在Fedora上為SSH設(shè)置雙因子驗證

作者：Curt Warfield 2019-03-24 19:16:35

每天似乎都有一個安全漏洞的新聞報道，說我們的數(shù)據(jù)會因此而存在風(fēng)險。盡管 SSH 是一種遠(yuǎn)程連接系統(tǒng)的安全方式，但你仍然可以使它更安全。本文將向你展示如何做到這一點。

此時雙因子驗證two-factor authentication（2FA）就有用武之地了。即使你禁用密碼并只允許使用公鑰和私鑰進(jìn)行 SSH 連接，但如果未經(jīng)授權(quán)的用戶偷竊了你的密鑰，他仍然可以借此訪問系統(tǒng)。

使用雙因子驗證，你不能僅僅使用 SSH 密鑰連接到服務(wù)器，你還需要提供你手機(jī)上的驗證器應(yīng)用程序隨機(jī)生成的數(shù)字。

本文展示的方法是基于時間的一次性密碼Time-based One-time Password（TOTP）算法。Google Authenticator 用作服務(wù)器應(yīng)用程序。默認(rèn)情況下，Google Authenticator 在 Fedora 中是可用的。

至于手機(jī)，你可以使用與 TOTP 兼容的任何可以雙路驗證的應(yīng)用程序。Andorid 或 iOS 有許多可以與 TOTP 和 Google Authenticator 配合使用的免費應(yīng)用程序。本文與 FreeOTP 為例。

安裝并設(shè)置 Google Authenticator

首先，在你的服務(wù)器上安裝 Google Authenticator。 $ sudo dnf install -y google-authenticator

運行應(yīng)用程序：

$ google-authenticator

該應(yīng)用程序提供了一系列問題。下面的片段展示了如何進(jìn)行合理的安全設(shè)置：

Do you want authentication tokens to be time-based (y/n) y
Do you want me to update your "/home/user/.google_authenticator" file (y/n)? y

這個應(yīng)用程序為你提供一個密鑰、驗證碼和恢復(fù)碼。把它們放在安全的地方。如果你丟失了手機(jī)，恢復(fù)碼是訪問服務(wù)器的唯一方式。

設(shè)置手機(jī)驗證

在你的手機(jī)上安裝驗證器應(yīng)用程序（FreeOTP）。如果你有一臺安卓手機(jī)，那么你可以在 Google Play 中找到它，也可以在蘋果 iPhone 的 iTunes 商店中找到它。

Google Authenticator 會在屏幕上顯示一個二維碼。打開手機(jī)上的 FreeOTP 應(yīng)用程序，選擇添加新賬戶，在應(yīng)用程序頂部選擇二維碼形狀工具，然后掃描二維碼即可。設(shè)置完成后，在每次遠(yuǎn)程連接服務(wù)器時，你必須提供驗證器應(yīng)用程序生成的隨機(jī)數(shù)。

完成配置

應(yīng)用程序會向你詢問更多的問題。下面示例展示了如何設(shè)置合理的安全配置。

Do you want to disallow multiple uses of the same authentication token? This restricts you to one login about every 30s, but it increases your chances to notice or even prevent man-in-the-middle attacks (y/n) y
By default, tokens are good for 30 seconds. In order to compensate for possible time-skew between the client and the server, we allow an extra token before and after the current time. If you experience problems with poor time synchronization, you can increase the window from its default size of +-1min (window size of 3) to about +-4min (window size of 17 acceptable tokens).
Do you want to do so? (y/n) n
If the computer that you are logging into isn't hardened against brute-force login attempts, you can enable rate-limiting for the authentication module. By default, this limits attackers to no more than 3 login attempts every 30s.
Do you want to enable rate-limiting (y/n) y

現(xiàn)在，你必須設(shè)置 SSH 來利用新的雙路驗證。

配置 SSH

在完成此步驟之前，確保你已使用公鑰建立了一個可用的 SSH 連接，因為我們將禁用密碼連接。如果出現(xiàn)問題或錯誤，一個已經(jīng)建立的連接將允許你修復(fù)問題。

在你的服務(wù)器上，使用 sudo 編輯 /etc/pam.d/sshd 文件。

$ sudo vi /etc/pam.d/ssh

注釋掉 auth substack password-auth 這一行：

#auth       substack     password-auth

將以下行添加到文件底部：

auth sufficient pam_google_authenticator.so

保存并關(guān)閉文件。然后編輯 /etc/ssh/sshd_config 文件：

$ sudo vi /etc/ssh/sshd_config

找到 ChallengeResponseAuthentication 這一行并將其更改為 yes：

ChallengeResponseAuthentication yes

找到 PasswordAuthentication 這一行并將其更改為 no：

PasswordAuthentication no

將以下行添加到文件底部：

AuthenticationMethods publickey,password publickey,keyboard-interactive

保存并關(guān)閉文件，然后重新啟動 SSH：

$ sudo systemctl restart sshd

測試雙因子驗證

當(dāng)你嘗試連接到服務(wù)器時，系統(tǒng)會提示你輸入驗證碼：

[user@client ~]$ ssh user@example.com
Verification code:

驗證碼由你手機(jī)上的驗證器應(yīng)用程序隨機(jī)生成。由于這個數(shù)字每隔幾秒就會發(fā)生變化，因此你需要在它變化之前輸入它。

如果你不輸入驗證碼，你將無法訪問系統(tǒng)，你會收到一個權(quán)限被拒絕的錯誤：

[user@client ~]$ ssh user@example.com
Verification code:
Verification code:
Verification code:
Permission denied (keyboard-interactive).
[user@client ~]$

結(jié)論

通過添加這種簡單的雙路驗證，現(xiàn)在未經(jīng)授權(quán)的用戶訪問你的服務(wù)器將變得更加困難。

責(zé)任編輯：龐桂玉來源： Linux中國