Как настроить аутентификацию SSH со всеми 3 компонентами: открытым ключом, паролем и OTP

Question

После нескольких попыток и благодаряэта почта, я могу добавить pam_faillock.soв свое решение проверку попыток регистрации и блокировку пользователя при необходимости.

Будь остороженпри редактировании файлов, связанных с аутентификацией, ниже. Всегдасделать резервную копиюфайла первым. Ине забудьте сохранить одну корневую сессию активнойи проверьте свой вход в систему в другом сеансе.

Давайте посмотрим мои файлы конфигурации:

Первый: Отредактируйте /etc/pam.d/common-auth, чтобы применить ко всем видам методов входа в систему:

auth    requisite       pam_faillock.so preauth audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=1]     pam_unix.so try_first_pass
auth    [default=die]   pam_faillock.so authfail audit deny=5 fail_interval=120 unlock_time=1800
auth    [success=2]     pam_google_authenticator.so nullok echo_verification_code  [authtok_prompt=Enter your OTP:]
auth    sufficient      pam_faillock.so authsucc audit deny=5 fail_interval=120 unlock_time=1800
auth    requisite       pam_deny.so
auth    required        pam_permit.so

Некоторые пояснения построчно:

Используйте pam_faillock.soс preauthи requisiteпроверит статус пользователя. Если пользователь заблокирован, то запретите запрос пароля. Далее следует некоторая конфигурация, faillockкоторую вы можете проверитьздесь.
Использовать pam_unix.soдля проверки пароля пользователя. [success=1]пропустит следующую строку, если пароль правильный. try_first_passиспользовать ввод первого шага.
pam_faillock.soс authfailзапишет неудачную попытку и предотвратит дальнейший процесс аутентификации с [default=die]. Если вы хотите, чтобы пользователь не знал, где произошел сбой (пароль или OTP), то поменяйте местами строки 3 и 4.
Используйте pam_google_authenticator.soдля проверки OTP. Вы можете найти больше информацииздесь. [success=2]пропустит следующие две строки, если одноразовый пароль правильный.
pam_faillock.soс authsuccотметкой, что эта попытка является удачной и записи о неудачных попытках будут очищены, что позволит пользователю продвинуться дальше.
pam_deny.soс requisiteотклонит попытку входа. Поэтому некоторые строки выше пропускают эту строку, если информация верна.
pam_permit.soпросто разрешите доступ после всех проверок, указанных выше.

Второй: Отредактируйте /etc/pam.d/common-accountи добавьте эту строку в начало для использования faillock:

account required        pam_faillock.so

Третий: Редактировать /etc/pam.d/sshdдля SSH-подключения. Я ничего не менял в конфигурации по умолчанию, просто перечислил ее здесь, чтобы вы могли сравнить.

@include common-auth
account    required     pam_nologin.so
@include common-account
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so close
session    required     pam_loginuid.so
session    optional     pam_keyinit.so force revoke
@include common-session
session    optional     pam_motd.so  motd=/run/motd.dynamic
session    optional     pam_motd.so noupdate
session    optional     pam_mail.so standard noenv # [1]
session    required     pam_limits.so
session    required     pam_env.so # [1]
session    required     pam_env.so user_readenv=1 envfile=/etc/default/locale
session [success=ok ignore=ignore module_unknown=ignore default=bad]        pam_selinux.so open
@include common-password

Четвертый: Измените /etc/ssh/sshd_config, чтобы настроить сеанс SSH

Include /etc/ssh/sshd_config.d/*.conf
MaxAuthTries 5
MaxSessions 1
PubkeyAuthentication yes
PasswordAuthentication yes
PermitEmptyPasswords no
KbdInteractiveAuthentication yes
UsePAM yes
X11Forwarding yes
PrintMotd no
ClientAliveInterval 60
ClientAliveCountMax 15
AcceptEnv LANG LC_*
Subsystem       sftp    /usr/lib/openssh/sftp-server
AuthenticationMethods publickey,keyboard-interactive

Некоторые ключевые моменты:

KbdInteractiveAuthentication= yesдля использования keyboard-interactiveметода. ChallengeResponseAuthentication— устаревший псевдоним для этого.
UsePAMнеобходимо установить для yesиспользования всех конфигураций PAM, указанных выше
В AuthenticationMethodsя объявляю только keyboard-interactiveдля запроса пароля и одноразового пароля.

После редактирования sshd_configфайла перезагрузите sshdслужбу, чтобы обновить новую конфигурацию.

systemctl reload sshd

И таким образом я могу проверить все public key + password (of the user) + OTP.

Answer 1