SSH 연결을 위한 XNUMX단계 인증을 활성화하는 방법
SSH 자체는 원격 시스템에 연결하는 안전한 방법입니다. 그러나 여전히 SSH 연결에 추가 보안을 추가하려는 경우 SSH를 통해 연결할 때 임의의 확인 코드를 입력하라는 메시지가 표시되도록 XNUMX단계 인증을 추가할 수 있습니다. 우리는 이전에 당신에게 그것을 설명했습니다 다른 소셜 네트워크에서 수행하는 방법 여기서는 SSH 연결에 XNUMX단계 인증을 추가하는 방법을 보여줍니다.
참고: 이 지침은 Ubuntu Server를 기반으로 합니다. 다른 배포판을 사용하는 경우 일부 명령이 다를 수 있습니다.
SSH 이중 인증 설치
XNUMX단계 인증을 설치하려는 머신에서 터미널 세션을 열고 다음을 입력합니다.
sudo apt install ssh libpam-google-authenticator
설치를 완료하려면 다음을 실행하십시오.
Google 인증 자
팁: SSH X 포워딩을 사용하여 원격 애플리케이션을 실행하는 방법을 알아보세요.
XNUMX단계 SSH 인증 구성
일련의 질문을 받게 됩니다. 대부분의 경우 답변으로 "y"(예)를 쓸 수 있습니다. 설정이 잘못되었을 때마다 Ctrl + C를 누른 다음 Google-Authenticator를 다시 입력하여 설정을 재설정하십시오.
- 프로그램에서 인증 코드를 시간 종속적으로 사용할지 묻습니다. 이를 위해 Y 그때 입력합니다.
이 질문 후에 비밀 키와 비상 코드가 표시되어야 합니다. 세부 사항을 기록하고 저장합니다. 나중에 Google Authenticator 앱을 설정하려면 비밀 키가 필요합니다.
- 프로그램에서 원하는지 묻습니다. "/home/username/.google_authenticator" 파일 업데이트. 클릭 Y 그때 엔터 버튼.
- 동일한 인증 토큰의 여러 사용을 허용하지 않을 것인지 묻는 메시지가 표시되면 각각 한 번만 로그인하도록 제한됩니다. 30 초. 이것은 활성 연결 하나만이 언제든지 인증 토큰을 사용할 수 있도록 하려는 경우에 유용할 수 있습니다.
- 기본적으로 인증 토큰은 30초 동안만 유효합니다. 클라이언트와 서버 간의 가능한 시간 편차를 보상하려면 기본 크기인 1-1/2분에서 약 4분으로 창을 늘립니다. 이는 로컬 시스템 시계 또는 원격 서버가 제대로 동기화되지 않은 경우에 유용할 수 있습니다.
- 인증 모듈에 대한 속도 제한을 활성화합니다. 이 옵션은 공격자를 다음 이하로 제한합니다. 3초마다 30번의 로그인 시도.
Google Authenticator를 사용하도록 SSH 구성
- 파일 열기 "/etc/pam.d/sshd":
sudo 나노 /etc/pam.d/sshd
- 파일 맨 위에 다음 행을 추가하십시오.
인증 필요 pam_google_authenticator.so
- 클릭 Ctrl + O 및 Ctrl + X 파일을 저장하고 종료합니다.
- 열다 "/etc/ssh/sshd_config" 파일:
sudo nano / etc / ssh / sshd_config
- 파일 맨 아래로 스크롤하고 다음 줄을 입력합니다.
ChallengeResponse인증 예
- 파일을 저장하고 종료합니다.
- 재시작 SSH 서버:
sudo systemctl 재시작 ssh
Google Authenticator에서 키 설정
- 열다 Google OTP 앱 (또는 대안 중 하나) 스마트폰(또는 데스크탑). 앱의 왼쪽 하단에 있는 더하기 아이콘을 탭하고 선택합니다. 설정 키를 입력합니다.
- 인증 애플리케이션의 이름을 입력합니다.
- 앞에서 만든 비밀 키를 입력하고 누릅니다. "덧셈".
SSH를 통해 원격 컴퓨터에 연결하면 확인 키 요청이 표시됩니다.
참고: XNUMX단계 인증은 암호 기반 로그인에서만 작동합니다. 이미 사용 중인 경우 SSH 세션의 공개/개인 키 , 이중 인증을 우회하고 직접 로그인합니다. 또한 SSH 서버를 보호하는 더 많은 방법을 확인하십시오.
자주 묻는 질문
Q1. 저는 유비키를 사용하고 있습니다. SSH에서 이중 인증을 계속 사용할 수 있습니까?
답변. 아니. Google Authenticator는 표준 SSH 비밀번호 로그인에서만 작동합니다. 공개 SSH 키 설정과 유사하게 이 특정 모듈은 Yubikey와 같은 다른 타사 이중 요소 솔루션과 함께 사용할 수 없습니다.
Q2. 다른 전화기에서 동일한 인증 키를 사용할 수 있습니까?
답변. 응. 비밀 키 또는 QR 코드가 있는 한 Google Authenticator로 다른 전화를 쉽게 사용할 수 있습니다. 그러나 인증 키를 새 장치로 가져오기 전에 이전 장치에서 인증 키를 완전히 제거했는지 확인해야 합니다. 이전 장치에 대한 액세스 권한이 있는 악의적인 사용자가 바이너리 챌린지를 우회할 수 있기 때문입니다.
Q3. SSH와 함께 다른 XNUMX단계 인증 앱을 사용할 수 있습니까?
답변. 응. libpam 모듈의 개발자는 Google Authenticator와 함께 작동하도록 특별히 설계했지만 이진 비밀 키 형식은 종종 다른 앱에서 동일하기 때문에 다른 인증 앱에서도 계속 사용할 수 있습니다.