“សែលសុវត្ថិភាព” SSH គឺជាពិធីការបណ្តាញសម្រាប់បង្កើតការតភ្ជាប់សុវត្ថិភាពរវាងម៉ាស៊ីន ដែលមានលក្ខណៈស្តង់ដារលើច្រក 22 (ដែលប្រសើរជាងក្នុងការផ្លាស់ប្តូរ)។ ម៉ាស៊ីនភ្ញៀវ SSH និងម៉ាស៊ីនមេ SSH មានសម្រាប់ប្រព័ន្ធប្រតិបត្តិការភាគច្រើន។ ស្ទើរតែគ្រប់ពិធីការបណ្តាញផ្សេងទៀតដំណើរការនៅក្នុង SSH ពោលគឺអ្នកអាចធ្វើការពីចម្ងាយនៅលើកុំព្យូទ័រផ្សេងទៀត បញ្ជូនស្ទ្រីមអូឌីយ៉ូ ឬវីដេអូតាមឆានែលដែលបានអ៊ិនគ្រីប។ល។ ក្រៅពីនេះ តាមរយៈប្រូកស៊ី SOCKS នៅលើម៉ាស៊ីនពីចម្ងាយ អ្នកអាចភ្ជាប់ទៅម៉ាស៊ីនផ្សេងទៀតជំនួសឱ្យម៉ាស៊ីនពីចម្ងាយនេះ។

ការផ្ទៀងផ្ទាត់កើតឡើងដោយប្រើពាក្យសម្ងាត់ ប៉ុន្តែអ្នកអភិវឌ្ឍន៍ និងអ្នកគ្រប់គ្រងប្រព័ន្ធប្រើសោ SSH ជាប្រពៃណី។ បញ្ហាគឺថាសោឯកជនអាចត្រូវបានគេលួច។ ការបន្ថែមឃ្លាសម្ងាត់តាមទ្រឹស្ដីការពារប្រឆាំងនឹងការលួចសោឯកជន ប៉ុន្តែនៅក្នុងការអនុវត្តជាក់ស្តែង នៅពេលបញ្ជូនបន្ត និងរក្សាទុកសោ ពួកវា នៅតែអាចប្រើដោយគ្មានការបញ្ជាក់. ការផ្ទៀងផ្ទាត់ពីរកត្តាដោះស្រាយបញ្ហានេះ។

របៀបអនុវត្តការផ្ទៀងផ្ទាត់ពីរកត្តា

អ្នកអភិវឌ្ឍន៍មកពី Honeycomb បានចេញផ្សាយថ្មីៗនេះ ការណែនាំលម្អិតរបៀបអនុវត្តហេដ្ឋារចនាសម្ព័ន្ធសមស្របនៅលើម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេ។

ការណែនាំសន្មត់ថាអ្នកមានម៉ាស៊ីនមូលដ្ឋានជាក់លាក់មួយ បើកអ៊ីនធឺណិត (បន្ទាយ)។ អ្នកចង់ភ្ជាប់ទៅម៉ាស៊ីននេះពីកុំព្យូទ័រយួរដៃ ឬកុំព្យូទ័រតាមរយៈអ៊ីនធឺណិត ហើយចូលប្រើឧបករណ៍ផ្សេងទៀតទាំងអស់ដែលមានទីតាំងនៅខាងក្រោយវា។ 2FA ធានាថាអ្នកវាយប្រហារមិនអាចធ្វើដូចគ្នានេះទេ ទោះបីជាពួកគេចូលប្រើកុំព្យូទ័រយួរដៃរបស់អ្នកក៏ដោយ ឧទាហរណ៍ដោយដំឡើងមេរោគ។

ជម្រើសដំបូងគឺ OTP

OTP - ពាក្យសម្ងាត់ឌីជីថលតែមួយដង ដែលក្នុងករណីនេះនឹងត្រូវបានប្រើសម្រាប់ការផ្ទៀងផ្ទាត់ SSH រួមជាមួយនឹងសោ។ អ្នកអភិវឌ្ឍន៍សរសេរថា នេះមិនមែនជាជម្រើសដ៏ល្អទេ ពីព្រោះអ្នកវាយប្រហារអាចបង្កើតបន្ទាយក្លែងក្លាយ ស្ទាក់ចាប់ OTP របស់អ្នក ហើយប្រើវា។ ប៉ុន្តែវាប្រសើរជាងគ្មានអ្វីសោះ។

ក្នុងករណីនេះ នៅផ្នែកខាងម៉ាស៊ីនមេ បន្ទាត់ខាងក្រោមត្រូវបានសរសេរទៅក្នុងការកំណត់រចនាសម្ព័ន្ធមេចុងភៅ៖

• metadata.rb
• attributes/default.rb (នៃ attributes.rb)
• files/sshd
• recipes/default.rb (ចម្លងពី recipe.rb)
• templates/default/users.oath.erb

កម្មវិធី OTP ណាមួយត្រូវបានដំឡើងនៅលើផ្នែកអតិថិជន៖ Google Authenticator, Authy, Duo, Lastpass, បានដំឡើង brew install oath-toolkit ឬ apt install oathtool opensslបន្ទាប់មក ខ្សែអក្សរ base16 ចៃដន្យ (key) ត្រូវបានបង្កើត។ វាត្រូវបានបំប្លែងទៅជាទម្រង់ Base32 ដែលអ្នកផ្ទៀងផ្ទាត់ទូរស័ព្ទប្រើ និងនាំចូលដោយផ្ទាល់ទៅក្នុងកម្មវិធី។

ជាលទ្ធផល អ្នកអាចភ្ជាប់ទៅ Bastion ហើយឃើញថាឥឡូវនេះវាទាមទារមិនត្រឹមតែឃ្លាសម្ងាត់ប៉ុណ្ណោះទេ ប៉ុន្តែក៏មានលេខកូដ OTP សម្រាប់ការផ្ទៀងផ្ទាត់ផងដែរ៖

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

ជម្រើសទីពីរគឺការផ្ទៀងផ្ទាត់ផ្នែករឹង

ក្នុងករណីនេះ អ្នកប្រើប្រាស់មិនតម្រូវឱ្យបញ្ចូលកូដ OTP រាល់ពេលនោះទេ ព្រោះកត្តាទីពីរក្លាយជាឧបករណ៍រឹង ឬជីវមាត្រ។

នៅទីនេះ ការកំណត់រចនាសម្ព័ន្ធមេចុងភៅមានភាពស្មុគស្មាញបន្តិច ហើយការកំណត់រចនាសម្ព័ន្ធអតិថិជនអាស្រ័យលើប្រព័ន្ធប្រតិបត្តិការ។ ប៉ុន្តែបន្ទាប់ពីបញ្ចប់ជំហានទាំងអស់ អតិថិជននៅលើ MacOS អាចបញ្ជាក់ការផ្ទៀងផ្ទាត់នៅក្នុង SSH ដោយប្រើឃ្លាសម្ងាត់ និងដាក់ម្រាមដៃលើឧបករណ៍ចាប់សញ្ញា (កត្តាទីពីរ)។

ម្ចាស់ iOS និង Android បញ្ជាក់ការចូល ដោយចុចប៊ូតុងមួយនៅលើស្មាតហ្វូនរបស់អ្នក។. នេះគឺជាបច្ចេកវិទ្យាពិសេសពី Krypt.co ដែលកាន់តែមានសុវត្ថិភាពជាង OTP ។

នៅលើ Linux/ChromeOS មានជម្រើសមួយដើម្បីធ្វើការជាមួយ YubiKey USB tokens។ ជាការពិតណាស់ អ្នកវាយប្រហារអាចលួចសញ្ញាសម្ងាត់របស់អ្នក ប៉ុន្តែគាត់នៅតែមិនស្គាល់ឃ្លាសម្ងាត់នោះទេ។

ប្រភព: www.habr.com