Google Authenticatorを使用してDebian 9でSSHの2要素認証（2FA）を設定する方法

• 前提条件
• ステップ1：Google認証システムライブラリのインストール
• ステップ2：各ユーザーのGoogle認証システムを構成する
• ステップ3：Google認証システムを使用するようにSSHを構成する
• 注意
• 結論

SSHを介してサーバーにログインする方法はいくつかあります。方法には、パスワードログイン、キーベースのログイン、および2要素認証が含まれます。

2要素認証は、はるかに優れたタイプの保護です。コンピュータが侵害された場合でも、攻撃者はログインするためのアクセスコードを必要とします。

このチュートリアルでは、Google AuthenticatorとSSHを使用してDebian 9で2要素認証を設定する方法を学びます。

前提条件

• Debian 9サーバー（またはそれ以降）。
• sudoアクセスを持つ非rootユーザー。
• Google認証システムアプリがインストールされたスマートフォン（AndroidまたはiOS）。Authyまたは時間ベースのワンタイムパスワード（TOTP）ログインをサポートするその他のアプリを使用することもできます。

ステップ1：Google認証システムライブラリのインストール

Debianで利用できるGoogle認証システムライブラリモジュールをインストールする必要があります。これにより、サーバーがコードを読み取って検証できるようになります。

sudo apt update
sudo apt install libpam-google-authenticator -y

ステップ2：各ユーザーのGoogle認証システムを構成する

モジュールを構成します。

google-authenticator

コマンドを実行すると、特定の質問が表示されます。最初の質問はDo you want authentication tokens to be time-based (y/n)

を押すYと、QRコード、秘密鍵、検証コード、緊急バックアップコードを取得します。

スマートフォンを取り出して、Google認証システムアプリを開きます。QRコードをスキャンするか、秘密鍵を追加して新しいエントリを追加できます。それが完了したら、バックアップコードをメモして、どこかに安全に保管してください。スマートフォンの置き忘れや破損が発生した場合は、これらのコードを使用してログインできます。

残りの質問についてはY、.google_authenticatorファイルの更新Y、同じトークンの複数使用の禁止N、時間ウィンドウの拡大、およびYレート制限の有効化を求められたら、を押してください。

マシン上のすべてのユーザーに対してこの手順を繰り返す必要があります。そうしないと、このチュートリアルを完了すると、ユーザーはログインできなくなります。

ステップ3：Google認証システムを使用するようにSSHを構成する

マシン上のすべてのユーザーがGoogleオーセンティケーターアプリを設定したので、SSHを設定して、現在の認証方法に対してこの認証方法を使用するようにします。

次のコマンドを入力してsshdファイルを編集します。

sudo nano /etc/pam.d/sshd

@include common-auth以下に示すように、行を見つけてコメント化します。

# Standard Un*x authentication.
#@include common-auth

このファイルの最後に次の行を追加します。

auth required pam_google_authenticator.so

CTRL+ Xを押して保存し、終了します。

次に、次のコマンドを入力してsshd_configファイルを編集します。

sudo nano /etc/ssh/sshd_config

用語ChallengeResponseAuthenticationを見つけて、その値をに設定しますyes。また、用語を見つけてPasswordAuthenticationコメントを外し、その値をに変更しますno。

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

次のステップは、ファイルの最後に次の行を追加することです。

AuthenticationMethods publickey,keyboard-interactive

CTRL+ を押して、ファイルを保存して閉じますX。Google認証システムを使用するようにSSHサーバーを構成したので、再起動します。

sudo service ssh restart

サーバーに再度ログインしてみてください。今回は認証コードを要求されます。

ssh user@serverip

Authenticated with partial success.
Verification code:

アプリが生成するコードを入力すると、正常にログインできます。

注意

電話機を紛失した場合は、ステップ2のバックアップコードを使用してください。バックアップコードを紛失した場合は.google_authenticator、Vultrコンソールからログインした後、ユーザーのホームディレクトリの下のファイルでいつでも見つけることができます。

結論

2要素認証を使用すると、サーバーのセキュリティが大幅に向上し、一般的なブルートフォース攻撃の阻止に役立ちます。