SSH：二要素認証

現在、Sambaおよび他のいくつかのサービスとともにOpenSSHを実行しているUbuntu Server 12.04があります。現時点では、公開キー認証を設定していますが、2要素認証を設定できるかどうか疑問に思っていますか？現在、Gmailアカウントで使用しているGoogle認証システムを見てきました。

互換性があるように見えるPAMモジュールを見つけましたが、パスワードと生成されたコードの使用を余儀なくされているようです。

Google認証システムアプリケーション（または同様のもの）を公開キーと一緒に使用してSSHサーバーへの認証を行う方法があるかどうか疑問に思っていますか？

Red Hatは、RHEL（およびCentOS）6.3のOpenSSHにパッチを追加して、複数の認証メカニズムを必要としているため、次のようなことができます。

RequiredAuthentications2 publickey,keyboard-interactive

これ以上詳細な情報はリリースノートをご覧ください。

残念ながら、この機能はOpenSSHのアップストリームやUbuntu 12.04にはないようです。そのため、パッチを見つけてOpenSSHを再コンパイルする場合を除き、運が悪いのではないかと心配しています。

Duo Securityを探しています

Google Authenticator PAMモジュールと公開キーの両方を使用できますが、特定の認証に使用されるのは一度に1つだけです。つまり、ユーザーが承認された公開キーでログインする場合、トークンは必要ありません。

または、別の言い方をすると、トークンはパスワード認証にのみ必要であり、SSHキーには必要ありません。

ちなみに、この制限はGoogle AuthenticatorモジュールによるChallengeResponseAuthenticationものではなく、PAMに対して2要素認証（を介して）のみを実装し、有効な公開キーが提供されたときにPAMを呼び出さないSSH によるものです。

この質問は2012年のものです。以来、SSHが変更され、SSH2プロトコルが実装されました。

SSHのより新しいバージョン（6.2以上）で、man sshd_configは次のように述べています：

AuthenticationMethods
       Specifies the authentication methods that must be successfully completed for a user to be
       granted access.  This option must be followed by one or more comma-separated lists of
       authentication method names.  Successful authentication requires completion of every method
       in at least one of these lists.

       For example, an argument of ``publickey,password publickey,keyboard-interactive'' would
       require the user to complete public key authentication, followed by either password or key-
       board interactive authentication.  Only methods that are next in one or more lists are
       offered at each stage, so for this example, it would not be possible to attempt password or
       keyboard-interactive authentication before public key.

       This option is only available for SSH protocol 2 and will yield a fatal error if enabled if
       protocol 1 is also enabled.  Note that each authentication method listed should also be
       explicitly enabled in the configuration.  The default is not to require multiple authentica-
       tion; successful completion of a single authentication method is sufficient.

このページhttp://lwn.net/Articles/544640/では、公開鍵とPAM認証を同時に使用する可能性についても言及しています。

私はこの質問が少し古いことを知っていますが、解決策を探している将来の人々（私自身を含む）のために、sshd_configファイルのForceCommandオプションを使用して認証を実行するスクリプトを実行することの話もあります。スクリプトの例があります、ここではその一例では、彼はsshd_configファイルのForceCommandでシステム全体のそれを作るのではなく、authorized_keysファイルからそれを呼び出しますが、あなたが、あなたのニーズにビットを変更することができます。

YubiKeyを取得し、このガイドに従ってくださいhttp://berrange.com/posts/2011/12/18/multi-factor-ssh-authentication-using-yubikey-and-ssh-public-keys-together/

私の知る限り、これはSSHアクセスのためにサーバーにYubikeyを実装する最良の方法です。上記のガイドでは、公開キー+ yubikeyを使用できますが、公式ガイド（http://code.google.com/p/yubico-pam/wiki/YubikeyAndSSHViaPAM）を使用すると、public- キー。

よろしく、VIP

秘密鍵にパスフレーズを設定した場合、すでに2要素認証があります。ログインするには、次のものが必要です。

1. あなたが持っているもの-あなたの秘密鍵
2. 知っていること-秘密鍵へのパスフレーズ