歡迎光臨
每天分享高質量文章

在 Fedora 上為 SSH 設置雙因子驗證 | Linux 中國

使用雙因子驗證,你不能僅僅使用 SSH 密鑰連接到服務器,你還需要提供手機上的驗證器應用程式隨機生成的數字。

— Curt Warfield

 

每天似乎都有一個安全漏洞的新聞報道,說我們的資料會因此而存在風險。儘管 SSH 是一種遠程連接系統的安全方式,但你仍然可以使它更安全。本文將向你展示如何做到這一點。

此時雙因子驗證two-factor authentication(2FA)就有用武之地了。即使你禁用密碼並只允許使用公鑰和私鑰進行 SSH 連接,但如果未經授權的用戶偷竊了你的密鑰,他仍然可以藉此訪問系統。

使用雙因子驗證,你不能僅僅使用 SSH 密鑰連接到服務器,你還需要提供手機上的驗證器應用程式隨機生成的數字。

本文展示的方法是基於時間的一次性密碼Time-based One-time Password(TOTP)演算法。Google Authenticator[1] 用作服務器應用程式。預設情況下,Google Authenticator 在 Fedora 中是可用的。

至於手機,你可以使用與 TOTP 兼容的任何可以雙路驗證的應用程式。Andorid 或 iOS 有許多可以與 TOTP 和 Google Authenticator 配合使用的免費應用程式。本文與 FreeOTP[2] 為例。

安裝並設置 Google Authenticator

首先,在你的服務器上安裝 Google Authenticator。 $ sudo dnf install -y google-authenticator

運行應用程式:

  1. $ google-authenticator

該應用程式提供了一系列問題。下麵的片段展示瞭如何進行合理的安全設置:

  1. Do you want authentication tokens to be time-based (y/n) y
  2. Do you want me to update your "/home/user/.google_authenticator" file (y/n)? y

這個應用程式為你提供一個密鑰、驗證碼和恢復碼。把它們放在安全的地方。如果你丟失了手機,恢復碼是訪問服務器的唯一方式。

設置手機驗證

在你的手機上安裝驗證器應用程式(FreeOTP)。如果你有一臺安卓手機,那麼你可以在 Google Play 中找到它,也可以在蘋果 iPhone 的 iTunes 商店中找到它。

Google Authenticator 會在屏幕上顯示一個二維碼。打開手機上的 FreeOTP 應用程式,選擇添加新賬戶,在應用程式頂部選擇二維碼形狀工具,然後掃描二維碼即可。設置完成後,在每次遠程連接服務器時,你必須提供驗證器應用程式生成的隨機數。

完成配置

應用程式會向你詢問更多的問題。下麵示例展示瞭如何設置合理的安全配置。

  1. Do you want to disallow multiple uses of the same authentication token? This restricts you to one login about every 30s, but it increases your chances to notice or even prevent man-in-the-middle attacks (y/n) y
  2. By default, tokens are good for 30 seconds. In order to compensate for possible time-skew between the client and the server, we allow an extra token before and after the current time. If you experience problems with poor time synchronization, you can increase the window from its default size of +-1min (window size of 3) to about +-4min (window size of 17 acceptable tokens).
  3. Do you want to do so? (y/n) n
  4. If the computer that you are logging into isn't hardened against brute-force login attempts, you can enable rate-limiting for the authentication module. By default, this limits attackers to no more than 3 login attempts every 30s.
  5. Do you want to enable rate-limiting (y/n) y

現在,你必須設置 SSH 來利用新的雙路驗證。

配置 SSH

在完成此步驟之前,確保你已使用公鑰建立了一個可用的 SSH 連接,因為我們將禁用密碼連接。如果出現問題或錯誤,一個已經建立的連接將允許你修複問題。

在你的服務器上,使用 sudo[3] 編輯 /etc/pam.d/sshd 檔案。

  1. $ sudo vi /etc/pam.d/ssh

註釋掉 auth substack password-auth 這一行:

  1. #auth       substack     password-auth

將以下行添加到檔案底部:

  1. auth sufficient pam_google_authenticator.so

儲存並關閉檔案。然後編輯 /etc/ssh/sshd_config 檔案:

  1. $ sudo vi /etc/ssh/sshd_config

找到 ChallengeResponseAuthentication 這一行並將其更改為 yes

  1. ChallengeResponseAuthentication yes

找到 PasswordAuthentication 這一行並將其更改為 no

  1. PasswordAuthentication no

將以下行添加到檔案底部:

  1. AuthenticationMethods publickey,password publickey,keyboard-interactive

儲存並關閉檔案,然後重新啟動 SSH:

  1. $ sudo systemctl restart sshd

測試雙因子驗證

當你嘗試連接到服務器時,系統會提示你輸入驗證碼:

  1. [[email protected] ~]$ ssh [email protected].com
  2. Verification code:

驗證碼由你手機上的驗證器應用程式隨機生成。由於這個數字每隔幾秒就會發生變化,因此你需要在它變化之前輸入它。

如果你不輸入驗證碼,你將無法訪問系統,你會收到一個權限被拒絕的錯誤:

  1. [[email protected] ~]$ ssh [email protected].com
  2. Verification code:
  3. Verification code:
  4. Verification code:
  5. Permission denied (keyboard-interactive).
  6. [[email protected] ~]$

結論

通過添加這種簡單的雙路驗證,現在未經授權的用戶訪問你的服務器將變得更加困難。

 

赞(0)

分享創造快樂