Настройка двухфакторной аутентификации на сервере CentOS
В статье описывается настройка сервера CentOS для включения двухфакторной аутентификации с одноразовым кодом доступа (OTP) или PUSH уведомлением при подключении через ssh терминал.
Как правило, для подключения к терминалу используется приватный ключ, сохраненный на клиенте, без ввода пароля, потому что никто не любит вводить пароли. Такая конфигурация реализует только один фактор проверки подлинности и уязвима настолько, насколько надежно хранится ключ на клиентском устройстве. Кроме того, ключи часто пересылаются по незащищенным каналам связи, лежат в сетевых или облачных папках, что совсем не добавляет защиты.
Использование второго фактора на 99% сокращает риск неправомерного доступа и совершенно не усложняет процесс подключения для пользователей.
Возможные способы аутентификации:
Мобильное приложение MultiFactor
СМС
Аппаратные OTP токены
Приложения OTP: Google Authenticator или Яндекс.Ключ
Telegram
Принцип работы
- SSHD использует модуль PAM_RADIUS для второго фактора проверки подлинности
- Модуль подключается через RADIUS протокол к сервису Мультифактор
- Мультифактор отправляет одноразовый пароль или PUSH уведомление пользователю для подтверждения доступа
- Пользователь вводит одноразовый пароль или подтверждает PUSH и подключается к терминалу
Перед началом работы
Не закрывайте текущую ssh сессию, пока не убедитесь, что все работает.
Настройка Мультифактора
Зайдите в систему управления Мультифактором, далее в раздел "Ресурсы" и создайте новый Linux сервер. После создания вам будут доступны два параметра: NAS Identifier и Shared Secret, они потребуются для последующих шагов.
Установка и настройка модуля PAM_RADIUS
- CentOS
- Debian
- Astra Linux Орёл
$ sudo yum -y install epel-release
$ sudo yum -y install pam_radius
$ sudo apt update
$ sudo apt install libpam-radius-auth
$ sudo apt install debian-archive-keyring dirmngr
$ echo deb https://mirror.yandex.ru/debian/ stretch main contrib non-free | sudo tee -a /etc/apt/sources.list
$ sudo apt update
$ sudo apt install libpam-radius-auth
Далее создайте файл конфигурации
$ sudo vi /etc/pam_radius_ssh.conf
Впишите в него настройки RADIUS сервера Мультифактора, сохраните и закройте редактор (:x)
radius.multifactor.ru SHARED_SECRET 40
где:
- radius.multifactor.ru: адрес сервера
- SHARED_SECRET: скопируйте из соответствующего параметра настроек Linux ресурса Мультифактор
- 40: таймаут ожидания запроса с запасом
В файле хранится секретный ключ, поэтому установите на него права доступа на чтение только пользователю root
$ sudo chmod 0600 /etc/pam_radius_ssh.conf
Настройка PAM модулей ssh
Откройте для редактирования файл /etc/pam.d/sshd
$ sudo vi /etc/pam.d/sshd
В файле закомментируйте строку auth substack password-auth и добавьте в конец следующую настройку:
auth required pam_radius_auth.so skip_passwd client_id=NAS_Identifier conf=/etc/pam_radius_ssh.conf
где
- NAS_Identifier: скопируйте из соответствующего параметра настроек Linux ресурса Мультифактор.
Сохраните и закройте файл (:x). В итоге он должен выглядеть подобным образом:
#%PAM-1.0
auth required pam_sepermit.so
#auth substack password-auth
auth include postlogin
# Used with polkit to reauthorize users in remote sessions
-auth optional pam_reauthorize.so prepare
account required pam_nologin.so
account include password-auth
password include password-auth
# pam_selinux.so close should be the first session rule
session required pam_selinux.so close
session required pam_loginuid.so
# pam_selinux.so open should only be followed by sessions to be executed in the user context
session required pam_selinux.so open env_params
session required pam_namespace.so
session optional pam_keyinit.so force revoke
session include password-auth
session include postlogin
# Used with polkit to reauthorize users in remote sessions
-session optional pam_reauthorize.so prepare
auth required pam_radius_auth.so skip_passwd client_id=rs_760d86a9b5b7f7607d11735e67757 conf=/etc/pam_radius_ssh.conf
Настройка службы SSHD
Отредактируйте файл /etc/ssh/sshd_config
$ sudo vi /etc/ssh/sshd_config
- Включите PAM интерфейс
ChallengeResponseAuthentication yes
- Добавьте способы аутентификации
AuthenticationMethods publickey,keyboard-interactive:pam
Сохраните файл (:x) и перезапустите ssh демона
$ sudo systemctl restart sshd
Проверка
Не закрывая текущую сессию, подключите новую.
Если выбран способ подтверждения с одноразовым паролем, он будет запрошен от пользователя в терминале:
Если выбран Telegram, то бот пришлет сообщение с запросом подтверждения доступа:
Одна кнопка разрешает доступ, вторая блокирует.
Если что-то не работает
Последовательно проверьте, что вы ничего не упустили:
- На сервере с Linux есть пользователь с заданным логином
- С сервера открыт доступ по UDP порту 1812 на адрес radius.multifactor.ru
- Параметры Client ID и Shared Secret указаны корректно
- Пользователь настроил способ аутентификации
- Проверьте журнал "Запросы доступа" в личном кабинете Мультифактора.
Если ничего не сработало, обращайтесь, поможем.
Смотрите также: