Une authentification à deux facteurs pour SSH - Historique des versions

BeTa : /* Installation & test */

2020-04-30T08:16:19Z

Installation & test

← Version précédente		Version du 30 avril 2020 à 08:16
Ligne 98 :		Ligne 98 :
	Maintenant il est temps de tester :		Maintenant il est temps de tester :

	$ ssh localhost		<nowiki>$ ssh localhost
	Verification code: <code from TOTP app>		Verification code: <code from TOTP app>
	Password: <usual password>		Password: <usual password>
	Welcome to XXXX		Welcome to XXXX</nowiki>

	=== Configuration de pam ===		=== Configuration de pam ===

BeTa : /* Configuration d'OpenSSH */

2020-04-30T08:12:27Z

Configuration d'OpenSSH

← Version précédente		Version du 30 avril 2020 à 08:12
Ligne 122 :		Ligne 122 :
	ChallengeResponseAuthentication yes		ChallengeResponseAuthentication yes
	UsePAM yes		UsePAM yes


	== Généralisation de la solution retenue ==		== Généralisation de la solution retenue ==

BeTa le 30 avril 2020 à 08:11

2020-04-30T08:11:54Z

← Version précédente		Version du 30 avril 2020 à 08:11
Ligne 122 :		Ligne 122 :
	ChallengeResponseAuthentication yes		ChallengeResponseAuthentication yes
	UsePAM yes		UsePAM yes


	== Généralisation de la solution retenue ==		== Généralisation de la solution retenue ==

BeTa : /* Troubleshooting */

2020-04-27T13:10:36Z

Troubleshooting

← Version précédente		Version du 27 avril 2020 à 13:10
Ligne 133 :		Ligne 133 :
	Je conseille alors de positionner sa configuration personnelle .google-authenticator dans /etc/totp/${USER}/.google_authenticator (malheureusement cela se fait manuellement) et de paramétrer pam ainsi :		Je conseille alors de positionner sa configuration personnelle .google-authenticator dans /etc/totp/${USER}/.google_authenticator (malheureusement cela se fait manuellement) et de paramétrer pam ainsi :

	# /etc/pam.d/common-auth		# /etc/pam.d/common-auth

	auth required pam_google_authenticator.so nullok secret=/etc/totp/${USER}/.google_authenticator		auth required pam_google_authenticator.so nullok secret=/etc/totp/${USER}/.google_authenticator

BeTa le 27 avril 2020 à 11:01

2020-04-27T11:01:48Z

← Version précédente		Version du 27 avril 2020 à 11:01
Ligne 126 :		Ligne 126 :

	Il convient ensuite de placer les directives relatives à l'authentification de pam au niveau global, c'est à dire dans le fichier /etc/pam.d/common-auth		Il convient ensuite de placer les directives relatives à l'authentification de pam au niveau global, c'est à dire dans le fichier /etc/pam.d/common-auth

			== Troubleshooting ==

			Si vous utilisez un HOME chiffré (par exemple avec encryptfs), vous serez face à un problème d'ordre récursif : votre configuration google-authenticator se trouve dans votre répertoire HOME qui ne peut être accédé en clair qu'une fois connecté.

			Je conseille alors de positionner sa configuration personnelle .google-authenticator dans /etc/totp/${USER}/.google_authenticator (malheureusement cela se fait manuellement) et de paramétrer pam ainsi :

			# /etc/pam.d/common-auth

			auth required pam_google_authenticator.so nullok secret=/etc/totp/${USER}/.google_authenticator

BeTa le 27 avril 2020 à 10:50

2020-04-27T10:50:27Z

@@ Ligne 1 : / Ligne 1 : @@
 == 1er essai avec [https://www.cl.cam.ac.uk/~mgk25/otpw.html OTPW] ==
@@ Ligne 116 : / Ligne 122 : @@
   ChallengeResponseAuthentication yes
   UsePAM yes

BeTa le 27 avril 2020 à 10:42

2020-04-27T10:42:01Z

@@ Ligne 1 : / Ligne 1 : @@
-sudo apt-get install libpam_oath
+== 1er essai avec [https://www.cl.cam.ac.uk/~mgk25/otpw.html OTPW] ==
-/etc/ssh/sshd_config
+=== Installation & test ===
-/etc/users.oath
+ $ sudo apt-get install libpam-otpw
-HOTP	beta	pw	00
+ $ otpw-gen > otpw.txt
-/etc/pam.d/sshd
+# Saisir un mot de passe ("préfixe")
-# Standard Un*x authentication.
+# Trouver la liste des mots de passe à usage unique dans le fichier otpw.txt
-#@include common-auth
+# Modifier la configuration de pam
-auth requisite pam_oath.so usersfile=/etc/users.oath window=20 digit=6
+# Vérifier la configuration d'OpenSSH

BeTa : Page créée avec « sudo apt-get install libpam_oath /etc/ssh/sshd_config ChallengeResponseAuthentication yes /etc/users.oath HOTP beta pw 00 /etc/pam.d/sshd # Standard Un*x authentication... »

2020-04-24T10:33:56Z

Page créée avec « sudo apt-get install libpam_oath /etc/ssh/sshd_config ChallengeResponseAuthentication yes /etc/users.oath HOTP beta pw 00 /etc/pam.d/sshd # Standard Un*x authentication... »

Nouvelle page

sudo apt-get install libpam_oath

/etc/ssh/sshd_config
ChallengeResponseAuthentication yes

/etc/users.oath
HOTP beta pw 00

/etc/pam.d/sshd
# Standard Un*x authentication.
#@include common-auth
auth requisite pam_oath.so usersfile=/etc/users.oath window=20 digit=6

Une authentification à deux facteurs pour SSH - Historique des versions

BeTa : /* Installation & test */

BeTa : /* Configuration d'OpenSSH */