„უსაფრთხო ჭურვი“ SSH არის ქსელის პროტოკოლი ჰოსტებს შორის უსაფრთხო კავშირის დასამყარებლად, სტანდარტულად 22-ე პორტზე (რომელიც უკეთესია შეიცვალოს). SSH კლიენტები და SSH სერვერები ხელმისაწვდომია ოპერაციული სისტემების უმეტესობისთვის. თითქმის ნებისმიერი სხვა ქსელის პროტოკოლი მუშაობს SSH-ში, ანუ შეგიძლიათ დისტანციურად იმუშაოთ სხვა კომპიუტერზე, გადასცეთ აუდიო ან ვიდეო ნაკადი დაშიფრულ არხზე და ა.შ. გარდა ამისა, SOCKS პროქსის მეშვეობით დისტანციურ მასპინძელზე შეგიძლიათ დაუკავშირდეთ სხვა ჰოსტებს ამ დისტანციური ჰოსტის სახელით.

ავტორიზაცია ხდება პაროლის გამოყენებით, მაგრამ დეველოპერები და სისტემის ადმინისტრატორები ტრადიციულად იყენებენ SSH კლავიშებს. პრობლემა ის არის, რომ პირადი გასაღები შეიძლება მოიპაროს. საიდუმლო ფრაზის დამატება თეორიულად იცავს პირადი გასაღების მოპარვისგან, მაგრამ პრაქტიკაში გასაღებების გადამისამართებისა და ქეშირებისას ისინი კვლავ შეიძლება გამოყენებულ იქნას დადასტურების გარეშე. ორფაქტორიანი ავთენტიფიკაცია წყვეტს ამ პრობლემას.

როგორ განვახორციელოთ ორფაქტორიანი ავთენტიფიკაცია

Honeycomb-ის დეველოპერებმა ცოტა ხნის წინ გამოაქვეყნეს დეტალური ინსტრუქციები, როგორ განვახორციელოთ შესაბამისი ინფრასტრუქტურა კლიენტსა და სერვერზე.

ინსტრუქციები ვარაუდობენ, რომ თქვენ გაქვთ გარკვეული ძირითადი ჰოსტი ღია ინტერნეტისთვის (ბასტიონი). გსურთ დაუკავშირდეთ ამ ჰოსტს ლეპტოპებიდან ან კომპიუტერებიდან ინტერნეტის საშუალებით და შეხვიდეთ ყველა სხვა მოწყობილობაზე, რომელიც მდებარეობს მის უკან. 2FA უზრუნველყოფს იმას, რომ თავდამსხმელს არ შეუძლია იგივე გააკეთოს მაშინაც კი, თუ მათ ექნებათ წვდომა თქვენს ლეპტოპზე, მაგალითად, მავნე პროგრამის დაყენებით.

პირველი ვარიანტი არის OTP

OTP - ერთჯერადი ციფრული პაროლები, რომლებიც ამ შემთხვევაში გასაღებთან ერთად გამოყენებული იქნება SSH ავთენტიფიკაციისთვის. დეველოპერები წერენ, რომ ეს არ არის იდეალური ვარიანტი, რადგან თავდამსხმელს შეუძლია აწიოს ყალბი ბასტიონი, ჩაჭრას თქვენი OTP და გამოიყენოს იგი. მაგრამ არაფერზე უკეთესია.

ამ შემთხვევაში, სერვერის მხარეს, შემდეგი სტრიქონები იწერება Chef-ის კონფიგურაციაში:

• metadata.rb
• attributes/default.rb (of attributes.rb)
• files/sshd
• recipes/default.rb (ასლი დან recipe.rb)
• templates/default/users.oath.erb

ნებისმიერი OTP აპლიკაცია დაინსტალირებულია კლიენტის მხარეს: Google Authenticator, Authy, Duo, Lastpass, დაინსტალირებული brew install oath-toolkit ან apt install oathtool openssl, შემდეგ წარმოიქმნება შემთხვევითი base16 სტრიქონი (გასაღები). ის გარდაიქმნება Base32 ფორმატში, რომელსაც იყენებენ მობილური ავთენტიფიკატორები და პირდაპირ იმპორტირებულია აპლიკაციაში.

შედეგად, თქვენ შეგიძლიათ დაუკავშირდეთ Bastion-ს და დაინახოთ, რომ მას ახლა სჭირდება არა მხოლოდ საიდუმლო ფრაზა, არამედ OTP კოდი ავტორიზაციისთვის:

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

მეორე ვარიანტი არის ტექნიკის ავტორიზაცია

ამ შემთხვევაში, მომხმარებელს არ მოეთხოვება ყოველ ჯერზე OTP კოდის შეყვანა, რადგან მეორე ფაქტორი ხდება აპარატურა ან ბიომეტრია.

აქ შეფ-მზარეულის კონფიგურაცია ცოტა უფრო რთულია და კლიენტის კონფიგურაცია დამოკიდებულია OS-ზე. მაგრამ ყველა ნაბიჯის დასრულების შემდეგ, MacOS-ის კლიენტებს შეუძლიათ დაადასტურონ ავტორიზაცია SSH-ში პაროლის ფრაზის გამოყენებით და სენსორზე თითის დადება (მეორე ფაქტორი).

iOS და Android-ის მფლობელები ადასტურებენ შესვლას თქვენს სმარტფონზე ერთი ღილაკის დაჭერით. ეს არის Krypt.co-ს სპეციალური ტექნოლოგია, რომელიც კიდევ უფრო უსაფრთხოა ვიდრე OTP.

Linux/ChromeOS-ზე არის YubiKey USB ტოკენებთან მუშაობის შესაძლებლობა. რა თქმა უნდა, თავდამსხმელს შეუძლია მოიპაროს თქვენი ჟეტონი, მაგრამ მან მაინც არ იცის პაროლი.

წყარო: www.habr.com