Hvernig á að setja upp tveggja þátta auðkenningu fyrir SSH á Fedora

Á hverjum degi virðist vera fullt af öryggisbrotum tilkynnt þar sem gögn okkar eru í hættu. Þrátt fyrir þá staðreynd að SSH sé örugg leið til að koma á fjartengingu við Linux kerfi, en samt getur óþekktur notandi fengið aðgang að Linux vélinni þinni ef hann stelur SSH lyklunum þínum, jafnvel þó þú slökktir á lykilorðum eða leyfir aðeins SSH tengingar yfir opinbera og einkalykla.

Í þessari grein munum við útskýra hvernig á að setja upp tveggja þátta auðkenningu (2FA) fyrir SSH á Fedora Linux dreifingu með því að nota Google Authenticator til að fá aðgang að ytra Linux kerfi á öruggari hátt með því að veita TOTP (The Time-based One-Time) Lykilorð) númer sem er búið til af handahófi af auðkenningarforriti í farsíma.

Athugaðu að þú getur notað hvaða tvíhliða auðkenningarforrit sem er fyrir farsímann þinn sem er samhæft við TOTP reikniritið. Það eru fjölmörg ókeypis forrit í boði fyrir Android eða IOS sem styðja TOTP og Google Authenticator, en þessi grein notar Google Authenticator sem dæmi.

Setur upp Google Authenticator á Fedora

Settu fyrst upp Google Authenticator forritið á Fedora netþjóninum þínum með því að nota eftirfarandi dnf skipun.

$ sudo dnf install -y google-authenticator

Þegar Google Authenticator hefur verið sett upp geturðu keyrt forritið.

$ google-authenticator

Forritið hvetur þig til fjölda spurninga. Eftirfarandi brot sýna þér hvernig á að svara fyrir nokkuð örugga uppsetningu.

Do you want authentication tokens to be time-based (y/n) y Do you want me to update your "/home/user/.google_authenticator" file (y/n)? y

Forritið veitir þér leynilegan lykil, staðfestingarkóða og endurheimtarkóða. Geymið þessa lykla á öruggum og öruggum stað, þar sem þessir lyklar eru eina leiðin til að fá aðgang að þjóninum þínum ef þú týnir farsímanum þínum.

Uppsetning farsímaauðkenningar

Farðu í farsímann þinn í app store Google Play eða iTunes og leitaðu að Google Authenticator og settu upp forritið.

Opnaðu nú Google Authenticator forritið á farsímanum þínum og skannaðu QR kóðann sem birtist á Fedora flugstöðinni. Þegar QR kóðaskönnuninni er lokið færðu númer sem er búið til af handahófi af auðkenningarforritinu og notar þetta númer í hvert skipti sem þú tengist Fedora netþjóninum þínum lítillega.

Ljúktu við uppsetningu Google Authenticator

Google Authenticator forritið vekur frekari spurningar og eftirfarandi dæmi sýnir hvernig á að svara þeim til að setja upp örugga uppsetningu.

Nú þarftu að stilla SSH til að nota nýju tvíhliða auðkenninguna eins og útskýrt er hér að neðan.

Stilltu SSH til að nota Google Authenticator

Til að stilla SSH til að nota auðkenningarforrit þarftu fyrst að hafa virka SSH tengingu með því að nota opinbera SSH lykla, þar sem við munum slökkva á lykilorðatengingum.

Opnaðu /etc/pam.d/sshd skrána á þjóninum þínum.

$ sudo vi /etc/pam.d/sshd

Skrifaðu athugasemd við auth substack password-auth línuna í skránni.

#auth       substack     password-auth

Næst skaltu setja eftirfarandi línu í lok skráarinnar.

auth sufficient pam_google_authenticator.so

Vistaðu og lokaðu skránni.

Næst skaltu opna og breyta /etc/ssh/sshd_config skránni.

$ sudo vi /etc/ssh/sshd_config

Leitaðu að ChallengeResponseAuthentication línunni og breyttu henni í yes.

ChallengeResponseAuthentication yes

Leitaðu að PasswordAuthentication línunni og breyttu henni í no.

PasswordAuthentication no

Næst skaltu setja eftirfarandi línu í lok skráarinnar.

AuthenticationMethods publickey,password publickey,keyboard-interactive

Vistaðu og lokaðu skránni og endurræstu síðan SSH.

$ sudo systemctl restart sshd

Prófa tveggja þátta auðkenningu á Fedora

Reyndu nú að tengjast netþjóninum þínum lítillega, það mun biðja þig um að slá inn staðfestingarkóða.

$ ssh [email 

Verification code:

Staðfestingarkóðinn er búinn til af handahófi í farsímanum þínum af auðkenningarforritinu þínu. Þar sem myndaður kóði breytist á nokkurra sekúndna fresti þarftu að slá hann inn fljótt áður en hann býr til nýjan.

Ef þú slærð inn rangan staðfestingarkóða muntu ekki geta tengst kerfinu og þú munt fá eftirfarandi villu um leyfi neitað.

$ ssh [email 

Verification code:
Verification code:
Verification code:
Permission denied (keyboard-interactive).

Með því að innleiða þessa auðveldu tvíhliða auðkenningu hefurðu bætt auknu öryggislagi við kerfið þitt og auk þess sem þetta gerir óþekktum notanda erfiðara fyrir að fá aðgang að netþjóninum þínum.