"Secure shell" SSH ແມ່ນໂປໂຕຄອນເຄືອຂ່າຍສໍາລັບການສ້າງການເຊື່ອມຕໍ່ທີ່ປອດໄພລະຫວ່າງໂຮດ, ຕາມມາດຕະຖານຜ່ານພອດ 22 (ເຊິ່ງດີກວ່າທີ່ຈະປ່ຽນ). ລູກຄ້າ SSH ແລະເຊີບເວີ SSH ມີໃຫ້ສໍາລັບລະບົບປະຕິບັດການສ່ວນໃຫຍ່. ເກືອບທຸກໂປໂຕຄອນເຄືອຂ່າຍອື່ນເຮັດວຽກຢູ່ໃນ SSH, ນັ້ນແມ່ນ, ທ່ານສາມາດເຮັດວຽກຫ່າງໄກສອກຫຼີກໃນຄອມພິວເຕີເຄື່ອງອື່ນ, ສົ່ງກະແສສຽງຫຼືວິດີໂອຜ່ານຊ່ອງທາງທີ່ຖືກເຂົ້າລະຫັດ, ແລະອື່ນໆ. ນອກຈາກນັ້ນ, ຜ່ານ SOCKS proxy ໃນແມ່ຂ່າຍທາງໄກ ທ່ານສາມາດເຊື່ອມຕໍ່ກັບໂຮດອື່ນໃນນາມຂອງເຈົ້າພາບທາງໄກນີ້.

ການກວດສອບຄວາມຖືກຕ້ອງເກີດຂຶ້ນໂດຍໃຊ້ລະຫັດຜ່ານ, ແຕ່ນັກພັດທະນາ ແລະຜູ້ບໍລິຫານລະບົບໃຊ້ປຸ່ມ SSH ແບບດັ້ງເດີມ. ບັນຫາແມ່ນວ່າກະແຈສ່ວນຕົວສາມາດຖືກລັກໄດ້. ການເພີ່ມລະຫັດຜ່ານທາງທິດສະດີປ້ອງກັນການລັກຂອງກະແຈສ່ວນຕົວ, ແຕ່ໃນທາງປະຕິບັດ, ເມື່ອສົ່ງຕໍ່ແລະເກັບກະແຈ, ພວກມັນ. ຍັງສາມາດຖືກນໍາໃຊ້ໂດຍບໍ່ມີການຢືນຢັນ. ການພິສູດຢືນຢັນສອງປັດໃຈແກ້ໄຂບັນຫານີ້.

ວິທີການປະຕິບັດການກວດສອບສອງປັດໃຈ

ນັກພັດທະນາຈາກ Honeycomb ຈັດພີມມາບໍ່ດົນມານີ້ ຄໍາແນະນໍາຢ່າງລະອຽດ, ວິທີການປະຕິບັດໂຄງສ້າງພື້ນຖານທີ່ເຫມາະສົມກ່ຽວກັບລູກຄ້າແລະເຄື່ອງແມ່ຂ່າຍ.

ຄໍາແນະນໍາສົມມຸດວ່າທ່ານມີເຈົ້າພາບພື້ນຖານທີ່ແນ່ນອນເປີດກັບອິນເຕີເນັດ (bastion). ທ່ານ​ຕ້ອງ​ການ​ເຊື່ອມ​ຕໍ່​ກັບ​ເຈົ້າ​ພາບ​ນີ້​ຈາກ​ຄອມ​ພິວ​ເຕີ​ຫຼື​ຄອມ​ພິວ​ເຕີ​ໂດຍ​ຜ່ານ​ອິນ​ເຕີ​ເນັດ​, ແລະ​ການ​ເຂົ້າ​ເຖິງ​ອຸ​ປະ​ກອນ​ອື່ນໆ​ທັງ​ຫມົດ​ທີ່​ຢູ່​ທາງ​ຫລັງ​ຂອງ​ມັນ​. 2FA ຮັບປະກັນວ່າຜູ້ໂຈມຕີບໍ່ສາມາດເຮັດແບບດຽວກັນໄດ້ ເຖິງແມ່ນວ່າພວກເຂົາເຂົ້າເຖິງແລັບທັອບຂອງເຈົ້າ, ຕົວຢ່າງໂດຍການຕິດຕັ້ງ malware.

ທາງເລືອກທໍາອິດແມ່ນ OTP

OTP - ລະຫັດຜ່ານດິຈິຕອນຄັ້ງດຽວ, ເຊິ່ງໃນກໍລະນີນີ້ຈະຖືກນໍາໃຊ້ສໍາລັບການພິສູດຢືນຢັນ SSH ພ້ອມກັບລະຫັດ. ນັກພັດທະນາຂຽນວ່ານີ້ບໍ່ແມ່ນທາງເລືອກທີ່ເຫມາະສົມ, ເພາະວ່າຜູ້ໂຈມຕີສາມາດສ້າງຖານທັບປອມ, ສະກັດ OTP ຂອງທ່ານແລະໃຊ້ມັນ. ແຕ່ມັນດີກ່ວາບໍ່ມີຫຍັງ.

ໃນກໍລະນີນີ້, ໃນດ້ານເຊີຟເວີ, ເສັ້ນຕໍ່ໄປນີ້ຖືກຂຽນໄວ້ໃນການຕັ້ງຄ່າ Chef:

• metadata.rb
• attributes/default.rb (ຂອງ attributes.rb)
• files/sshd
• recipes/default.rb (ສຳເນົາມາຈາກ recipe.rb)
• templates/default/users.oath.erb

ແອັບພລິເຄຊັ່ນ OTP ໃດກໍໄດ້ຕິດຕັ້ງຢູ່ຝ່າຍລູກຄ້າ: Google Authenticator, Authy, Duo, Lastpass, ຕິດຕັ້ງແລ້ວ brew install oath-toolkit ຫຼື apt install oathtool openssl, ຫຼັງຈາກນັ້ນ, string base16 random (key) ແມ່ນຖືກສ້າງຂຶ້ນ. ມັນໄດ້ຖືກປ່ຽນເປັນຮູບແບບ Base32 ທີ່ຜູ້ພິສູດຢືນຢັນມືຖືໃຊ້ ແລະນໍາເຂົ້າໂດຍກົງເຂົ້າໃນແອັບພລິເຄຊັນ.

ດັ່ງນັ້ນ, ທ່ານສາມາດເຊື່ອມຕໍ່ກັບ Bastion ແລະເຫັນວ່າມັນຕ້ອງການບໍ່ພຽງແຕ່ລະຫັດຜ່ານ, ແຕ່ຍັງລະຫັດ OTP ສໍາລັບການພິສູດຢືນຢັນ:

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

ທາງເລືອກທີສອງແມ່ນການກວດສອບຄວາມຖືກຕ້ອງຂອງຮາດແວ

ໃນກໍລະນີນີ້, ຜູ້ໃຊ້ບໍ່ຈໍາເປັນຕ້ອງໃສ່ລະຫັດ OTP ທຸກໆຄັ້ງ, ນັບຕັ້ງແຕ່ປັດໃຈທີສອງກາຍເປັນອຸປະກອນຮາດແວຫຼື biometrics.

ທີ່ນີ້ການຕັ້ງຄ່າ Chef ແມ່ນສັບສົນເລັກນ້ອຍ, ແລະການຕັ້ງຄ່າລູກຄ້າແມ່ນຂຶ້ນກັບ OS. ແຕ່ຫຼັງຈາກສໍາເລັດຂັ້ນຕອນທັງຫມົດ, ລູກຄ້າໃນ MacOS ສາມາດຢືນຢັນການພິສູດຢືນຢັນໃນ SSH ໂດຍໃຊ້ລະຫັດຜ່ານແລະວາງນິ້ວມືໃສ່ເຊັນເຊີ (ປັດໃຈທີສອງ).

ເຈົ້າຂອງ iOS ແລະ Android ຢືນຢັນການເຂົ້າສູ່ລະບົບ ໂດຍການກົດປຸ່ມດຽວໃນໂທລະສັບສະຫຼາດຂອງທ່ານ. ນີ້ແມ່ນເທກໂນໂລຍີພິເສດຈາກ Krypt.co, ເຊິ່ງມີຄວາມປອດໄພຫຼາຍກວ່າ OTP.

ໃນ Linux/ChromeOS ມີທາງເລືອກທີ່ຈະເຮັດວຽກກັບ YubiKey USB tokens. ແນ່ນອນ, ຜູ້ໂຈມຕີສາມາດລັກໂທເຄັນຂອງເຈົ້າ, ແຕ່ລາວຍັງບໍ່ຮູ້ລະຫັດຜ່ານ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com