Come proteggere SSH utilizzando l'autenticazione a due fattori su Ubuntu 16.04 LTS

In questo tutorial, ti mostreremo come proteggere SSH usando l'autenticazione a due fattori su Ubuntu 16.04 LTS. Per quelli di voi che non lo sapessero, proteggere SSH con l'autenticazione a due fattori usando Google Authenticator La verifica in due passaggi (nota anche come autenticazione a due fattori, abbreviata in TFA) è un processo che prevede due fasi per verificare l'identità di un'entità che tenta di accedere ai servizi in un computer o in una rete. Questo è un caso speciale di autenticazione a più fattori che potrebbe coinvolgere solo uno dei tre fattori di autenticazione (un fattore di conoscenza, un fattore di possesso e un fattore di ereditarietà) per entrambi i passaggi.

Questo articolo presuppone che tu abbia almeno una conoscenza di base di Linux, sappia come usare la shell e, soprattutto, che ospiti il ​​tuo sito sul tuo VPS. L'installazione è abbastanza semplice e presuppone che tu sono in esecuzione nell'account root, in caso contrario potrebbe essere necessario aggiungere 'sudo ' ai comandi per ottenere i privilegi di root. Ti mostrerò passo dopo passo l'SSH sicuro utilizzando l'autenticazione a due fattori su un server Ubuntu 16.04 (Xenial Xerus).

Prerequisiti

• Un server che esegue uno dei seguenti sistemi operativi:Ubuntu 16.04 e qualsiasi altra distribuzione basata su Debian come Linux Mint.
• Si consiglia di utilizzare una nuova installazione del sistema operativo per prevenire potenziali problemi.
• Accesso SSH al server (o semplicemente apri Terminal se sei su un desktop).
• Un non-root sudo user o accedere all'root user . Ti consigliamo di agire come non-root sudo user , tuttavia, poiché puoi danneggiare il tuo sistema se non stai attento quando agisci come root.

Proteggi SSH utilizzando l'autenticazione a due fattori su Ubuntu 16.04 LTS

Passaggio 1. Innanzitutto, assicurati che tutti i pacchetti di sistema siano aggiornati eseguendo il seguente apt-get comandi nel terminale.

sudo apt-get update
sudo apt-get upgrade

Passaggio 2. Installazione di Google Authenticator.

Per installare il pacchetto su Ubuntu, esegui il comando seguente:

apt-get install libpam-google-authenticator

Il passaggio successivo è ottenere il codice di verifica. È un comando molto semplice per ottenere il codice di verifica e i codici scratch semplicemente rispondendo a semplici domande del server che chiederà Puoi eseguire questo passaggio eseguendo il comando seguente:

google-authenticator

Ti verrà chiesto di rispondere ad alcune domande; rispondi alle prime due con sì (y):

Do you want authentication tokens to be time-based (y/n) y

Verrà generato un grande codice QR nel tuo terminale. Puoi scansionare il codice con l'applicazione di autenticazione sul tuo telefono o tablet Android/iOS/Windows o inserire il segreto chiave generata sullo schermo.

Verranno anche generati codici scratch di emergenza. Puoi utilizzare questi codici per l'autenticazione in caso di smarrimento del dispositivo mobile:

Your emergency scratch codes are:
80461001
68335920
89765548
12485672
11145603

Salva le impostazioni di autenticazione per l'utente root rispondendo SI alla domanda successiva:

Do you want me to update your "/root/.google_authenticator" file (y/n) y

In seguito, puoi configurare l'autenticatore per generare password monouso. Negli ultimi 30 secondi, tutte le password generate possono essere utilizzate una sola volta. Rispondi y per creare il file che memorizza queste impostazioni:

Do you want to disallow multiple uses of the same authentication
token? This restricts you to one login about every 30s, but it increases
your chances to notice or even prevent man-in-the-middle attacks (y/n) y

Puoi utilizzare l'impostazione successiva se hai problemi di sincronizzazione di tempo tra i tuoi dispositivi, quindi non utilizzeremo questa opzione:

By default, tokens are good for 30 seconds and in order to compensate for
possible time-skew between the client and the server, we allow an extra
token before and after the current time. If you experience problems with poor
time synchronization, you can increase the window from its default
size of 1:30min to about 4min. Do you want to do so (y/n) n

L'impostazione successiva previene gli attacchi di forza bruta. Avrai solo tre possibilità ogni 30 secondi di inserire la password corretta:

If the computer that you are logging into isn't hardened against brute-force
login attempts, you can enable rate-limiting for the authentication module.
By default, this limits attackers to no more than 3 login attempts every 30s.
Do you want to enable rate-limiting (y/n) y

Congratulazioni! Hai finito di generare la tua chiave e aggiungerla al tuo client, ma sono necessarie alcune configurazioni aggiuntive prima che queste impostazioni diventino effettive.

Il passaggio successivo consiste nel configurare le impostazioni di autenticazione in openSSH. Per farlo, apri "/etc/pam.d/sshd ” e aggiungi la seguente riga alla fine del file:

### nano /etc/pam.d/sshd
auth required pam_google_authenticator.so

Salva le modifiche, apri “/etc/ssh/sshd_config ” e abilita l'autenticazione Challenge-Response:

### nano /etc/ssh/sshd_config
ChallengeResponseAuthentication yes

Infine, salva il file e riavvia il server SSH per rendere effettive le modifiche:

systemctl restart ssh

Congratulazioni! Hai protetto con successo SSH. Grazie per aver utilizzato questo tutorial per proteggere SSH utilizzando l'autenticazione a due fattori sul sistema Ubuntu 16.04 LTS  (Xenial Xerus). Per ulteriore aiuto o informazioni utili, ti consigliamo di controllare il sito Web ufficiale di SSH.