"സുരക്ഷിത ഷെൽ" SSH ഹോസ്റ്റുകൾക്കിടയിൽ സുരക്ഷിതമായ കണക്ഷൻ സ്ഥാപിക്കുന്നതിനുള്ള ഒരു നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോൾ ആണ്, സാധാരണ പോർട്ട് 22 വഴി (ഇത് മാറ്റുന്നതാണ് നല്ലത്). മിക്ക ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങൾക്കും SSH ക്ലയന്റുകളും SSH സെർവറുകളും ലഭ്യമാണ്. മറ്റേതൊരു നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോളും SSH-നുള്ളിൽ പ്രവർത്തിക്കുന്നു, അതായത്, നിങ്ങൾക്ക് മറ്റൊരു കമ്പ്യൂട്ടറിൽ വിദൂരമായി പ്രവർത്തിക്കാം, എൻക്രിപ്റ്റ് ചെയ്‌ത ചാനലിലൂടെ ഓഡിയോ അല്ലെങ്കിൽ വീഡിയോ സ്ട്രീം കൈമാറാം. കൂടാതെ, ഒരു റിമോട്ട് ഹോസ്റ്റിലെ SOCKS പ്രോക്സി വഴി ഈ റിമോട്ട് ഹോസ്റ്റിന്റെ പേരിൽ നിങ്ങൾക്ക് മറ്റ് ഹോസ്റ്റുകളിലേക്ക് കണക്റ്റുചെയ്യാനാകും.

ഒരു പാസ്‌വേഡ് ഉപയോഗിച്ചാണ് പ്രാമാണീകരണം നടക്കുന്നത്, എന്നാൽ ഡെവലപ്പർമാരും സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാരും പരമ്പരാഗതമായി SSH കീകൾ ഉപയോഗിക്കുന്നു. പ്രൈവറ്റ് കീ മോഷ്ടിക്കപ്പെടുമെന്നതാണ് പ്രശ്നം. ഒരു പാസ്‌ഫ്രെയ്‌സ് ചേർക്കുന്നത് സൈദ്ധാന്തികമായി സ്വകാര്യ കീയുടെ മോഷണത്തിൽ നിന്ന് സംരക്ഷിക്കുന്നു, എന്നാൽ പ്രായോഗികമായി, കീകൾ ഫോർവേഡ് ചെയ്യുമ്പോഴും കാഷെ ചെയ്യുമ്പോഴും, അവ സ്ഥിരീകരണമില്ലാതെ ഇപ്പോഴും ഉപയോഗിക്കാനാകും. രണ്ട്-ഘടക പ്രാമാണീകരണം ഈ പ്രശ്നം പരിഹരിക്കുന്നു.

രണ്ട്-ഘടക പ്രാമാണീകരണം എങ്ങനെ നടപ്പിലാക്കാം

ഹണികോമ്പിൽ നിന്നുള്ള ഡെവലപ്പർമാർ അടുത്തിടെ പ്രസിദ്ധീകരിച്ചു വിശദമായ നിർദ്ദേശങ്ങൾ, ക്ലയന്റിലും സെർവറിലും ഉചിതമായ ഇൻഫ്രാസ്ട്രക്ചർ എങ്ങനെ നടപ്പിലാക്കാം.

ഇൻറർനെറ്റിൽ (കൊത്തളത്തിൽ) നിങ്ങൾക്ക് ഒരു നിശ്ചിത അടിസ്ഥാന ഹോസ്റ്റ് തുറന്നിട്ടുണ്ടെന്ന് നിർദ്ദേശങ്ങൾ അനുമാനിക്കുന്നു. ഇന്റർനെറ്റ് വഴി ലാപ്‌ടോപ്പുകളിൽ നിന്നോ കമ്പ്യൂട്ടറുകളിൽ നിന്നോ ഈ ഹോസ്റ്റിലേക്ക് കണക്റ്റുചെയ്യാനും അതിന്റെ പിന്നിലുള്ള മറ്റെല്ലാ ഉപകരണങ്ങളും ആക്‌സസ് ചെയ്യാനും നിങ്ങൾ ആഗ്രഹിക്കുന്നു. നിങ്ങളുടെ ലാപ്‌ടോപ്പിലേക്ക് ആക്‌സസ് ലഭിച്ചാലും ഒരു ആക്രമണകാരിക്ക് അത് ചെയ്യാൻ കഴിയില്ലെന്ന് 2FA ഉറപ്പാക്കുന്നു, ഉദാഹരണത്തിന് ക്ഷുദ്രവെയർ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിലൂടെ.

ആദ്യ ഓപ്ഷൻ OTP ആണ്

OTP - ഒറ്റത്തവണ ഡിജിറ്റൽ പാസ്‌വേഡുകൾ, ഈ സാഹചര്യത്തിൽ കീയ്‌ക്കൊപ്പം SSH പ്രാമാണീകരണത്തിനായി ഉപയോഗിക്കും. ഡവലപ്പർമാർ എഴുതുന്നത് ഇതൊരു അനുയോജ്യമായ ഓപ്ഷനല്ല, കാരണം ഒരു ആക്രമണകാരിക്ക് ഒരു വ്യാജ കോട്ട ഉയർത്താനും നിങ്ങളുടെ OTP തടസ്സപ്പെടുത്താനും അത് ഉപയോഗിക്കാനും കഴിയും. എന്നാൽ ഒന്നുമില്ല എന്നതിനേക്കാൾ നല്ലത്.

ഈ സാഹചര്യത്തിൽ, സെർവർ ഭാഗത്ത്, ഇനിപ്പറയുന്ന വരികൾ ഷെഫ് കോൺഫിഗറിലേക്ക് എഴുതിയിരിക്കുന്നു:

• metadata.rb
• attributes/default.rb (നിന്ന് attributes.rb)
• files/sshd
• recipes/default.rb (ഇതിൽ നിന്ന് പകർത്തുക recipe.rb)
• templates/default/users.oath.erb

ക്ലയന്റ് ഭാഗത്ത് ഏത് OTP ആപ്ലിക്കേഷനും ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ട്: Google Authenticator, Authy, Duo, Lastpass, ഇൻസ്റ്റാൾ ചെയ്തു brew install oath-toolkit അഥവാ apt install oathtool openssl, തുടർന്ന് ഒരു റാൻഡം ബേസ്16 സ്ട്രിംഗ് (കീ) ജനറേറ്റുചെയ്യുന്നു. മൊബൈൽ ഓതന്റിക്കേറ്ററുകൾ ഉപയോഗിക്കുന്ന Base32 ഫോർമാറ്റിലേക്ക് ഇത് പരിവർത്തനം ചെയ്യുകയും ആപ്ലിക്കേഷനിലേക്ക് നേരിട്ട് ഇറക്കുമതി ചെയ്യുകയും ചെയ്യുന്നു.

തൽഫലമായി, നിങ്ങൾക്ക് ബാസ്‌റ്റനിലേക്ക് കണക്റ്റുചെയ്‌ത് അതിന് ഇപ്പോൾ ഒരു പാസ്‌ഫ്രെയ്‌സ് മാത്രമല്ല, പ്രാമാണീകരണത്തിനായി ഒരു OTP കോഡും ആവശ്യമാണെന്ന് കാണാൻ കഴിയും:

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

രണ്ടാമത്തെ ഓപ്ഷൻ ഹാർഡ്‌വെയർ ആധികാരികതയാണ്

ഈ സാഹചര്യത്തിൽ, ഉപയോക്താവ് ഓരോ തവണയും OTP കോഡ് നൽകേണ്ടതില്ല, കാരണം രണ്ടാമത്തെ ഘടകം ഹാർഡ്‌വെയർ ഉപകരണമോ ബയോമെട്രിക്‌സോ ആയി മാറുന്നു.

ഇവിടെ ഷെഫ് കോൺഫിഗറേഷൻ കുറച്ചുകൂടി സങ്കീർണ്ണമാണ്, കൂടാതെ ക്ലയന്റ് കോൺഫിഗറേഷൻ OS-നെ ആശ്രയിച്ചിരിക്കുന്നു. എന്നാൽ എല്ലാ ഘട്ടങ്ങളും പൂർത്തിയാക്കിയ ശേഷം, MacOS-ലെ ക്ലയന്റുകൾക്ക് ഒരു പാസ്‌ഫ്രെയ്‌സ് ഉപയോഗിച്ച് SSH-ലെ പ്രാമാണീകരണം സ്ഥിരീകരിക്കാനും സെൻസറിൽ ഒരു വിരൽ വയ്ക്കാനും കഴിയും (രണ്ടാം ഘടകം).

iOS, Android ഉടമകൾ ലോഗിൻ സ്ഥിരീകരിക്കുന്നു നിങ്ങളുടെ സ്മാർട്ട്ഫോണിലെ ഒരു ബട്ടൺ അമർത്തിയാൽ. ഇത് Krypt.co-യിൽ നിന്നുള്ള ഒരു പ്രത്യേക സാങ്കേതികവിദ്യയാണ്, ഇത് OTP-യെക്കാൾ സുരക്ഷിതമാണ്.

Linux/ChromeOS-ൽ YubiKey USB ടോക്കണുകളിൽ പ്രവർത്തിക്കാനുള്ള ഒരു ഓപ്ഷൻ ഉണ്ട്. തീർച്ചയായും, ഒരു ആക്രമണകാരിക്ക് നിങ്ങളുടെ ടോക്കൺ മോഷ്ടിക്കാൻ കഴിയും, പക്ഷേ അയാൾക്ക് ഇപ്പോഴും പാസ്‌ഫ്രെയ്‌സ് അറിയില്ല.

അവലംബം: www.habr.com