Como configurar a autenticação SSH com todos os 3 componentes: chave pública, senha e OTP

Question

Depois de algumas tentativas, e graças aesta postagem, posso adicionar pam_faillock.soà minha solução a verificação de tentativas de registro e o bloqueio do usuário, se necessário.

Tome cuidadoao editar os arquivos relacionados à autenticação abaixo. Semprefaça um backupdo arquivo primeiro. Elembre-se de manter uma sessão root ativae teste seu login na outra sessão.

Vamos ver meus arquivos de configuração:

Primeiro: edite /etc/pam.d/common-authpara aplicar a todos os tipos de métodos de login:

auth    requisite       pam_faillock.so preauth audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=1]     pam_unix.so try_first_pass
auth    [default=die]   pam_faillock.so authfail audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=2]     pam_google_authenticator.so nullok echo_verification_code  [authtok_prompt=Enter your OTP:]
auth    sufficient      pam_faillock.so authsucc audit deny=5 fail_interval=120 unlock_time=1800
auth    requisite       pam_deny.so
auth    required        pam_permit.so

Algumas explicações linha por linha:

Use pam_faillock.socom preauthe requisiteverificará o status do usuário. Se o usuário estiver bloqueado, evite a solicitação de senha. Seguido por alguma configuração faillockque você pode verificaraqui.
Use pam_unix.sopara verificar a senha do usuário. [success=1]irá pular a próxima linha se a senha estiver correta. try_first_passpara usar a entrada da primeira etapa.
pam_faillock.sowith authfailregistrará a tentativa fracassada e impedirá que o processo de autenticação prossiga com [default=die]. Se você quiser que o usuário não saiba onde está falhando (senha ou OTP), troque as linhas 3 e 4.
Use pam_google_authenticator.sopara verificar o OTP. Você pode encontrar mais informaçõesaqui. [success=2]irá pular as próximas duas linhas se o OTP estiver correto.
pam_faillock.socom authsuccmark esta tentativa é boa e limpará os registros de tentativas ruins, permitindo ao usuário ir mais longe.
pam_deny.sowith requisitenegará a tentativa de login. Portanto, algumas linhas acima pulam esta linha se a informação estiver correta.
pam_permit.sosimplesmente permita o acesso após todas as verificações acima.

Segundo: Edite /etc/pam.d/common-accounte adicione esta linha no início para usar faillock:

account required        pam_faillock.so

Terceiro: Edite /etc/pam.d/sshdpara conexão SSH. Não mudei nada na configuração padrão, apenas listei aqui para vocês compararem.

@include common-auth
account    required     pam_nologin.so
@include common-account
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_keyinit.so force revoke
@include common-session
session    optional     pam_motd.so  motd=/run/motd.dynamic
session    optional     pam_motd.so noupdate
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
session    required     pam_env.so # [1]
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open
@include common-password

Quarto: Edite /etc/ssh/sshd_configpara configurar a sessão SSH

Include /etc/ssh/sshd_config.d/*.conf
MaxAuthTries 5
MaxSessions 1
PubkeyAuthentication yes
PasswordAuthentication yes
PermitEmptyPasswords no
KbdInteractiveAuthentication yes
UsePAM yes
X11Forwarding yes
PrintMotd no
ClientAliveInterval 60
ClientAliveCountMax 15
AcceptEnv LANG LC_*
Subsystem       sftp    /usr/lib/openssh/sftp-server
AuthenticationMethods publickey,keyboard-interactive

Alguns itens principais:

KbdInteractiveAuthentication= yespara usar keyboard-interactiveo método. ChallengeResponseAuthenticationé um alias obsoleto para isso.
UsePAMdeve ser definido como yespara usar todas as configurações do PAM acima
Em AuthenticationMethods, eu declaro apenas keyboard-interactivea senha e o prompt OTP.

Após editar o sshd_configarquivo, recarregue o sshdserviço para atualizar a nova configuração.

systemctl reload sshd

E assim, posso verificar todos public key + password (of the user) + OTP.

Answer 1