Google Authenticator ne «téléphone pas chez lui» à Google - tout le travail se passe sur votre serveur SSH et votre téléphone. En fait, Google Authenticator est complètement open-source, vous pouvez même examiner son code source vous-même.
Installer Google Authenticator
Pour implémenter l'authentification multifacteur avec Google Authenticator, nous avons besoin du module open source Google Authenticator PAM. PAM signifie “module d’authentification enfichable” - c’est un moyen de connecter facilement différentes formes d’authentification à un système Linux.
Les référentiels de logiciels Ubuntu contiennent un package facile à installer pour le module Google Authenticator PAM. Si votre distribution Linux ne contient pas de paquet pour cela, vous devrez le télécharger à partir de la page de téléchargement de Google Authenticator sur Google Code et le compiler vous-même.
Pour installer le paquet sur Ubuntu, exécutez la commande suivante:
sudo apt-get install libpam-google-authenticator
(Ceci installera uniquement le module PAM sur notre système - nous devrons l’activer manuellement pour les connexions SSH.)
Créer une clé d'authentification
Connectez-vous en tant qu’utilisateur auquel vous vous connecterez à distance et exécutez la commande google-authentificateur commande pour créer une clé secrète pour cet utilisateur.
Autorisez la commande à mettre à jour votre fichier Google Authenticator en tapant y. On vous posera ensuite plusieurs questions vous permettant de restreindre l’utilisation du même jeton de sécurité temporaire, d’augmenter la fenêtre de temps pendant laquelle les jetons peuvent être utilisés et de limiter les tentatives d’accès autorisées pour entraver les tentatives de cracking par force brute. Ces choix procurent tous une sécurité contre une facilité d'utilisation.
Activer Google Authenticator
Ensuite, vous aurez besoin de Google Authenticator pour les connexions SSH. Pour ce faire, ouvrez le /etc/pam.d/sshd fichier sur votre système (par exemple, avec le sudo nano /etc/pam.d/sshd commande) et ajoutez la ligne suivante au fichier:
auth required pam_google_authenticator.so
Ensuite, ouvrez le / etc / ssh / sshd_config fichier, localisez le ChallengeResponseAuthentication la ligne et changez-la pour lire comme suit:
ChallengeResponseAuthentication yes
(Si la ChallengeResponseAuthentication n’existe pas déjà, ajoutez la ligne ci-dessus au fichier.)
Enfin, redémarrez le serveur SSH pour que vos modifications prennent effet:
sudo service ssh restart
