"सुरक्षित शेल" SSH होस्टहरू बीच सुरक्षित जडान स्थापना गर्नको लागि नेटवर्क प्रोटोकल हो, मानक रूपमा पोर्ट 22 माथि (जुन परिवर्तन गर्न राम्रो छ)। SSH क्लाइन्टहरू र SSH सर्भरहरू अधिकांश अपरेटिङ सिस्टमहरूको लागि उपलब्ध छन्। लगभग कुनै पनि अन्य नेटवर्क प्रोटोकलले SSH भित्र काम गर्दछ, त्यो हो, तपाईले अर्को कम्प्युटरमा टाढाबाट काम गर्न सक्नुहुन्छ, एन्क्रिप्टेड च्यानलमा अडियो वा भिडियो स्ट्रिम पठाउन सक्नुहुन्छ, आदि। यसबाहेक, रिमोट होस्टमा SOCKS प्रोक्सी मार्फत तपाईं यस रिमोट होस्टको तर्फबाट अन्य होस्टहरूमा जडान गर्न सक्नुहुन्छ।

प्रमाणीकरण पासवर्ड प्रयोग गरेर हुन्छ, तर विकासकर्ताहरू र प्रणाली प्रशासकहरूले परम्परागत रूपमा SSH कुञ्जीहरू प्रयोग गर्छन्। समस्या यो छ कि निजी कुञ्जी चोरी हुन सक्छ। पासफ्रेज थप्दा सैद्धान्तिक रूपमा निजी कुञ्जीको चोरीबाट जोगाउँछ, तर व्यवहारमा, कुञ्जीहरू फर्वार्डिङ र क्यास गर्दा, तिनीहरू अझै पनि पुष्टि बिना प्रयोग गर्न सकिन्छ। दुई-कारक प्रमाणीकरणले यो समस्या समाधान गर्दछ।

दुई-कारक प्रमाणीकरण कसरी लागू गर्ने

हनीकम्बका विकासकर्ताहरूले भर्खरै प्रकाशित गरे विस्तृत निर्देशन, ग्राहक र सर्भरमा उपयुक्त पूर्वाधार कसरी कार्यान्वयन गर्ने।

निर्देशनहरूले मान्दछ कि तपाइँसँग इन्टरनेट (गढ़) को लागी एक निश्चित आधारभूत होस्ट खुला छ। तपाईं इन्टरनेट मार्फत ल्यापटप वा कम्प्युटरहरूबाट यो होस्टमा जडान गर्न चाहनुहुन्छ, र यसको पछाडि अवस्थित सबै अन्य उपकरणहरू पहुँच गर्न चाहनुहुन्छ। 2FA ले सुनिश्चित गर्दछ कि आक्रमणकारीले तपाइँको ल्यापटपमा पहुँच प्राप्त गरे पनि त्यसो गर्न सक्दैन, उदाहरणका लागि मालवेयर स्थापना गरेर।

पहिलो विकल्प OTP हो

OTP - एक पटकको डिजिटल पासवर्डहरू, जुन यस अवस्थामा कुञ्जीसँगै SSH प्रमाणीकरणको लागि प्रयोग गरिनेछ। विकासकर्ताहरूले लेखेका छन् कि यो एक आदर्श विकल्प होइन, किनकि आक्रमणकारीले नक्कली गढ उठाउन सक्छ, तपाईंको OTP रोक्न सक्छ र यसलाई प्रयोग गर्न सक्छ। तर यो केहि भन्दा राम्रो छ।

यस अवस्थामा, सर्भर साइडमा, शेफ कन्फिगरेसनमा निम्न रेखाहरू लेखिएका छन्:

metadata.rb
attributes/default.rb (को attributes.rb)
files/sshd
recipes/default.rb (बाट प्रतिलिपि recipe.rb)
templates/default/users.oath.erb

कुनै पनि OTP अनुप्रयोग ग्राहक पक्षमा स्थापित छ: Google प्रमाणक, Authy, Duo, Lastpass, स्थापित brew install oath-toolkit वा apt install oathtool openssl, त्यसपछि अनियमित आधार १६ स्ट्रिङ (कुञ्जी) उत्पन्न हुन्छ। यसलाई बेस16 ढाँचामा रूपान्तरण गरिएको छ जुन मोबाइल प्रमाणीकरणकर्ताहरूले प्रयोग गर्दछ र सिधै अनुप्रयोगमा आयात गर्दछ।

नतिजाको रूपमा, तपाइँ Bastion मा जडान गर्न सक्नुहुन्छ र हेर्नुहोस् कि यसलाई अब पासफ्रेज मात्र होइन, प्रमाणीकरणको लागि OTP कोड पनि चाहिन्छ:

➜ ssh -A bastion
Enter passphrase for key '[snip]': 
One-time password (OATH) for '[user]': 
Welcome to Ubuntu 18.04.1 LTS...

दोस्रो विकल्प हार्डवेयर प्रमाणीकरण हो

यस अवस्थामा, प्रयोगकर्ताले प्रत्येक पटक OTP कोड प्रविष्ट गर्न आवश्यक छैन, किनकि दोस्रो कारक हार्डवेयर उपकरण वा बायोमेट्रिक्स हुन्छ।

यहाँ शेफ कन्फिगरेसन अलि बढी जटिल छ, र ग्राहक कन्फिगरेसन OS मा निर्भर गर्दछ। तर सबै चरणहरू पूरा गरेपछि, MacOS मा ग्राहकहरूले पासफ्रेज प्रयोग गरेर र सेन्सर (दोस्रो कारक) मा औंला राखेर SSH मा प्रमाणीकरण पुष्टि गर्न सक्छन्।

iOS मालिकहरू र Android प्रविष्टि पुष्टि गर्नुहोस् आफ्नो स्मार्टफोनमा एउटा बटन थिचेर। यो Krypt.co को एक विशेष प्रविधि हो, जुन OTP भन्दा पनि बढी सुरक्षित छ।

मा LinuxChromeOS सँग YubiKey USB टोकनहरूसँग काम गर्ने विकल्प छ। आक्रमणकारीले तपाईंको टोकन चोर्न सक्छ, तर तिनीहरूलाई अझै पनि तपाईंको पासफ्रेज थाहा हुँदैन।

स्रोत: www.habr.com

SSH को लागि दुई-कारक प्रमाणीकरण

दुई-कारक प्रमाणीकरण कसरी लागू गर्ने

पहिलो विकल्प OTP हो

दोस्रो विकल्प हार्डवेयर प्रमाणीकरण हो