"보안 셸" SSH는 호스트 간 보안 연결을 설정하기 위한 네트워크 프로토콜로, 표준적으로 포트 22(변경하는 것이 더 좋음)를 통해 이루어집니다. SSH 클라이언트와 SSH 서버는 대부분의 운영 체제에서 사용할 수 있습니다. 거의 모든 다른 네트워크 프로토콜은 SSH 내에서 작동합니다. 즉, 다른 컴퓨터에서 원격으로 작업하고 암호화된 채널을 통해 오디오 또는 비디오 스트림을 전송할 수 있습니다. 게다가, 원격 호스트의 SOCKS 프록시를 통해 이 원격 호스트를 대신하여 다른 호스트에 연결할 수 있습니다.

인증은 비밀번호를 사용하여 이루어지지만 개발자와 시스템 관리자는 전통적으로 SSH 키를 사용합니다. 문제는 개인키가 도난당할 수 있다는 점이다. 암호를 추가하면 이론적으로 개인 키 도난을 방지할 수 있지만 실제로는 키를 전달하고 캐싱할 때 확인 없이도 계속 사용할 수 있습니다. 이중 인증은 이 문제를 해결합니다.

이중 인증을 구현하는 방법

Honeycomb의 개발자가 최근 게시했습니다. 자세한 지침, 클라이언트와 서버에 적절한 인프라를 구현하는 방법.

지침에서는 인터넷에 열려 있는 특정 기본 호스트(요새)가 있다고 가정합니다. 인터넷을 통해 노트북이나 컴퓨터에서 이 호스트에 연결하고 그 뒤에 있는 다른 모든 장치에 액세스하려고 합니다. 2FA는 공격자가 맬웨어 설치 등을 통해 노트북에 액세스하더라도 동일한 작업을 수행할 수 없도록 보장합니다.

첫 번째 옵션은 OTP입니다.

OTP - 일회용 디지털 비밀번호. 이 경우 키와 함께 SSH 인증에 사용됩니다. 개발자들은 공격자가 가짜 요새를 세우고 OTP를 가로채서 사용할 수 있기 때문에 이것이 이상적인 옵션이 아니라고 썼습니다. 하지만 아무것도 없는 것보다는 낫습니다.

이 경우 서버 측에서는 다음 줄이 Chef 구성에 기록됩니다.

• metadata.rb
• attributes/default.rb ~의 attributes.rb)
• files/sshd
• recipes/default.rb (다음에서 복사 recipe.rb)
• templates/default/users.oath.erb

모든 OTP 애플리케이션은 클라이언트 측에 설치됩니다: Google Authenticator, Authy, Duo, Lastpass가 설치됨 brew install oath-toolkit 또는 apt install oathtool openssl, 임의의 base16 문자열(키)이 생성됩니다. 모바일 인증자가 사용하는 Base32 형식으로 변환되어 애플리케이션으로 직접 가져옵니다.

결과적으로 Bastion에 연결하면 이제 암호 문구뿐만 아니라 인증을 위한 OTP 코드도 필요하다는 것을 확인할 수 있습니다.

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

두 번째 옵션은 하드웨어 인증입니다.

이 경우 두 번째 요소는 하드웨어 장치나 생체 인식이 되기 때문에 사용자는 매번 OTP 코드를 입력할 필요가 없습니다.

여기서 Chef 구성은 좀 더 복잡하며 클라이언트 구성은 OS에 따라 다릅니다. 그러나 모든 단계를 완료한 후 MacOS의 클라이언트는 암호 문구를 사용하고 센서에 손가락을 대면 SSH에서 인증을 확인할 수 있습니다(두 번째 요소).

iOS 및 Android 소유자가 로그인을 확인합니다. 스마트폰 버튼 하나만 누르면. 이는 OTP보다 더욱 안전한 Krypt.co의 특별한 기술입니다.

Linux/ChromeOS에는 YubiKey USB 토큰을 사용하는 옵션이 있습니다. 물론 공격자가 토큰을 훔칠 수 있지만 여전히 암호를 모릅니다.

출처 : habr.com