Cum să configurați autentificarea cu doi factori (2FA) pentru SSH pe Ubuntu 14.04 folosind Google Authenticator

• Pasul 1: Condiții preliminare
• Pasul 2: Instalarea bibliotecii Google Authenticator
• Pasul 3: Configurați Google Authenticator pentru fiecare utilizator
• Pasul 4: Configurați SSH pentru a utiliza Google Authenticator
• Notă
• Concluzie

Există mai multe moduri de a vă conecta la un server prin SSH. Metodele includ autentificarea cu parolă, autentificarea bazată pe cheie și autentificarea cu doi factori.

Autentificarea cu doi factori este un tip de protecție mult mai bun. În cazul în care computerul dvs. este compromis, atacatorul ar avea totuși nevoie de un cod de acces pentru a vă autentifica.

În acest tutorial, veți învăța cum să configurați autentificarea cu doi factori pe un server Ubuntu folosind Google Authenticator și SSH.

Pasul 1: Condiții preliminare

• Un server Ubuntu 14.04 (sau mai nou).
• Un utilizator non-root cu acces sudo.
• A fost instalat un telefon inteligent (Android sau iOS) cu aplicația Google Authenticator. Puteți utiliza, de asemenea, Authy sau orice altă aplicație care acceptă autentificări bazate pe TOTP.

Pasul 2: Instalarea bibliotecii Google Authenticator

Trebuie să instalăm modulul Biblioteca Google Authenticator disponibil pentru Ubuntu, care va permite serverului să citească și să valideze codurile. Executați următoarele comenzi.

sudo apt-get update
sudo apt-get install libpam-google-authenticator

Pasul 3: Configurați Google Authenticator pentru fiecare utilizator

Pentru a configura modulul, trebuie doar să executați următoarea comandă.

google-authenticator

După ce executați comanda, vi se vor pune anumite întrebări. Prima întrebare ar fi:

Do you want authentication tokens to be time-based (y/n)

Apăsați yși veți obține un cod QR, cheie secretă, cod de verificare și coduri de rezervă de urgență.

Scoate-ți telefonul și deschide aplicația Google Authenticator. Puteți să scanați codul QR sau să adăugați cheia secretă pentru a adăuga o nouă intrare. După ce ai făcut asta, notează codurile de rezervă și păstrează-le în siguranță undeva. În cazul în care telefonul dvs. este greșit sau deteriorat, puteți utiliza aceste coduri pentru a vă autentifica.

Pentru întrebările rămase, apăsați ycând vi se solicită să actualizați .google_authenticatorfișierul, ypentru a nu permite mai multe utilizări cu același simbol, npentru creșterea ferestrei de timp și ypentru a activa limitarea ratei.

Va trebui să repetați pasul 3 pentru toți utilizatorii de pe mașina dvs., altfel nu vor putea să vă autentifice odată ce ați trecut cu acest tutorial.

Pasul 4: Configurați SSH pentru a utiliza Google Authenticator

Acum că toți utilizatorii de pe mașina dvs. și-au configurat aplicația de autentificare Google, este timpul să configurați SSH-ul pentru a utiliza această metodă de autentificare peste cea actuală.

Introduceți următoarea comandă pentru a edita sshdfișierul.

sudo nano /etc/pam.d/sshd

Găsiți linia @include common-authși comentați-o ca mai jos.

# Standard Un*x authentication.
#@include common-auth

Adăugați următoarea linie în partea de jos a acestui fișier.

auth required pam_google_authenticator.so

Apăsați Ctrl + Xpentru a salva și a ieși.

Apoi, introduceți următoarea comandă pentru a edita sshd_configfișierul.

sudo nano /etc/ssh/sshd_config

Găsiți termenul ChallengeResponseAuthenticationși setați valoarea acestuia yes. De asemenea, găsiți termenul PasswordAuthentication, dezlipiți-l și schimbați valoarea în no.

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

Următorul pas este să adăugați următoarea linie în partea de jos a fișierului.

AuthenticationMethods publickey,keyboard-interactive

Salvați și închideți fișierul apăsând Ctrl + X. Acum că am configurat serverul SSH pentru a utiliza Google Authenticator, a venit momentul să-l reporniți.

sudo service ssh restart

Încercați să vă conectați din nou pe server. De această dată vi se va cere codul de autentificator.

ssh user@serverip

Authenticated with partial success.
Verification code:

Introduceți codul pe care îl generează aplicația dvs. și veți fi conectat cu succes.

Notă

În cazul în care vă pierdeți telefonul, utilizați codurile de rezervă de la pasul 2. Dacă ați pierdut codurile de rezervă, le puteți găsi întotdeauna în .google_authenticatorfișierul din directorul de acasă al utilizatorului după conectarea prin consola Vultr.

Concluzie

Având o autentificare cu mai mulți factori, îmbunătățește considerabil securitatea serverului dvs. și vă permite să ajutați la combaterea atacurilor comune de forță brută.

Alte versiuni

• Ubuntu
• CentOS