主页 / server / 问题

问题[two-factor-authentication](server)

Martin Hope
phk
Asked: 2022-01-28 05:27:01 +0800 CST
  • 1

我找到了许多关于如何启用 2FA（TOTP，RFC 6238）的教程，但是还有一种方法可以强制 SSH 用户在第一次登录时对其进行配置吗？（我正在使用 OpenSSH 服务器）

我想我可以创建一个每次运行的脚本并检查.google_authenticator特定用户的 a 是否存在，如果不存在，则运行google-authenticator直到它存在然后编辑/etc/pam.d/sshd（呃-哦），否则运行默认的 shell/命令......但可能有很多不可预见的边缘情况和破坏 SSH 登录的可能性。

因此，在我可能重新发明轮子并且随意地这样做之前，现有的解决方案是否已经存在？

我会假设它确实如此，因为它是面向用户的软件的规范，例如 Gitlab 和 Gsuite，您可以在其中强制用户在下次登录时配置 2FA。

linux ssh pam google-authenticator two-factor-authentication
Martin Hope
Karol
Asked: 2022-01-08 05:14:24 +0800 CST
  • 1

我正在使用 Debian 靶心。我正在尝试设置 SSH 两种类型的登录：

  1. 来自 Google Authenticator 的密码 + 代码（如果用户设置它，“nullok”选项），
  2. 来自 Google Authenticator 的公钥 + 代码（如果用户设置了它，“nullok”选项）。

类型 #1 对我有用。在类型 #2 中，我有来自 GA 的公钥 + 密码（不是公钥密码）+ 代码。我将此行添加到 /etc/ssh/sshd_config

AuthenticationMethods publickey,keyboard-interactive keyboard-interactive

如果提供了密钥，我希望用户不会被提示输入密码。准确地说，如果提供了公钥，如何绕过 pam_unix.so 需求？

有什么办法可以在一台机器上完成我想要的吗？提前致谢。

debian ssh pam google-authenticator two-factor-authentication
Martin Hope
Rich
Asked: 2017-02-28 02:14:01 +0800 CST
  • 1

我控制多个 AWS 账户。我想使用 MFA 进行 root 登录。

我有一个来自 Amazon ( docs )的 Gemalto 硬件密钥卡，为其中一个的根帐户注册了 MFA。

我尝试使用相同的密钥卡将 MFA 添加到第二个帐户，但收到消息“ The token serial number was not found.”。

任何人都可以确认或否认是否可以为多个 AWS 账户重复使用相同的密钥卡用于 MFA？

我无法在亚马逊的文档中找到有关此场景的任何信息，并且错误消息不明确。在我看来，密码学上它应该可以正常工作，因为它是基于时间的令牌，而不是 OTP 链。

amazon-web-services two-factor-authentication