Como configurar a autenticação de dois fatores (2FA) para SSH no Ubuntu 14.04 usando o Google Authenticator

• Etapa 1: Pré-requisitos
• Etapa 2: instalando a Biblioteca do Google Authenticator
• Etapa 3: configurar o Google Authenticator para cada usuário
• Etapa 4: configurar o SSH para usar o Google Authenticator
• Nota
• Conclusão

Existem várias maneiras de fazer login em um servidor por SSH. Os métodos incluem login por senha, login baseado em chave e autenticação de dois fatores.

A autenticação de dois fatores é um tipo muito melhor de proteção. Caso seu computador seja comprometido, o invasor ainda precisará de um código de acesso para efetuar o login.

Neste tutorial, você aprenderá como configurar a autenticação de dois fatores em um servidor Ubuntu usando o Google Authenticator e SSH.

Etapa 1: Pré-requisitos

• Um servidor Ubuntu 14.04 (ou mais recente).
• Um usuário não raiz com acesso sudo.
• Um telefone inteligente (Android ou iOS) com o aplicativo Google Authenticator instalado. Você também pode usar o Authy ou qualquer outro aplicativo que suporte logins baseados em TOTP.

Etapa 2: instalando a Biblioteca do Google Authenticator

Precisamos instalar o módulo Biblioteca do Google Authenticator disponível para Ubuntu, que permitirá ao servidor ler e validar códigos. Execute os seguintes comandos.

sudo apt-get update
sudo apt-get install libpam-google-authenticator

Etapa 3: configurar o Google Authenticator para cada usuário

Para configurar o módulo, basta executar o seguinte comando.

google-authenticator

Depois de executar o comando, você receberá determinadas perguntas. A primeira pergunta seria:

Do you want authentication tokens to be time-based (y/n)

Pressione ye você receberá um código QR, chave secreta, código de verificação e códigos de backup de emergência.

Retire seu telefone e abra o aplicativo Google Authenticator. Você pode digitalizar o código QR ou adicionar a chave secreta para adicionar uma nova entrada. Depois de fazer isso, anote os códigos de backup e mantenha-os seguros em algum lugar. Caso seu telefone seja extraviado ou danificado, você poderá usar esses códigos para fazer login.

Para as perguntas restantes, pressione yquando solicitado a atualizar o .google_authenticatorarquivo, ypor não permitir vários usos do mesmo token, npor aumentar a janela de tempo e ypor ativar a limitação de taxa.

Você precisará repetir a Etapa 3 para todos os usuários em sua máquina, caso contrário, eles não poderão efetuar o login assim que concluir este tutorial.

Etapa 4: configurar o SSH para usar o Google Authenticator

Agora que todos os usuários em sua máquina configuraram o aplicativo autenticador do Google, é hora de configurar o SSH para usar esse método de autenticação em relação ao atual.

Digite o seguinte comando para editar o sshdarquivo.

sudo nano /etc/pam.d/sshd

Encontre a linha @include common-authe comente como abaixo.

# Standard Un*x authentication.
#@include common-auth

Adicione a seguinte linha na parte inferior deste arquivo.

auth required pam_google_authenticator.so

Pressione Ctrl + Xpara salvar e sair.

Em seguida, digite o seguinte comando para editar o sshd_configarquivo.

sudo nano /etc/ssh/sshd_config

Encontre o termo ChallengeResponseAuthenticatione defina seu valor como yes. Encontre também o termo PasswordAuthentication, remova o comentário e mude seu valor para no.

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

O próximo passo é adicionar a seguinte linha na parte inferior do arquivo.

AuthenticationMethods publickey,keyboard-interactive

Salve e feche o arquivo pressionando Ctrl + X. Agora que configuramos o servidor SSH para usar o Google Authenticator, é hora de reiniciá-lo.

sudo service ssh restart

Tente fazer login novamente no servidor. Desta vez, você será solicitado a fornecer seu código de autenticação.

ssh user@serverip

Authenticated with partial success.
Verification code:

Digite o código que seu aplicativo gera e você efetuará login com êxito.

Nota

Caso você perca o telefone, use os códigos de backup da Etapa 2. Se você perdeu os códigos de backup, sempre poderá encontrá-los no .google_authenticatorarquivo no diretório inicial do usuário após efetuar o login no console Vultr.

Conclusão

A autenticação de múltiplos fatores melhora muito a segurança do servidor e permite ajudar a impedir ataques comuns de força bruta.

Outras versões

• Ubuntu
• CentOS