如何使用雙因素身份驗證保護linux-ubuntu

想要在Linux登入上增加一層安全性嗎？多虧了googleauthenticator，可以為Ubuntu PC（和其他Linux作業系統）新增雙因素身份驗證。...

惡意黑客和信息安全專業人員之間的戰爭持續不斷。根據美國勞工統計局（Bureau of Labor Statistics）的一項研究，信息安全領域的就業崗位預計增長率遠遠高於所有其他行業。作為無辜的旁觀者，我們可以採取一些措施來阻止壞人。

雙因素認證（2FA）已經存在了一段時間。它要求使用兩種身份驗證方法來驗證用戶的身份。這通常包括常規用戶名和密碼，以及通過短信發送到移動設備的驗證碼。這意味著，即使你的密碼被洩露（如何使你的密碼更強大），惡作劇的黑客將需要訪問你的移動設備，以獲得完全訪問你的帳戶。

有報道稱，一些下流的人假扮成移動運營商，聲稱“放錯了”他們的SIM卡，以便獲得受害者的**號碼。這仍然證明有改進的空間，但是2FA也超出了文本消息驗證的範圍。本指南將有助於在Ubuntu服務器和桌面風格上設置增強的安全性，並與googleauthenticator一起實現雙因素身份驗證。

考慮事項和先決條件

設置此設置意味著系統的所有用戶在以下情況下都需要來自Google Authenticator的驗證代碼：

登錄系統
運行sudo命令

雖然這裡的取捨是時間，但增加的安全層可能是至關重要的。尤其是在存放敏感數據的機器上。本指南將利用：

Ubuntu 16.04（桌面或服務器）
Google Authenticator應用程序（來自Google Play Store或Apple App Store）

安裝google驗證器

正如我們已經討論過的，我們將使用googleauthenticator作為第二道防線來防止不必要的訪問。讓我們先把方程的移動部分做完。安裝步驟與安裝任何其他應用程序完全相同。下面的安裝步驟是針對googleplay商店的，但在Apple應用商店中應該沒有區別。

打開Android設備上的Google Play Store，然後搜索Google authenticator。找到並點擊正確的條目，注意它是由Google Inc.發佈的。然後單擊Install，並在提示時接受，然後等待安裝完成。

接下來，在桌面或服務器上啟動終端會話。

運行以下命令：

sudo apt-get install libpam-google-authenticator

出現提示時，輸入密碼並按enter鍵。如果出現提示，請鍵入Y並再次按Enter，然後坐下來讓安裝完成

配置

現在您需要編輯一個文件，以便向您寶貴的Linux框添加兩步身份驗證。運行以下命令：

sudo nano /etc/pam.d/common-auth

在不遠處找一行，上面寫著：

auth [success=1 default=ignore] pam_unix.so nullok_secure

在該行正上方，添加以下內容：

auth required pam_google_authenticator.so

您的文件應如下所示：

按Ctrl+X，然後按Y保存並關閉文件。

設置每個用戶

下一步將最終將您的帳戶鏈接到Google驗證器。對於登錄到系統的所有用戶，需要運行此步驟。我們的示例只有一個用戶makeuseof。但是，對於系統上的任何其他用戶，步驟都是相同的。

在終端中運行以下命令：

google-authenticator

仔細看一下我們發現：

二維碼
驗證碼
新密鑰
5緊急劃痕代碼

QR碼和密鑰的功能基本相同。我們馬上就回來。驗證碼是一次性使用的代碼，如果需要，您可以立即使用。scratch代碼是一次性使用的代碼，可以在您手邊沒有移動設備的情況下使用。你可以把它們打印出來，儲存在熱核鎖和鑰匙下，或者乾脆忽略它們。最終這將取決於你有多容易忘記或丟失你的移動設備。

你還會被問到一系列問題。默認值已經足夠了，您可以對所有值都回答Y。但是，您可以根據需要隨意更改這些。暫時不要關閉窗口或終端會話。

設置移動應用程序

在繼續訪問其他用戶之前，讓我們先完成您當前登錄的用戶。

如果這是第一次在移動設備上啟動googleauthenticator，請單擊Begin。或者，從主窗口單擊下角的加號圖標。如果終端窗口上的分辨率足夠好，可以看到二維碼，請選擇“掃描條形碼”，如果移動設備攝像頭類似於土豆，請輸入提供的密鑰。如果您選擇輸入一個密鑰，您現在需要輸入一個帳戶名，以幫助您記住這與哪個帳戶有關。然後輸入終端窗口中提供的驗證密鑰。現在按“添加”。

掃描條形碼將同時執行這三個步驟。瞧！您的移動設備和系統現在有了一個附加的保護層。惡意個人訪問您系統的唯一可能方式是破解您的密碼並訪問您配置的移動設備。

最後步驟和測試

您可能有多人使用此特定系統。在我們的示例中，slaghoople是一個附加用戶。在終端會話中運行以下命令：

sudo su slaghoople

打開移動設備上的Google Authenticator應用程序。鍵入應用程序在終端窗口中提供的六位身份驗證碼。輸入sudo密碼並按回車鍵。你現在應該登錄了。作為新用戶，發出以下命令：

google-authenticator

現在，您只需執行與我們對上述第一個用戶所做的完全相同的步驟。回答完問題後，打開你的Google Authenticator移動應用程序。添加其他帳戶。輸入slaghoople作為帳戶名，以幫助您在移動設備上區分兩者。選擇掃描條形碼或鍵入驗證密鑰。Slaghoople現在將需要來自移動應用程序的代碼以及她的sudo密碼來登錄和發佈提升的命令。對其他用戶進行沖洗和重複。一旦你的所有用戶都設置好了，你會注意到試圖登錄或運行sudo命令需要一個驗證碼。