"מעטפת מאובטחת" SSH הוא פרוטוקול רשת ליצירת חיבור מאובטח בין מארחים, באופן סטנדרטי דרך יציאה 22 (שעדיף לשנות). לקוחות SSH ושרתי SSH זמינים עבור רוב מערכות ההפעלה. כמעט כל פרוטוקול רשת אחר עובד בתוך SSH, כלומר ניתן לעבוד מרחוק במחשב אחר, להעביר זרם שמע או וידאו בערוץ מוצפן וכו'. חוץ מזה, באמצעות פרוקסי SOCKS במארח מרוחק אתה יכול להתחבר למארחים אחרים מטעם המארח המרוחק הזה.

האימות מתרחש באמצעות סיסמה, אך מפתחים ומנהלי מערכת משתמשים באופן מסורתי במפתחות SSH. הבעיה היא שאפשר לגנוב את המפתח הפרטי. הוספת משפט סיסמה מגינה באופן תיאורטי מפני גניבת המפתח הפרטי, אך בפועל, בעת העברה ושמירה במטמון, הם עדיין ניתן להשתמש ללא אישור. אימות דו-גורמי פותר בעיה זו.

כיצד ליישם אימות דו-גורמי

מפתחים מ-Honeycomb פרסמו לאחרונה הוראות מפורטות, כיצד ליישם את התשתית המתאימה בלקוח ובשרת.

ההוראות מניחות שיש לך מארח בסיסי מסוים פתוח לאינטרנט (בסטיון). אתה רוצה להתחבר למארח זה ממחשבים ניידים או מחשבים דרך האינטרנט, ולגשת לכל שאר המכשירים שנמצאים מאחוריו. 2FA מבטיח שתוקף לא יכול לעשות את אותו הדבר גם אם הוא מקבל גישה למחשב הנייד שלך, למשל על ידי התקנת תוכנות זדוניות.

האפשרות הראשונה היא OTP

OTP - סיסמאות דיגיטליות חד פעמיות, שבמקרה זה ישמשו לאימות SSH יחד עם המפתח. המפתחים כותבים שזו לא אפשרות אידיאלית, מכיוון שתוקף יכול להרים מעוז מזויף, ליירט את ה-OTP שלך ולהשתמש בו. אבל זה עדיף מכלום.

במקרה זה, בצד השרת, השורות הבאות נכתבות בתצורת השף:

• metadata.rb
• attributes/default.rb (מתוך attributes.rb)
• files/sshd
• recipes/default.rb (תעתיק מ recipe.rb)
• templates/default/users.oath.erb

כל יישום OTP מותקן בצד הלקוח: Google Authenticator, Authy, Duo, Lastpass, מותקן brew install oath-toolkit או apt install oathtool openssl, אז נוצרת מחרוזת base16 אקראית (מפתח). הוא מומר לפורמט Base32 שבו משתמשים מאמתים ניידים ומיובא ישירות לאפליקציה.

כתוצאה מכך, אתה יכול להתחבר ל- Bastion ולראות שכעת הוא דורש לא רק ביטוי סיסמה, אלא גם קוד OTP לאימות:

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

האפשרות השנייה היא אימות חומרה

במקרה זה, המשתמש אינו נדרש להזין את קוד ה-OTP בכל פעם, מכיוון שהגורם השני הופך להתקן החומרה או הביומטרי.

כאן תצורת השף קצת יותר מסובכת, ותצורת הלקוח תלויה במערכת ההפעלה. אבל לאחר השלמת כל השלבים, לקוחות ב-MacOS יכולים לאשר אימות ב-SSH באמצעות ביטוי סיסמה והנחת אצבע על החיישן (גורם שני).

בעלי iOS ואנדרואיד מאשרים כניסה על ידי לחיצה על כפתור אחד בסמארטפון שלך. זוהי טכנולוגיה מיוחדת מבית Krypt.co, שהיא אפילו מאובטחת יותר מ-OTP.

ב-Linux/ChromeOS יש אפשרות לעבוד עם אסימוני USB של YubiKey. כמובן, תוקף יכול לגנוב את האסימון שלך, אבל הוא עדיין לא יודע את משפט הסיסמה.

מקור: www.habr.com