So konfigurieren Sie die SSH-Authentifizierung mit allen 3 Komponenten: öffentlicher Schlüssel, Passwort und OTP

Question

Nach einigen Versuchen und dankdieser Beitragkann ich pam_faillock.someine Lösung um die Überprüfung von Protokollierungsversuchen und die Sperrung des Benutzers bei Bedarf erweitern.

Seien Sie vorsichtigbeim Bearbeiten der unten aufgeführten Authentifizierungsdateien. ImmerErstelle eine Sicherungder Datei zuerst. UndDenken Sie daran, eine Root-Sitzung aufrecht zu erhalten, und testen Sie Ihre Anmeldung in der anderen Sitzung.

Sehen wir uns meine Konfigurationsdateien an:

Erste: Bearbeiten /etc/pam.d/common-auth, um es auf alle Arten von Anmeldemethoden anzuwenden:

auth    requisite       pam_faillock.so preauth audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=1]     pam_unix.so try_first_pass
auth    [default=die]   pam_faillock.so authfail audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=2]     pam_google_authenticator.so nullok echo_verification_code  [authtok_prompt=Enter your OTP:]
auth    sufficient      pam_faillock.so authsucc audit deny=5 fail_interval=120 unlock_time=1800
auth    requisite       pam_deny.so
auth    required        pam_permit.so

Einige Erklärungen Zeile für Zeile:

Verwenden Sie es pam_faillock.somit preauthund requisiteum den Status des Benutzers zu überprüfen. Wenn der Benutzer gesperrt ist, wird die Kennwortabfrage verhindert. Gefolgt von einigen Konfigurationen, faillockdie Sie überprüfen könnenHier.
Wird verwendet pam_unix.so, um das Passwort des Benutzers zu überprüfen. [success=1]Wenn das Passwort korrekt ist, wird die nächste Zeile übersprungen. Wird verwendet try_first_pass, um die Eingabe des ersten Schritts zu verwenden.
pam_faillock.somit authfailwird der fehlgeschlagene Versuch protokolliert und der Authentifizierungsprozess wird mit fortgesetzt [default=die]. Wenn Sie nicht möchten, dass der Benutzer weiß, wo der Fehler liegt (Passwort oder OTP), vertauschen Sie die Zeilen 3 und 4.
Verwenden Sie diese Option pam_google_authenticator.so, um das OTP zu überprüfen. Weitere Informationen finden Sie hierHier. [success=2]überspringt die nächsten beiden Zeilen, wenn das OTP korrekt ist.
pam_faillock.soMit authsuccder Markierung wird dieser Versuch als gut markiert und die Datensätze für schlechte Versuche werden gelöscht, sodass der Benutzer fortfahren kann.
pam_deny.somit requisitewird der Anmeldeversuch abgelehnt. Daher überspringen einige der obigen Zeilen diese Zeile, wenn die Informationen korrekt sind.
pam_permit.soErlauben Sie den Zugriff einfach nach der Durchführung aller oben genannten Überprüfungen.

Zweite: Bearbeiten Sie /etc/pam.d/common-accountdiese Zeile und fügen Sie sie am Anfang hinzu, um Folgendes zu verwenden faillock:

account required        pam_faillock.so

Dritte: /etc/pam.d/sshdFür SSH-Verbindung bearbeiten. Ich habe nichts an der Standardkonfiguration geändert, sondern sie hier nur aufgelistet, damit ihr sie vergleichen könnt.

@include common-auth
account    required     pam_nologin.so
@include common-account
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_keyinit.so force revoke
@include common-session
session    optional     pam_motd.so  motd=/run/motd.dynamic
session    optional     pam_motd.so noupdate
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
session    required     pam_env.so # [1]
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open
@include common-password

Vierte: Bearbeiten /etc/ssh/sshd_config, um die SSH-Sitzung zu konfigurieren

Include /etc/ssh/sshd_config.d/*.conf
MaxAuthTries 5
MaxSessions 1
PubkeyAuthentication yes
PasswordAuthentication yes
PermitEmptyPasswords no
KbdInteractiveAuthentication yes
UsePAM yes
X11Forwarding yes
PrintMotd no
ClientAliveInterval 60
ClientAliveCountMax 15
AcceptEnv LANG LC_*
Subsystem       sftp    /usr/lib/openssh/sftp-server
AuthenticationMethods publickey,keyboard-interactive

Einige wichtige Punkte:

KbdInteractiveAuthentication= yeszur Verwendung keyboard-interactiveder Methode. ChallengeResponseAuthenticationist hierfür ein veralteter Alias.
UsePAMmuss eingestellt sein, yesum alle oben genannten PAM-Konfigurationen zu verwenden
In AuthenticationMethodserkläre ich nur keyboard-interactivedie Eingabeaufforderung für Passwort und OTP.

Laden Sie den Dienst nach dem Bearbeiten der sshd_configDatei neu, sshdum die neue Konfiguration zu aktualisieren.

systemctl reload sshd

Und so kann ich alles überprüfen public key + password (of the user) + OTP.

Answer 1