SSH: Двофакторна автентифікація

На даний момент у мене є Ubuntu Server 12.04 під керуванням OpenSSH разом із Samba та кількома іншими сервісами. На даний момент у мене налаштована аутентифікація відкритих ключів, і мені цікаво, чи можливо встановити двофакторну автентифікацію? Я дивився на Google Authenticator, яким я зараз користуюся у своєму акаунті Gmail.

Я знайшов модуль PAM, схожий на те, що він буде сумісним, однак здається, що ви змушені використовувати пароль та згенерований код.

Мені цікаво, чи існує спосіб використання програми Google Authenticator (або чогось подібного) разом із моїм відкритим ключем для аутентифікації на моєму сервері SSH?

Red Hat додали патч до OpenSSH в RHEL (і, отже, CentOS) 6.3, щоб вимагати декількох механізмів аутентифікації, тож ви можете зробити щось подібне:

RequiredAuthentications2 publickey,keyboard-interactive

Дивіться примітки до випуску не дуже детально.

На жаль, ця функція, схоже, не знаходиться в OpenSSH вище або Ubuntu 12.04, тому, якщо ви не хочете знайти патч і перекомпілювати OpenSSH, боюся, вам не пощастило.

Ви шукаєте Duo Security

Ви можете використовувати як модуль PAM Google Authenticator, так і відкриті ключі, але для даної аутентифікації буде використано лише один. Тобто, якщо користувач увійде в систему з авторизованим відкритим ключем, маркер не буде потрібен.

Або, якщо сказати інакше: маркери потрібні лише для автентифікації паролів, а не SSH-ключів.

До речі, це обмеження походить не від модуля аутентифікатора Google, а від SSH, який реалізує лише два факторні аутентифікацію (через ChallengeResponseAuthentication) для PAM, але не викликає PAM, коли надається дійсний відкритий ключ.

Це запитання починає з 2012 року. З цього часу SSH змінився та був впроваджений протокол SSH2.

У останніх версіях SSH (> = 6.2) man sshd_config згадує:

AuthenticationMethods
       Specifies the authentication methods that must be successfully completed for a user to be
       granted access.  This option must be followed by one or more comma-separated lists of
       authentication method names.  Successful authentication requires completion of every method
       in at least one of these lists.

       For example, an argument of ``publickey,password publickey,keyboard-interactive'' would
       require the user to complete public key authentication, followed by either password or key-
       board interactive authentication.  Only methods that are next in one or more lists are
       offered at each stage, so for this example, it would not be possible to attempt password or
       keyboard-interactive authentication before public key.

       This option is only available for SSH protocol 2 and will yield a fatal error if enabled if
       protocol 1 is also enabled.  Note that each authentication method listed should also be
       explicitly enabled in the configuration.  The default is not to require multiple authentica-
       tion; successful completion of a single authentication method is sufficient.

На цій сторінці http://lwn.net/Articles/544640/ також згадується можливість одночасно використовувати publickey та PAM-автентифікацію.

Я знаю, що це питання трохи несвіжий, але заради майбутніх людей (включаючи мене), які шукають рішення, також йдеться про використання параметра ForceCommand у файлі sshd_config для запуску скрипту, який виконує аутентифікацію. Там приклад скрипта , тут ви можете змінити трохи для ваших потреб, хоча в цьому прикладі він називає його з файлу authorized_keys замість того , щоб його загальносистемного з ForceCommand sshd_config в.

Отримайте YubiKey та дотримуйтесь цього посібника http://berrange.com/posts/2011/12/18/multi-factor-ssh-authentication-using-yubikey-and-ssh-public-keys-together/

AFAIK, це найкращий спосіб реалізувати Yubikey на своєму сервері для доступу до SSH. Наведений вище посібник дає змогу використовувати відкритий ключ + yubikey, тоді як якщо ви переходите з офіційним довідником ( http://code.google.com/p/yubico-pam/wiki/YubikeyAndSSHViaPAM ), він не працює з відкритим ключем ключ.

З повагою, Вип

Якщо ви встановите пароль для свого приватного ключа, тоді у вас вже є двофакторна автентифікація. Для того, щоб увійти, люди потребують:

1. щось у вас є - ваш приватний ключ
2. щось, що ви знаєте - парольна фраза до вашого приватного ключа