Google Authenticator tidak "menelepon pulang" ke Google - semua pekerjaan terjadi di server SSH Anda dan ponsel Anda. Faktanya, Google Authenticator benar-benar open-source, jadi Anda bahkan dapat memeriksa sendiri kode sumbernya.
Pasang Google Authenticator
Untuk menerapkan autentikasi multifaktor dengan Google Authenticator, kita memerlukan modul PAM Google Authenticator sumber terbuka. PAM adalah singkatan dari "modul otentikasi yang dapat dilampirkan" - ini adalah cara untuk dengan mudah memasang berbagai bentuk otentikasi ke dalam sistem Linux.
Repositori perangkat lunak Ubuntu berisi paket yang mudah dipasang untuk modul PAM Google Authenticator. Jika distribusi Linux Anda tidak berisi paket untuk ini, Anda harus mengunduhnya dari halaman unduhan Google Authenticator di Google Code dan kompilasi sendiri.
Untuk menginstal paket di Ubuntu, jalankan perintah berikut:
sudo apt-get install libpam-google-authenticator
(Ini hanya akan menginstal modul PAM pada sistem kami - kami harus mengaktifkannya untuk login SSH secara manual.)
Buat Kunci Autentikasi
Masuk sebagai pengguna yang akan Anda masuki dengan jarak jauh dan jalankan google-authenticator perintah untuk membuat kunci rahasia untuk pengguna itu.
Izinkan perintah untuk memperbarui file Google Authenticator Anda dengan mengetik y. Anda kemudian akan diminta dengan beberapa pertanyaan yang akan memungkinkan Anda untuk membatasi penggunaan token keamanan sementara yang sama, meningkatkan jendela waktu yang dapat digunakan token, dan membatasi upaya akses yang diizinkan untuk menghambat upaya retas brute-force. Pilihan ini semua memperdagangkan beberapa keamanan untuk beberapa kemudahan penggunaan.
Aktifkan Google Authenticator
Selanjutnya Anda harus mewajibkan Google Authenticator untuk login SSH. Untuk melakukannya, buka /etc/pam.d/sshd file di sistem Anda (misalnya, dengan sudo nano /etc/pam.d/sshd perintah) dan tambahkan baris berikut ke file:
auth required pam_google_authenticator.so
Selanjutnya, buka / etc / ssh / sshd_config file, cari ChallengeResponseAuthentication garis, dan mengubahnya untuk dibaca sebagai berikut:
ChallengeResponseAuthentication yes
(Jika ChallengeResponseAuthentication garis belum ada, tambahkan baris di atas ke file.)
Akhirnya, restart server SSH sehingga perubahan Anda akan berlaku:
sudo service ssh restart
