Cómo configurar la autenticación SSH con los 3 componentes: clave pública, contraseña y OTP

Question

Después de algunos intentos y gracias aesta publicación, puedo agregar pam_faillock.soa mi solución para verificar los intentos de registro y bloquear al usuario si es necesario.

Ten cuidadoal editar los archivos relacionados con la autenticación que aparecen a continuación. Siemprehacer una copia de seguridaddel archivo primero. Yrecuerde mantener viva una sesión raízy pruebe su inicio de sesión en la otra sesión.

Veamos mis archivos de configuración:

Primero: Editar /etc/pam.d/common-authpara aplicar a todo tipo de métodos de inicio de sesión:

auth    requisite       pam_faillock.so preauth audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=1]     pam_unix.so try_first_pass
auth    [default=die]   pam_faillock.so authfail audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=2]     pam_google_authenticator.so nullok echo_verification_code  [authtok_prompt=Enter your OTP:]
auth    sufficient      pam_faillock.so authsucc audit deny=5 fail_interval=120 unlock_time=1800
auth    requisite       pam_deny.so
auth    required        pam_permit.so

Alguna explicación línea por línea:

Úselo pam_faillock.socon preauthy requisiteverificará el estado del usuario. Si el usuario está bloqueado, evite que se le solicite la contraseña. Seguido de alguna configuración faillockque puedes registraraquí.
Se utiliza pam_unix.sopara comprobar la contraseña del usuario. [success=1]saltará la siguiente línea si la contraseña es correcta. try_first_passpara utilizar la entrada del primer paso.
pam_faillock.sowith authfailregistrará el intento fallido y evitará que el proceso de autenticación avance con [default=die]. Si desea que el usuario no sepa dónde está fallando (contraseña u OTP), intercambie las líneas 3 y 4.
Úselo pam_google_authenticator.sopara verificar la OTP. Puedes encontrar más información.aquí. [success=2]omitirá las siguientes dos líneas si la OTP es correcta.
pam_faillock.socon authsuccmarcar este intento es bueno y borrará los registros de intentos fallidos, permitiendo al usuario ir más lejos.
pam_deny.sowith requisitenegará el intento de inicio de sesión. Algunas líneas anteriores omiten esta línea si la información es correcta.
pam_permit.sosimplemente permita el acceso después de todas las comprobaciones anteriores.

Segundo: Edite /etc/pam.d/common-accounty agregue esta línea al principio para usar faillock:

account required        pam_faillock.so

Tercero: Editar /etc/pam.d/sshdpara conexión SSH. No cambié nada de la configuración predeterminada, solo la enumeré aquí para que ustedes la comparen.

@include common-auth
account    required     pam_nologin.so
@include common-account
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_keyinit.so force revoke
@include common-session
session    optional     pam_motd.so  motd=/run/motd.dynamic
session    optional     pam_motd.so noupdate
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
session    required     pam_env.so # [1]
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open
@include common-password

Cuatro: Editar /etc/ssh/sshd_configpara configurar la sesión SSH

Include /etc/ssh/sshd_config.d/*.conf
MaxAuthTries 5
MaxSessions 1
PubkeyAuthentication yes
PasswordAuthentication yes
PermitEmptyPasswords no
KbdInteractiveAuthentication yes
UsePAM yes
X11Forwarding yes
PrintMotd no
ClientAliveInterval 60
ClientAliveCountMax 15
AcceptEnv LANG LC_*
Subsystem       sftp    /usr/lib/openssh/sftp-server
AuthenticationMethods publickey,keyboard-interactive

Algunos elementos clave:

KbdInteractiveAuthentication= yesal uso keyboard-interactivedel método. ChallengeResponseAuthenticationes un alias obsoleto para esto.
UsePAMdebe configurarse para yesusar todas las configuraciones de PAM anteriores
En AuthenticationMethods, solo declaro keyboard-interactivetanto para la contraseña como para la solicitud de OTP.

Después de editar el sshd_configarchivo, vuelva a cargar el sshdservicio para actualizar la nueva configuración.

systemctl reload sshd

Y así, puedo comprobarlo todo public key + password (of the user) + OTP.

Answer 1