एक होम सर्वर पर दो-कारक प्रमाणीकरण - तेज, सस्ता, मैत्रीपूर्ण

दो-कारक प्रमाणीकरण - दो अलग-अलग प्रकार के सूचना प्रमाणीकरण से जानकारी प्रदान करना [ " ]

उदाहरण के लिए, यह क्रमिक रूप से दर्ज पासवर्ड और कोड हो सकता है जो एक बटन के साथ टोकन जारी करता है। मुझे लगता है कि आप में से कई लोगों ने ऐसे उपकरण देखे हैं, और कोई भी उन्हें नियमित रूप से उपयोग करता है।



यह ऐसा है जैसे दरवाजे पर दूसरा ताला लगा दिया गया हो। पहले की कुंजी एक नियमित पासवर्ड है। दूसरे के लिए - 30 सेकंड के लिए वैध एक बार कोड। आप दरवाजे को केवल तभी बाहर निकाल सकते हैं जब दोनों चाबियाँ सही हों, और एक नहीं, जैसा कि पहले था।

पिछले कुछ समय से, Google ने अपनी सेवाओं में दो-कारक प्रमाणीकरण उपलब्ध कराया है। अब टोकन आपके Android मोबाइल फोन पर चला गया है! iPhone और ब्लैकबेरी भी उस भूमिका में फिट होते हैं। बहुत सहज है। जीमेल पर इसका परीक्षण करने के बाद, मैं अपने दम पर एक ही काम करना चाहता था, फिर अचानक मुझे लिबपाम-गूगल-ऑथेंटिक मिला।

प्रारंभ में, प्रारंभ के दौरान, एक गुप्त कुंजी बनाई जाती है, जिसे सर्वर पर रिकॉर्ड किया जाएगा, और जिसे फोन पर एप्लिकेशन में दर्ज किया जाना चाहिए। यह एक बार की प्रक्रिया है, फिर वे अपने दम पर काम करते हैं। हर बार, 30 सेकंड के लिए मान्य कोड की गणना गुप्त कुंजी और एक विशेष एल्गोरिथ्म का उपयोग करके वर्तमान समय से की जाती है ।

मैं इस बात पर जोर देता हूं कि Google के सर्वर प्रमाणीकरण में शामिल नहीं हैं - बस एल्गोरिथ्म और कुंजी प्रारूप Google की सेवाओं में उपयोग किए जाने वाले संगत हैं, जो तैयार मोबाइल अनुप्रयोगों का उपयोग करना संभव बनाता है। पागल लोगों के लिए - स्रोत खुले हैं, उनके लिए एक लिंक पोस्ट के अंत में है :)

हम सेट करते हैं और तैयारी करते हैं

मेरे पास डेबियन परीक्षण (व्हीजी) है, इसलिए सब कुछ बॉक्स से बाहर उपलब्ध है:

aptitude install libpam-google-authenticator

डेबियन स्थिर (Sqeeze) ने अभी तक इस मॉड्यूल को नहीं जोड़ा है, लेकिन परीक्षण से पैकेज समस्याओं के बिना स्थापित किया गया है।

आपका फोन आने का समय हो गया है। यदि इसके पास Android है, तो वहां Google प्रमाणक डाउनलोड करें। एक QR कोड स्कैनर, जैसे कि यह भी उपयोगी है। अगर स्मार्टफोन अलग है, तो आप यहां हैं ।

सर्वर प्लान बनाने वाले प्रत्येक उपयोगकर्ता को सबसे पहले कंसोल टूल शुरू करना चाहिए, जिसे कहा जाता है

google-authenticator

और तुरंत एक गुप्त कुंजी युक्त एक अच्छा QR कोड खींचता है



और भी 5 बैकअप कोड बस मामले में, अचानक फोन के साथ कुछ होता है। और आपको उस URL पर जाने की ज़रूरत नहीं है जो उपकरण भी लिखता है - केवल एक और अधिक सुंदर क्यूआर कोड वहाँ खींचा जाता है। आप Google को अपना गुप्त कोड नहीं दिखाना चाहते हैं? :)

हम तुरंत एप्लिकेशन से QR कोड स्कैन करते हैं, फिर हम प्रश्नों का उत्तर देते हैं।
- स्थायी रूप से ~/.google_authenticator में सब कुछ सहेजें?
- y
- एक कोड का उपयोग कई बार प्रतिबंधित करें? एक आदमी के बीच में हमले को पकड़ने या रोकने में मदद करता है।
- y
- समय खिड़की को लगभग 1.5 मिनट से बढ़ाकर 4 मिनट करें?
- n ( और यहां हम तुरंत जांचते हैं कि क्या फोन में समय सही है )
- प्रति समय अवधि में लॉगिन प्रयासों की संख्या को सीमित करें?
- y

यदि ~/.google_authenticator (वैसे, इसके लिए पथ को संबंधित मॉड्यूल विकल्प के साथ बदला जा सकता है) अनुपलब्ध है, तो उपयोगकर्ता को अनुमति नहीं दी जाएगी।

SSH और PAM कॉन्फ़िगर करें

जब तक सब कुछ काम नहीं करता, जड़ खोल सबसे अच्छा खुला छोड़ दिया जाता है।

में / etc / ssh / sshd_config चुनौती-प्रतिक्रिया सक्षम करें और ssh को पुनः आरंभ करें:

ChallengeResponseAuthentication yes

प्रमाणीकरण प्रबंधित करने के लिए, फ़ाइल /etc/ssh/two-factor-skip.conf बनाएं, उदाहरण के लिए:

 #        + : ALL : 192.168.1.0/24 #       + : bezmobilki : ALL #         - : ALL : ALL 

/Etc/pam.d/sshd में हम दो पंक्तियाँ दर्ज करते हैं:

 auth [success=1 default=ignore] pam_access.so accessfile=/etc/ssh/two-factor-skip.conf auth required pam_google_authenticator.so 

उन्हें @include common-auth से पहले टाइप करना सबसे अच्छा है

चेक

ssh जहाँ आप बस यह सब सेट अप करने के लिए। अस्थायी कोड दर्ज करें, फिर पासवर्ड। का आनंद लें।

ओपनएसएसएच की वर्तमान विशेषताओं के कारण, यदि हम कुंजी का उपयोग करते हैं, तो दो-कारक प्रमाणीकरण काम नहीं करता है (पीएएम का उपयोग नहीं किया जाता है)। दुर्भाग्य से।

आगे क्या है?

PAM का उपयोग करने वाली अन्य सेवाओं को इस तरह से बेहतर बनाया जा सकता है।

संदर्भ

1. code.google.com/p/google-authenticator/wiki/PamModuleInstructions
2. code.google.com/p/google-authenticator
3. tools.ietf.org/html/rfc6238
4. habrahabr.ru/blogs/google/125193
5. www.google.com/support/accounts/bin/answer.py?hl=ru&answer=1066447