SSH : 이중 인증

현재 Samba 및 기타 몇 가지 서비스와 함께 OpenSSH를 실행하는 Ubuntu Server 12.04가 있습니다. 현재 공개 키 인증을 설정했으며 2 단계 인증을 설정할 수 있는지 궁금합니다. 현재 Gmail 계정에서 사용하는 Google OTP를보고있었습니다.

호환되는 것처럼 보이는 PAM 모듈을 찾았지만 암호와 코드를 생성해야합니다.

SSH 서버에 인증하기 위해 공개 키와 함께 Google OTP 응용 프로그램 (또는 이와 유사한 것)을 사용하는 방법이 있는지 궁금합니다.

Red Hat은 여러 인증 메커니즘을 요구하기 위해 RHEL (및 CentOS) 6.3의 OpenSSH에 패치를 추가하여 다음과 같은 작업을 수행 할 수 있습니다.

RequiredAuthentications2 publickey,keyboard-interactive

자세한 내용은 릴리스 노트 를 참조하십시오 .

불행히도이 기능은 OpenSSH 업스트림이나 우분투 12.04에없는 것 같습니다. 패치를 찾고 OpenSSH를 다시 ​​컴파일하지 않으면 운이 나빠질 것 같습니다.

당신은 듀오 보안을 찾고 있습니다

Google OTP 모듈과 공개 키를 모두 사용할 수 있지만 주어진 인증에는 한 번에 하나만 사용됩니다. 즉, 사용자가 승인 된 공개 키로 로그인하면 토큰이 필요하지 않습니다.

또는 달리 말하면 토큰은 SSH 키가 아닌 비밀번호 인증에만 필요합니다.

이 제한은 Google OTP 모듈에서 오는 것이 아니라 SSH에서 ChallengeResponseAuthenticationPAM에 대해 2 단계 인증 (을 통해 ) 만 구현 하지만 유효한 공개 키가 제공 될 때 PAM을 호출하지 않는 SSH에서 온 것 입니다.

이 질문은 2012 년에 한 것입니다. 이후 SSH가 변경되었고 SSH2 프로토콜이 구현되었습니다.

최신 SSH 버전 (> = 6.2)에서 man sshd_config는 다음을 언급합니다.

AuthenticationMethods
       Specifies the authentication methods that must be successfully completed for a user to be
       granted access.  This option must be followed by one or more comma-separated lists of
       authentication method names.  Successful authentication requires completion of every method
       in at least one of these lists.

       For example, an argument of ``publickey,password publickey,keyboard-interactive'' would
       require the user to complete public key authentication, followed by either password or key-
       board interactive authentication.  Only methods that are next in one or more lists are
       offered at each stage, so for this example, it would not be possible to attempt password or
       keyboard-interactive authentication before public key.

       This option is only available for SSH protocol 2 and will yield a fatal error if enabled if
       protocol 1 is also enabled.  Note that each authentication method listed should also be
       explicitly enabled in the configuration.  The default is not to require multiple authentica-
       tion; successful completion of a single authentication method is sufficient.

이 페이지 ( http://lwn.net/Articles/544640/) 는 공개 키와 PAM 인증을 동시에 사용할 가능성에 대해서도 언급하고 있습니다.

나는이 질문이 조금 오래되었다는 것을 알고 있지만 해결책을 찾고있는 미래의 사람들 (나 자신을 포함하여)을 위해 sshd_config 파일에서 ForceCommand 옵션을 사용하여 스크립트를 실행 한 다음 인증을 수행하는 것에 대해 이야기합니다. 예를 들어 스크립트있어 여기가 그 예에 그는 sshd_config에의 ForceCommand로 시스템 전체를 만드는 대신의 authorized_keys 파일에서 호출하지만, 당신이 당신의 요구에 조금 수정할 수 있습니다.

YubiKey를 받고이 가이드를 따르십시오 http://berrange.com/posts/2011/12/18/multi-factor-ssh-authentication-using-yubikey-and-ssh-public-keys-together/

AFAIK, 이것은 SSH 액세스를 위해 서버에서 Yubikey를 구현하는 가장 좋은 방법입니다. 위 가이드를 사용하면 공개 키 + yubikey를 사용할 수 있지만 공식 가이드 ( http://code.google.com/p/yubico-pam/wiki/YubikeyAndSSHViaPAM )를 작동하지 않습니다. 키.

감사합니다, VIP

개인 키에 암호를 설정하면 이중 인증이 이미있는 것입니다. 사람들을 로그인하려면 다음이 필요합니다.

1. 당신이 가진 것-개인 키
2. 당신이 알고있는 것-개인 키의 암호