如何在Ubuntu 14.04上使用Google Authenticator为SSH设置两因素身份验证（2FA）

• 步骤1：先决条件
• 第2步：安装Google Authenticator库
• 步骤3：为每个用户配置Google身份验证器
• 步骤4：将SSH配置为使用Google Authenticator
• 注意
• 结论

有几种通过SSH登录服务器的方法。方法包括密码登录，基于密钥的登录和两因素身份验证。

两因素身份验证是一种更好的保护方式。万一您的计算机受到威胁，攻击者仍将需要访问码才能登录。

在本教程中，您将学习如何使用Google Authenticator和SSH在Ubuntu服务器上设置双重身份验证。

步骤1：先决条件

• Ubuntu 14.04服务器（或更高版本）。
• 具有sudo访问权限的非root用户。
• 安装了Google Authenticator App的智能手机（Android或iOS）。您也可以使用Authy或任何其他支持基于TOTP的登录名的应用程序。

第2步：安装Google Authenticator库

我们需要安装适用于Ubuntu的Google Authenticator Library模块，该模块将允许服务器读取和验证代码。运行以下命令。

sudo apt-get update
sudo apt-get install libpam-google-authenticator

步骤3：为每个用户配置Google身份验证器

要配置模块，只需运行以下命令。

google-authenticator

运行命令后，将询问您某些问题。第一个问题是：

Do you want authentication tokens to be time-based (y/n)

按y，您将获得一个QR码，私钥，验证码和紧急备用码。

拿出手机，然后打开Goog​​le Authenticator应用。您可以扫描QR码或添加密钥以添加新条目。完成此操作后，记下备份代码并将其保存在安全的地方。万一您的手机放错地方或损坏，您可以使用这些代码登录。

对于其余的问题，y请在系统提示时按，以更新.google_authenticator文件，y禁止多次使用同一令牌，n增加时间窗口并y启用速率限制。

您必须对计算机上的所有用户重复步骤3，否则一旦您完成本教程，他们将无法登录。

步骤4：将SSH配置为使用Google Authenticator

现在，您计算机上的所有用户都已经设置了他们的Google身份验证器应用程序，现在该配置SSH以在当前应用程序上使用此身份验证方法了。

输入以下命令以编辑sshd文件。

sudo nano /etc/pam.d/sshd

找到该行@include common-auth并将其注释掉，如下所示。

# Standard Un*x authentication.
#@include common-auth

将以下行添加到此文件的底部。

auth required pam_google_authenticator.so

按Ctrl + X保存并退出。

接下来，输入以下命令来编辑sshd_config文件。

sudo nano /etc/ssh/sshd_config

找到该术语ChallengeResponseAuthentication并将其值设置为yes。还要找到该术语PasswordAuthentication，取消注释，然后将其值更改为no。

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

下一步是将以下行添加到文件的底部。

AuthenticationMethods publickey,keyboard-interactive

通过按保存并关闭文件Ctrl + X。既然我们已经将SSH服务器配置为使用Google Authenticator，现在该重启它了。

sudo service ssh restart

尝试重新登录到服务器。这次将要求您输入身份验证码。

ssh user@serverip

Authenticated with partial success.
Verification code:

输入您的应用程序生成的代码，您将成功登录。

注意

万一您丢失了手机，请使用步骤2中的备份代码。如果您丢失了备份代码，则在.google_authenticator通过Vultr控制台登录后，始终可以在用户主目录下的文件中找到它们。

结论

进行多因素身份验证可以大大提高服务器的安全性，并可以帮助阻止常见的暴力攻击。

其他版本

• 的Ubuntu
• CentOS的