"सिक्योर शेल" एसएसएच मेजबानों के बीच मानक रूप से पोर्ट 22 (जिसे बदलना बेहतर है) पर एक सुरक्षित कनेक्शन स्थापित करने के लिए एक नेटवर्क प्रोटोकॉल है। SSH क्लाइंट और SSH सर्वर अधिकांश ऑपरेटिंग सिस्टम के लिए उपलब्ध हैं। लगभग कोई भी अन्य नेटवर्क प्रोटोकॉल SSH के अंदर काम करता है, यानी, आप किसी अन्य कंप्यूटर पर दूरस्थ रूप से काम कर सकते हैं, एक एन्क्रिप्टेड चैनल पर ऑडियो या वीडियो स्ट्रीम प्रसारित कर सकते हैं, आदि। अलावा, किसी दूरस्थ होस्ट पर SOCKS प्रॉक्सी के माध्यम से आप इस रिमोट होस्ट की ओर से अन्य होस्ट से जुड़ सकते हैं।

प्रमाणीकरण पासवर्ड का उपयोग करके होता है, लेकिन डेवलपर्स और सिस्टम प्रशासक पारंपरिक रूप से SSH कुंजी का उपयोग करते हैं। समस्या यह है कि निजी कुंजी चोरी हो सकती है। पासफ़्रेज़ जोड़ने से सैद्धांतिक रूप से निजी कुंजी की चोरी से बचाव होता है, लेकिन व्यवहार में, कुंजियाँ अग्रेषित और कैशिंग करते समय, वे पुष्टि के बिना अभी भी उपयोग किया जा सकता है. दो-कारक प्रमाणीकरण इस समस्या का समाधान करता है।

दो-कारक प्रमाणीकरण कैसे लागू करें

हनीकॉम्ब के डेवलपर्स ने हाल ही में प्रकाशित किया विस्तृत निर्देश, क्लाइंट और सर्वर पर उचित बुनियादी ढांचे को कैसे कार्यान्वित करें।

निर्देश मानते हैं कि आपके पास इंटरनेट (गढ़) के लिए एक निश्चित बुनियादी होस्ट खुला है। आप इंटरनेट के माध्यम से लैपटॉप या कंप्यूटर से इस होस्ट से कनेक्ट होना चाहते हैं, और इसके पीछे स्थित अन्य सभी डिवाइस तक पहुंच बनाना चाहते हैं। 2FA यह सुनिश्चित करता है कि कोई हमलावर ऐसा नहीं कर सकता, भले ही वे आपके लैपटॉप तक पहुंच प्राप्त कर लें, उदाहरण के लिए मैलवेयर इंस्टॉल करके।

पहला विकल्प है OTP

ओटीपी - वन-टाइम डिजिटल पासवर्ड, जो इस मामले में कुंजी के साथ एसएसएच प्रमाणीकरण के लिए उपयोग किया जाएगा। डेवलपर्स लिखते हैं कि यह एक आदर्श विकल्प नहीं है, क्योंकि एक हमलावर नकली गढ़ उठा सकता है, आपके ओटीपी को रोक सकता है और उसका उपयोग कर सकता है। लेकिन यह कुछ न होने से बेहतर है।

इस मामले में, सर्वर साइड पर, निम्नलिखित पंक्तियाँ शेफ कॉन्फ़िगरेशन में लिखी गई हैं:

metadata.rb
attributes/default.rb (से attributes.rb)
files/sshd
recipes/default.rb (से प्रतिलिपि बनाएँ recipe.rb)
templates/default/users.oath.erb

कोई भी ओटीपी एप्लिकेशन क्लाइंट साइड पर इंस्टॉल किया गया है: Google प्रमाणक, ऑथी, डुओ, लास्टपास, इंस्टॉल किया गया brew install oath-toolkit या apt install oathtool openssl, फिर एक यादृच्छिक बेस16 स्ट्रिंग (कुंजी) उत्पन्न होती है। इसे बेस32 प्रारूप में परिवर्तित किया जाता है जिसे मोबाइल प्रमाणक उपयोग करते हैं और सीधे एप्लिकेशन में आयात किया जाता है।

परिणामस्वरूप, आप बैस्टियन से जुड़ सकते हैं और देख सकते हैं कि अब इसे न केवल पासफ़्रेज़ की आवश्यकता है, बल्कि प्रमाणीकरण के लिए एक ओटीपी कोड की भी आवश्यकता है:

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

दूसरा विकल्प हार्डवेयर प्रमाणीकरण है

इस मामले में, उपयोगकर्ता को हर बार ओटीपी कोड दर्ज करने की आवश्यकता नहीं होती है, क्योंकि दूसरा कारक हार्डवेयर डिवाइस या बायोमेट्रिक्स बन जाता है।

यहां शेफ कॉन्फ़िगरेशन थोड़ा अधिक जटिल है, और क्लाइंट कॉन्फ़िगरेशन ओएस पर निर्भर करता है। लेकिन सभी चरणों को पूरा करने के बाद, MacOS पर क्लाइंट पासफ़्रेज़ का उपयोग करके और सेंसर (दूसरा कारक) पर उंगली रखकर SSH में प्रमाणीकरण की पुष्टि कर सकते हैं।

iOS और Android स्वामी लॉगिन की पुष्टि करते हैं अपने स्मार्टफोन पर एक बटन दबाकर. यह Krypt.co की एक खास तकनीक है, जो OTP से भी ज्यादा सुरक्षित है।

Linux/ChromeOS पर YubiKey USB टोकन के साथ काम करने का विकल्प है। बेशक, एक हमलावर आपका टोकन चुरा सकता है, लेकिन वह अभी भी पासफ़्रेज़ नहीं जानता है।

स्रोत: www.habr.com

SSH के लिए दो-कारक प्रमाणीकरण

दो-कारक प्रमाणीकरण कैसे लागू करें

पहला विकल्प है OTP

दूसरा विकल्प हार्डवेयर प्रमाणीकरण है

एक टिप्पणी जोड़ें उत्तर रद्द