Proteggere l’accesso SSH tramite l’autenticazione a due fattori

Tempo fa ho parlato dell’autenticazione a due fattori dell’account Google. Il codice di Google Authenticator rilasciato da Big G è Open Source e può essere utilizzato per diverse applicazioni. Per esempio può aggiungere uno strato alla sicurezza dell’accesso SSH con una time based one-time password (TOTP). Il bello è che Google non mette il naso nella vostra connessione: è una faccenda tra il vostro server e il vostro smartphone e chiunque lo può verificare esaminando il codice sorgente.

Come funziona? Una volta inseriti nome utente e password “tradizionali” il server richiede un ulteriore codice di accesso numerico, che va copiato dall’applicazione installata sul telefono e che cambia ogni 30 secondi. In questo modo, anche se la vostra password venisse rivelata, nessun malintenzionato potrebbe accedere al server a meno di non essere in possesso anche del vostro smartphone. Vediamo come fare (distribuzione debian-based).

Cominciamo con l’installare il necessario:

sudo apt-get update

sudo apt-get install libpam-google-authenticator

Accediamo con l’utente per cui vogliamo configurare l’autenticazione a due fattori (è un’impostazione user-based) e impartiamo il comando

google-authenticator

Google Authenticator fornirà una secret key, una serie di codici di emergenza che andranno conservati in un luogo sicuro, e mostrerà un QR-code.

Rispondiamo “y” alla richiesta di aggiornare il file, “y” alla restrizione di un login ogni 30 secondi, “n” alla richiesta di aumentare la finestra di tempo, e “y” a quella di abilitazione di un limite ai tentativi di accesso in un breve intervallo di tempo per arginare gli attacchi brute force.

A questo punto dobbiamo abilitare Google Authenticator per gli accessi SSH: apriamo il file

/etc/pam.d/sshd

e aggiungiamo la linea

auth required pam_google_authenticator.so

Apriamo anche

/etc/ssh/sshd_config

e cerchiamo la linea

ChallengeResponseAuthentication no

modificandola in

ChallengeResponseAuthentication yes

e finalmente facciamo ripartire il servizio in modo che le modifiche vengano recepite:

service ssh restart

Dopo aver scaricato (se non l’avete già) l’app di Google Autenthicator per la vostra piattaforma, potete inserire nel programma la secret key oppure scansionare direttamente il QR-code.

Da questo momento Google Authenticator comincerà a produrre codici di accesso che dovrete consultare e inserire al momento del login al vostro server SSH.

 

Attenzione: ricordatevi di abilitare l’autenticazione a due fattori anche per l’utente che utilizzate di solito per accedere via SSH, quello che ha i privilegi da sudoer, perché da questo momento in poi l’autenticazione è modificata per tutti gli utenti, e se non avete configurato l’utente giusto rischiate di chiudervi fuori.