Comment puis-je utiliser un générateur de codes d'accès pour l'authentification des connexions à distance ?

L'un des moyens d'y parvenir est un outil fourni par Google appelé Google Authenticator .

1. Installer libpam-google-authenticator

   • ou simplement sudo apt-get install libpam-google-authenticator

2. Modifier /etc/pam.d/sshd pour inclure le module :

   • sudoedit /etc/pam.d/sshd

   • puis inclure cette ligne à la haut du dossier et sauvegarder :

     auth required pam_google_authenticator.so

3. Modifiez votre fichier de configuration SSH pour activer le défi :

   • sudoedit /etc/ssh/sshd_config et ensuite changer l'authentification de la réponse de :

     ChallengeResponseAuthentication no 

     a

     ChallengeResponseAuthentication yes

     puis enregistrez le fichier.

4. sudo restart ssh pour redémarrer SSH

5. Exécuter google-authenticator

   • Vous obtiendrez ainsi votre clé secrète, votre code de vérification et vos codes à gratter d'urgence. Il vous posera également quelques questions sur la limitation du taux.

Applications mobiles :

Vous aurez besoin de l'un d'entre eux pour recevoir le code d'authentification sur un autre appareil.

• Application Android
• Application iPhone

Relié et utile :

• La plupart de cette réponse est dérivée de ce blogpost par Jean-Francois Theroux mais mis à jour.
• Wiki Google Authenticator
• http://guides.webbynode.com/articles/security/ubuntu-google-authenticator.html
• http://www.mnxsolutions.com/security/two-factor-ssh-with-google-authenticator.html
• Je crois savoir que si vous utilisez des connexions sans mot de passe via des clés SSH, vous ne pouvez faire que l'un ou l'autre, voir cette question : Comment puis-je configurer une connexion SSH sans mot de passe ?
• Et si vous utilisez Puppet, il y a un module Puppet ici : https://github.com/camptocamp/Puppet-googleauthenticator
• Voir la réponse de Maarten et le lien vers le problème github pour savoir pourquoi vous devez ajouter la ligne .so en haut de votre configuration pam : https://askubuntu.com/a/668398

Notez que la combinaison d'un mot de passe et de codes à usage unique constitue une authentification à deux facteurs : elle combine "ce que vous savez" (un mot de passe) avec "ce que vous avez" (le dispositif générateur de codes). D'autre part, si vous combinez des codes de passe à usage unique avec une paire de clés SSH, il s'agit de "ce que vous avez". Lorsque deux facteurs d'authentification sont du même type, vous n'avez pas d'authentification à deux facteurs ; on parle parfois d'"authentification à un et demi-facteur".