«Säker Skals» SSH — ett nätverksprotokoll för att upprätta en säker anslutning mellan värdar, vanligtvis via port 22 (som är bättre att ändra). SSH-klienter och SSH-servrar finns tillgängliga för de flesta operativsystem. Inom SSH kan nästan vilket annat nätverksprotokoll som helst användas, vilket innebär att man kan arbeta på en annan dator på distans, överföra ljud- eller videoströmmar via en krypterad kanal, osv. Dessutom, via SOCKS-proxy på den avlägsna värden kan man ansluta till andra värdar redan under namnet på denna avlägsna värd.

Autentisering sker via lösenord, men utvecklare och systemadministratörer använder traditionellt SSH-nycklar. Problemet är att den hemliga nyckeln kan bli stulen. Att lägga till en lösenfras skyddar teoretiskt mot stöld av den hemliga nyckeln, men i praktiken, vid vidarebefordring och cachelagring av nycklar, kan de fortfarande användas utan bekräftelse. Tvåfaktorsautentisering löser detta problem.

Hur man implementerar tvåfaktorsautentisering

Utvecklare från företaget Honeycomb har nyligen publicerat en detaljerad instruktion, hur man implementerar lämplig infrastruktur på klient- och serversidan.

Instruktionen förutsätter att du har en viss grundläggande värd, öppen för internet (bastion). Du vill ansluta till denna värd från bärbara datorer eller datorer via internet och få tillgång till alla andra enheter som finns bakom den. 2FA garanterar att en angripare inte kan göra detsamma, även om de får tillgång till din bärbara dator, till exempel genom att installera skadlig programvara.

Det första alternativet — OTP

OTP — engångslösa koder som i detta fall kommer att användas för SSH-autentisering tillsammans med nyckeln. Utvecklarna skriver att detta inte är den perfekta lösningen, eftersom en angripare kan sätta upp en falsk bastion, fånga din OTP och använda den. Men det är bättre än inget.

I detta fall anges följande rader i Chef-konfigurationen på serversidan:

• metadata.rb
• attributes/default.rb (från attributes.rb)
• files/sshd
• recipes/default.rb (kopierad från recipe.rb)
• templates/default/users.oath.erb

På klientsidan installeras vilken OTP-app som helst: Google Authenticator, Authy, Duo, Lastpass, installationen är brew install oath-toolkit eller apt install oathtool openssl, en slumpmässig sträng base16 (nyckel) genereras. Den konverteras till Base32-format som används av mobila autentiserare och importeras direkt till appen.

Som ett resultat kan du ansluta till bastionen och se att den nu kräver både ett lösenfras och en OTP-kod för autentisering:

➜ ssh -A bastion
Ange lösenfras för nyckel '[snip]': 
Engångslösenord (OATH) för '[user]': 
Välkommen till Ubuntu 18.04.1 LTS...

Det andra alternativet — hårdvaruautentisering

I det här fallet behöver användaren inte ange OTP-koden varje gång, eftersom det andra faktorn blir en hårdvaruenhet eller biometrik.

Här är Chef-konfigurationen lite mer komplex, och klientkonfigurationen beror på operativsystemet. Men efter att alla åtgärder har genomförts kan klienter på MacOS bekräfta autentiseringen i SSH med lösenfras och fingeravtryck på sensorn (det andra faktorn).

Ägare av iOS och Android bekräftar inloggning genom att trycka på en knapp på sin smartphone. Detta är en speciell teknik från Krypt.co, som är ännu säkrare än OTP.

På Linux/ChromeOS finns en lösning för att arbeta med USB-token YubiKey. Självklart kan en angripare stjäla din token, men han vet fortfarande inte lösenfrasen.

Källa: habr.com