Удостоверителят на Google не изпраща "телефон до дома" на Google - цялата работа се случва на SSH сървъра и телефона ви. В действителност, Google Authenticator е напълно с отворен код, така че можете дори да разгледате изходния код сами.
Инсталирайте Google Удостоверител
За да въведем мултифакторно удостоверяване с Google Удостоверител, ще се нуждаем от PAM модула на Google Authenticator с отворен код. PAM означава "pluggable модул за удостоверяване" - това е начин за лесно включване на различни форми на удостоверяване в система Linux.
Софтуерните хранилища на Ubuntu съдържат лесен за инсталиране пакет за PAM модула на Google Authenticator. Ако дистрибуцията ви за Linux не съдържа пакет за това, ще трябва да го изтеглите от страницата за изтегляне на Google Удостоверител в Google Code и да я компилирате сами.
За да инсталирате пакета на Ubuntu, изпълнете следната команда:
sudo apt-get install libpam-google-authenticator
(Това ще инсталира PAM модула само в нашата система - ще трябва да го активираме ръчно за влизане в SSH).
Създайте ключ за удостоверяване
Влезте като потребител, с когото ще се логнете отдалечено, и стартирайте Google Удостоверител команда за създаване на таен ключ за този потребител.
Разрешете на командата да актуализира файла ви в Google Authenticator, като въведете y. След това ще получите няколко въпроса, които ще ви позволят да ограничите използването на един и същ временни защитен знак, да увеличите прозореца за време, за който могат да бъдат използвани означенията, и да ограничите допустимите опити за достъп, за да възпрепятстват опитите за крекинг на груба сила. Тези решения всички търгуват някои сигурност за някои лекота на използване.
Активирайте Google Удостоверител
След това ще трябва да изисквате Google Authenticator за влизане в SSH. За да направите това, отворете /etc/pam.d/sshd файл на вашата система (например, с sudo nano /etc/pam.d/sshd команда) и добавете следния ред към файла:
auth required pam_google_authenticator.so
След това отворете / И т.н. / SSH / sshd_config файл, намерете ChallengeResponseAuthentication линия и я променете така, както следва:
ChallengeResponseAuthentication yes
(Ако ChallengeResponseAuthentication линията вече не съществува, добавете горния ред към файла.)
И накрая, рестартирайте SSH сървъра, така че вашите промени да влязат в сила:
sudo service ssh restart
