
ssh user@serverip
Authenticated with partial success.
Verification code:
Ingrese el código que genera su aplicación y se iniciará sesión correctamente.
Nota
En caso de que pierda su teléfono, use los códigos de respaldo del Paso 2. Si perdió sus códigos de respaldo, siempre puede encontrarlos en el .google_authenticator
archivo bajo el directorio de inicio del usuario después de iniciar sesión a través de la consola Vultr.
Conclusión
Tener autenticación de múltiples factores mejora en gran medida la seguridad de su servidor y le permite ayudar a frustrar los ataques de fuerza bruta comunes.
Otras versiones