«Sikkerhetslag» SSH er en nettverksprotokoll for å etablere en sikker tilkobling mellom verter, vanligvis gjennom port 22 (som er bedre å endre). SSH-klienter og SSH-servere er tilgjengelige for de fleste operativsystemer. Innvendig kan SSH kjøre praktisk talt hvilken som helst annen nettverksprotokoll, noe som betyr at du kan arbeide eksternt på en annen datamaskin, overføre en lydstrøm eller video gjennom en kryptert kanal, osv. I tillegg, via SOCKS-proxy på den eksterne verten kan du koble deg til andre verter i navnet til denne eksterne verten.

Autentisering skjer med passord, men utviklere og systemadministratorer bruker tradisjonelt SSH-nøkler. Problemet er at den hemmelige nøkkelen kan bli stjålet. Legg til et passordfrase, som teoretisk beskytter mot tyveri av den hemmelige nøkkelen, men i praksis kan de ved videresending og caching av nøkler fortsatt brukes uten bekreftelse. To-faktor-autentisering løser dette problemet.

Hvordan implementere to-faktor-autentisering

Utviklerne fra Honeycomb har nylig publisert en detaljert veiledning, om hvordan du implementerer den nødvendige infrastrukturen på klienten og serveren.

Veiledningen forutsetter at du har en grunnleggende vert som er åpen på internett (bastion). Du ønsker å koble til denne verten fra bærbare datamaskiner eller PC-er via internett, og få tilgang til alle andre enheter som ligger bak den. 2FA garanterer at en angriper ikke kan utføre det samme, selv om de får tilgang til bærbare datamaskinen din, for eksempel ved å installere skadelig programvare.

Det første alternativet er OTP

OTP er engangskoder som i dette tilfellet skal brukes for SSH-autentisering sammen med nøkkelen. Utviklerne skriver at dette ikke er et ideelt alternativ, fordi en angriper kan opprette en falsk bastion, fange din OTP og bruke den. Men det er bedre enn ingenting.

I dette tilfellet skrives følgende linjer inn i Chef-konfigurasjonen på serversiden:

• metadata.rb
• attributes/default.rb (fra attributes.rb)
• files/sshd
• recipes/default.rb (kopi av recipe.rb)
• templates/default/users.oath.erb

På klientsiden installeres hvilken som helst OTP-applikasjon: Google Authenticator, Authy, Duo, Lastpass, installeres brew install oath-toolkit eller apt install oathtool openssl, så genereres en tilfeldig streng base16 (nøkkel). Den konverteres til Base32-format, som mobilautentifikatorer bruker, og importeres direkte til applikasjonen.

Til slutt kan du koble deg til bastionen og se at den nå krever både passordfrase og OTP-kode for autentisering:

➜ ssh -A bastion
Skriv inn passfrasen for nøkkelen '[snip]': 
Engangspassord (OATH) for '[user]': 
Velkommen til Ubuntu 18.04.1 LTS...

Det andre alternativet — maskinvareautentisering

I dette tilfellet kreves det ikke at brukeren hver gang skriver inn OTP-koden, ettersom det andre faktoren blir en maskinvareenhet eller biometrisk data.

Her er Chef-konfigurasjonen litt mer komplisert, og konfigurasjonen av klientene avhenger av operativsystemet. Men etter at alle handlingene er utført, kan klientene på MacOS bekrefte autentisering i SSH med passordfrase og ved å bruke fingertuppen på sensoren (det andre faktoren).

Eiere av iOS og Android bekrefter pålogging ved å trykke på en knapp på smarttelefonen. Dette er en spesialteknologi fra Krypt.co, som er enda tryggere enn OTP.

På Linux/ChromeOS er det en mulighet til å jobbe med USB-token YubiKey. Selvfølgelig kan en angriper stjele tokenet ditt, men vedkommende kjenner fortsatt ikke passordfrasen.

Kilde: habr.com