"নিরাপদ শেল" SSH হল হোস্টগুলির মধ্যে একটি নিরাপদ সংযোগ স্থাপনের জন্য একটি নেটওয়ার্ক প্রোটোকল, আদর্শভাবে পোর্ট 22 এর উপর (যা পরিবর্তন করা ভাল)। SSH ক্লায়েন্ট এবং SSH সার্ভারগুলি বেশিরভাগ অপারেটিং সিস্টেমের জন্য উপলব্ধ। প্রায় অন্য যেকোনো নেটওয়ার্ক প্রোটোকল SSH-এর ভিতরে কাজ করে, অর্থাৎ, আপনি অন্য কম্পিউটারে দূর থেকে কাজ করতে পারেন, একটি এনক্রিপ্ট করা চ্যানেলের মাধ্যমে একটি অডিও বা ভিডিও স্ট্রিম প্রেরণ করতে পারেন, ইত্যাদি। এছাড়া, দূরবর্তী হোস্টে SOCKS প্রক্সির মাধ্যমে আপনি এই দূরবর্তী হোস্টের হয়ে অন্যান্য হোস্টের সাথে সংযোগ করতে পারেন।

একটি পাসওয়ার্ড ব্যবহার করে প্রমাণীকরণ ঘটে, তবে বিকাশকারী এবং সিস্টেম প্রশাসকরা ঐতিহ্যগতভাবে SSH কী ব্যবহার করে। সমস্যা হল যে ব্যক্তিগত কী চুরি করা যেতে পারে। একটি পাসফ্রেজ যোগ করা তাত্ত্বিকভাবে প্রাইভেট কী চুরির বিরুদ্ধে রক্ষা করে, কিন্তু বাস্তবে, কী ফরওয়ার্ডিং এবং ক্যাশে করার সময়, তারা এখনও নিশ্চিতকরণ ছাড়া ব্যবহার করা যেতে পারে. দ্বি-ফ্যাক্টর প্রমাণীকরণ এই সমস্যার সমাধান করে।

কিভাবে দ্বি-ফ্যাক্টর প্রমাণীকরণ বাস্তবায়ন করা যায়

হানিকম্ব থেকে ডেভেলপাররা সম্প্রতি প্রকাশ করেছে বিস্তারিত নির্দেশাবলী, কিভাবে ক্লায়েন্ট এবং সার্ভারে উপযুক্ত পরিকাঠামো বাস্তবায়ন করা যায়।

নির্দেশাবলী অনুমান করে যে আপনার একটি নির্দিষ্ট মৌলিক হোস্ট ইন্টারনেট (ঘর) খোলা আছে। আপনি ইন্টারনেটের মাধ্যমে ল্যাপটপ বা কম্পিউটার থেকে এই হোস্টের সাথে সংযোগ করতে চান এবং এর পিছনে অবস্থিত অন্যান্য সমস্ত ডিভাইস অ্যাক্সেস করতে চান৷ 2FA নিশ্চিত করে যে কোনও আক্রমণকারী আপনার ল্যাপটপে অ্যাক্সেস পেলেও একই কাজ করতে পারে না, উদাহরণস্বরূপ ম্যালওয়্যার ইনস্টল করে।

প্রথম বিকল্পটি হল OTP

OTP - এককালীন ডিজিটাল পাসওয়ার্ড, যা এই ক্ষেত্রে কী সহ SSH প্রমাণীকরণের জন্য ব্যবহার করা হবে। বিকাশকারীরা লিখেছেন যে এটি একটি আদর্শ বিকল্প নয়, কারণ একজন আক্রমণকারী একটি জাল ঘাঁটি তৈরি করতে পারে, আপনার OTP আটকাতে পারে এবং এটি ব্যবহার করতে পারে। কিন্তু এটা কিছুই ভালো.

এই ক্ষেত্রে, সার্ভারের দিকে, নিম্নলিখিত লাইনগুলি শেফ কনফিগারে লেখা হয়:

• metadata.rb
• attributes/default.rb (এর attributes.rb)
• files/sshd
• recipes/default.rb (থেকে কপি recipe.rb)
• templates/default/users.oath.erb

যেকোনো OTP অ্যাপ্লিকেশন ক্লায়েন্ট সাইডে ইনস্টল করা আছে: Google প্রমাণীকরণকারী, Authy, Duo, Lastpass, ইনস্টল করা brew install oath-toolkit বা apt install oathtool openssl, তারপর একটি র্যান্ডম base16 স্ট্রিং (কী) তৈরি হয়। এটি বেস 32 ফর্ম্যাটে রূপান্তরিত হয় যা মোবাইল প্রমাণীকরণকারীরা ব্যবহার করে এবং সরাসরি অ্যাপ্লিকেশনে আমদানি করে।

ফলস্বরূপ, আপনি Bastion-এর সাথে সংযোগ করতে পারেন এবং দেখতে পারেন যে এটির এখন শুধুমাত্র একটি পাসফ্রেজ নয়, প্রমাণীকরণের জন্য একটি OTP কোডও প্রয়োজন:

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

দ্বিতীয় বিকল্পটি হার্ডওয়্যার প্রমাণীকরণ

এই ক্ষেত্রে, ব্যবহারকারীকে প্রতিবার ওটিপি কোড লিখতে হবে না, যেহেতু দ্বিতীয় ফ্যাক্টরটি হার্ডওয়্যার ডিভাইস বা বায়োমেট্রিক্স হয়ে যায়।

এখানে শেফ কনফিগারেশনটি একটু বেশি জটিল, এবং ক্লায়েন্ট কনফিগারেশন ওএসের উপর নির্ভর করে। কিন্তু সমস্ত ধাপ শেষ করার পর, MacOS-এর ক্লায়েন্টরা একটি পাসফ্রেজ ব্যবহার করে এবং সেন্সরে (দ্বিতীয় ফ্যাক্টর) আঙুল রেখে এসএসএইচ-এ প্রমাণীকরণ নিশ্চিত করতে পারে।

iOS এবং Android এর মালিকরা লগইন নিশ্চিত করে আপনার স্মার্টফোনের একটি বোতাম টিপে. এটি Krypt.co-এর একটি বিশেষ প্রযুক্তি, যা OTP-এর থেকেও বেশি সুরক্ষিত৷

Linux/ChromeOS-এ YubiKey USB টোকেনগুলির সাথে কাজ করার একটি বিকল্প রয়েছে। অবশ্যই, একজন আক্রমণকারী আপনার টোকেন চুরি করতে পারে, কিন্তু সে এখনও পাসফ্রেজ জানে না।

উত্স: www.habr.com