Hvernig á að setja upp tveggja þátta auðkenningu (2FA) fyrir SSH á Debian 9 með því að nota Google Authenticator

Það eru nokkrar leiðir til að skrá þig inn á netþjón í gegnum SSH. Aðferðir fela í sér innskráningu með lykilorði, innskráningu sem byggir á lyklum og tveggja þátta auðkenningu.

Tveggja þátta auðkenning er miklu betri tegund verndar. Ef tölvan þín verður í hættu, þá þyrfti árásarmaðurinn samt aðgangskóða til að skrá sig inn.

Í þessari kennslu muntu læra hvernig á að setja upp tvíþætta auðkenningu á Debian 9 með því að nota Google Authenticator og SSH.

Forkröfur

• Debian 9 þjónn (eða nýrri).
• Notandi sem ekki er rót með sudo aðgang.
• Snjallsími (Android eða iOS) með Google Authenticator App uppsett. Þú getur líka notað Authy eða önnur forrit sem styður tímabundið einu sinni lykilorð (TOTP) innskráningu.

Skref 1: Setja upp Google Authenticator Library

Við þurfum að setja upp Google Authenticator Library eininguna sem er tiltæk fyrir Debian, sem gerir þjóninum kleift að lesa og staðfesta kóða.

sudo apt update
sudo apt install libpam-google-authenticator -y

Skref 2: Stilltu Google Authenticator fyrir hvern notanda

Stilltu eininguna.

google-authenticator

Þegar þú keyrir skipunina verður þú spurður ákveðinna spurninga. Fyrsta spurningin verðurDo you want authentication tokens to be time-based (y/n)

Ýttu á Yog þú munt fá QR kóða, leynilykil, staðfestingarkóða og neyðarafritunarkóða.

Taktu upp símann þinn og opnaðu Google Authenticator appið. Þú getur annað hvort skannað QR kóðann eða bætt við leynilyklinum til að bæta við nýrri færslu. Þegar þú hefur gert það skaltu athuga varakóðana og geyma þá örugga einhvers staðar. Ef síminn þinn misfarist eða skemmist geturðu notað þessa kóða til að skrá þig inn.

Fyrir þær spurningar sem eftir eru, ýttu á Yþegar þú ert beðinn um að uppfæra .google_authenticatorskrána, Ytil að banna margvíslega notkun sama tákns, Ntil að auka tímagluggann og Yvirkja takmörkun á hraða.

Þú verður að endurtaka þetta skref fyrir alla notendur á vélinni þinni, annars geta þeir ekki skráð sig inn þegar þú ert búinn með þessa kennslu.

Skref 3: Stilltu SSH til að nota Google Authenticator

Nú þegar allir notendur á vélinni þinni hafa sett upp Google auðkenningarforritið sitt, er kominn tími til að stilla SSH til að nota þessa auðkenningaraðferð yfir núverandi.

Sláðu inn eftirfarandi skipun til að breyta sshdskránni.

sudo nano /etc/pam.d/sshd

Finndu línuna @include common-authog skrifaðu athugasemd, eins og það sem sést hér að neðan.

# Standard Un*x authentication.
#@include common-auth

Bættu eftirfarandi línu við neðst í þessari skrá.

auth required pam_google_authenticator.so

Ýttu á CTRL+ Xtil að vista og hætta.

Næst skaltu slá inn eftirfarandi skipun til að breyta sshd_configskránni.

sudo nano /etc/ssh/sshd_config

Finndu hugtakið ChallengeResponseAuthenticationog stilltu gildi þess á yes. Finndu líka hugtakið PasswordAuthentication, afskrifaðu það og breyttu gildi þess í no.

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

Næsta skref er að bæta eftirfarandi línu neðst í skrána.

AuthenticationMethods publickey,keyboard-interactive

Vistaðu og lokaðu skránni með því að ýta á CTRL+ X. Nú þegar við höfum stillt SSH netþjóninn til að nota Google Authenticator, þá er kominn tími til að endurræsa hann.

sudo service ssh restart

Prófaðu að skrá þig aftur inn á netþjóninn. Að þessu sinni verður þú beðinn um Authenticator kóðann þinn.

ssh user@serverip

Authenticated with partial success.
Verification code:

Sláðu inn kóðann sem appið þitt býr til og þú munt skrá þig inn.

Athugið

Ef þú týnir símanum þínum skaltu nota varakóðana úr skrefi 2. Ef þú týndir varakóðanum þínum geturðu alltaf fundið þá í .google_authenticatorskránni undir heimaskrá notenda eftir að þú skráir þig inn í gegnum Vultr stjórnborðið.

Niðurstaða

Að hafa tveggja þátta auðkenningu bætir öryggi netþjónsins þíns til muna og gerir þér kleift að koma í veg fyrir algengar árásir á grimmd.