搜索

[23915] 2015-05-23_使用一次性密码本通过SSH安全登录Linux

文档创建者：s7ckTeam
浏览次数：29
最后更新：2025-01-18
2015-05-23_使用一次性密码本通过SSH安全登录Linux 使 用 一 次 性 密 码 本 通 过   S S H   安 全 登 录   L i n u x 原 创   b a z z 2   L i n u x 中 国   2 0 1 5 - 0 5 - 2 3 有 人 说 ， 安 全 不 是 一 个 产 品 ， 而 是 一 个 过 程 （ L C T T   注 ： 安 全 公 司   M c A f e e   认 为 ， 安 全 风 险 管 理 是 一 个 方 法 论 ， 而 不 是 安 全 产 品 的 堆 叠 ） 。 虽 然   S S H   协 议 被 设 计 成 使 用 加 密 技 术 来 确 保 安 全 ， 但 如 果 使 用 不 当 ， 别 人 还 是 能 够 破 坏 你 的 系 统 ： 比 如 弱 密 码 、 密 钥 泄 露 、 使 用 过 时 的 S S H   客 户 端 等 ， 都 能 引 发 安 全 问 题 。 在 考 虑   S S H   认 证 方 案 时 ， 大 家 普 遍 认 为 公 钥 认 证 比 密 码 认 证 更 安 全 。 然 而 ， 公 钥 认 证 技 术 并 不 是 为 公 共 环 境 设 置 的 ， 如 果 你 在 一 台 公 用 电 脑 上 使 用 公 钥 认 证 登 录   S S H   服 务 器 ， 你 的 服 务 器 已 经 毫 无 安 全 可 言 了 ， 公 用 的 电 脑 可 能 会 记 录 你 的 公 钥 ， 或 从 你 的 内 存 中 读 取 公 钥 。 如 果 你 不 信 任 本 地 电 脑 ， 那 你 最 好 还 是 使 用 其 他 方 式 登 录 服 务 器 。 现 在 就 是 “ 一 次 性 密 码 （ O T P ） ” 派 上 用 场 的 时 候 了 ， 就 像 名 字 所 示 ， 一 次 性 密 码 只 能 被 使 用 一 次 。 这 种 一 次 性 密 码 非 常 合 适 在 不 安 全 的 环 境 下 发 挥 作 用 ， 就 算 它 被 窃 取 ， 也 无 法 再 次 使 用 。 有 个 生 成 一 次 性 密 码 的 方 法 是 通 过 谷 歌 认 证 器 ， 但 在 本 文 中 ， 我 要 介 绍 的 是 另 一 种   S S H   登 录 方 案 ： O T P W ， 它 是 个 一 次 性 密 码 登 录 的 软 件 包 。 不 像 谷 歌 认 证 ， O T P W   不 需 要 依 赖 任 何 第 三 方 库 。 O T P W   是 什 么 O T P W   由 一 次 性 密 码 生 成 器 和   P A M   认 证 规 则 组 成 。 在   O T P W   中 一 次 性 密 码 由 生 成 器 事 先 生 成 ， 然 后 由 用 户 以 某 种 安 全 的 方 式 获 得 （ 比 如 打 印 到 纸 上 ） 。 另 一 方 面 ， 这 些 密 码 会 通 过   H a s h   加 密 保 存 在   S S H   服 务 器 端 。 当 用 户 使 用 一 次 性 密 码 登 录 系 统 时 ， O T P W   的   P A M   模 块 认 证 这 些 密 码 ， 并 且 保 证 它 们 不 能 再 次 使 用 。 步 骤 1 ： O T P W   的 安 装 和 配 置 在   D e b i a n ,   U b u n t u   或   L i n u x   M i n t   发 行 版 上 使 用   a p t - g e t   安 装 ： 1 .   $   s u d o   a p t - g e t   i n s t a l l   l i b p a m - o t p w   o t p w - b i n
打 开 针 对   S S H   服 务 的   P A M   配 置 文 件 （ / e t c / p a m . d / s s h d ） ， 注 释 掉 下 面 这 行 （ 目 的 是 禁 用   P A M   的 密 码 认 证 功 能 ） ： 添 加 下 面 两 行 （ 用 于 打 开 一 次 性 密 码 认 证 功 能 ） ： 在   F e d o r a   或   C e n t O S / R H E L   发 行 版 上 在 基 于   R e d H a t   的 发 行 版 中 没 有 编 译 好 的   O T P W ， 所 以 我 们 需 要 使 用 源 代 码 来 安 装 它 。 首 先 ， 安 装 编 译 环 境 ： 打 开   M a k e f i l e   文 件 ， 编 辑 以 “ P A M L I B = ” 开 头 的 那 行 配 置 ： 6 4   位 系 统 ： 3 2   位 系 统 ： 1 .   # @ i n c l u d e   c o m m o n - a u t h 1 .   a u t h               r e q u i r e d           p a m _ o t p w . s o 2 .   s e s s i o n         o p t i o n a l           p a m _ o t p w . s o 1 .   $   s u d o   y u m   g i t   g c c   p a m - d e v e l 2 .   $   g i t   c l o n e   h t t p s : / / w w w . c l . c a m . a c . u k / ~ m g k 2 5 / g i t / o t p w 3 .   $   c d   o t p w 1 .   P A M L I B = / u s r / l i b 6 4 / s e c u r i t y 1 .   P A M L I B = / u s r / l i b / s e c u r i t y
编 译 安 装 。 需 要 注 意 的 是 安 装 过 程 会 自 动 重 启   S S H   服 务 一 下 ， 所 以 如 果 你 是 使 用   S S H   连 接 到 服 务 器 ， 做 好 被 断 开 连 接 的 准 备 吧 （ L C T T   译 注 ： 也 许 不 会 被 断 开 连 接 ， 即 便 被 断 开 连 接 ， 请 使 用 原 来 的 方 式 重 新 连 接 即 可 ， 现 在 还 没 有 换 成 一 次 性 口 令 方 式 。 ） 。 现 在 你 需 要 更 新   S E L i n u x   策 略 ， 因 为   / u s r / s b i n / s s h d   会 往 你 的   h o m e   目 录 写 数 据 ， 而   S E L i n u x   默 认 是 不 允 许 这 么 做 的 。 如 果 没 有 使 用   S E L i n u x 服 务 （ L C T T   注 ： 使 用   g e t e n f o r c e   命 令 查 看 结 果 ， 如 果 是   e n f o r c i n g ， 就 是 打 开 了   S E L i n u x   服 务 ） ， 请 跳 过 这 一 步 。 接 下 来 打 开   P A M   配 置 文 件 （ / e t c / p a m . d / s s h d ） ， 注 释 下 面 这 行 （ 为 了 禁 用 密 码 认 证 ） ： 添 加 下 面 两 行 （ 用 于 打 开 一 次 性 密 码 认 证 功 能 ） ： 步 骤 2 ： 配 置   S S H   服 务 器 ， 使 用 一 次 性 密 码 打 开   / e t c / s s h / s s h d _ c o n f i g   文 件 ， 设 置 下 面 三 个 参 数 。 你 要 确 保 下 面 的 参 数 不 会 重 复 存 在 ， 否 则   S S H   服 务 器 可 能 会 出 现 异 常 。 你 还 需 要 禁 用 默 认 的 密 码 认 证 功 能 。 另 外 可 以 选 择 开 启 公 钥 认 证 功 能 ， 那 样 的 话 你 就 可 以 在 没 有 一 次 性 密 码 的 时 候 使 用 公 钥 进 行 认 证 。 重 启   S S H   服 务 器 。 D e b i a n ,   U b u n t u   或   L i n u x   M i n t   发 行 版 ： 1 .   P A M L I B = / u s r / l i b / s e c u r i t y 1 .   $   m a k e 2 .   $   s u d o   m a k e   i n s t a l l 1 .   $   s u d o   g r e p   s s h d   / v a r / l o g / a u d i t / a u d i t . l o g   |   a u d i t 2 a l l o w   - M   m y p o l 2 .   $   s u d o   s e m o d u l e   - i   m y p o l . p p 1 .   # a u t h               s u b s t a c k           p a s s w o r d - a u t h 1 .   a u t h               r e q u i r e d           p a m _ o t p w . s o 2 .   s e s s i o n         o p t i o n a l           p a m _ o t p w . s o 1 .   U s e P r i v i l e g e S e p a r a t i o n   y e s 2 .   C h a l l e n g e R e s p o n s e A u t h e n t i c a t i o n   y e s 3 .   U s e P A M   y e s 1 .   P u b k e y A u t h e n t i c a t i o n   y e s 2 .   P a s s w o r d A u t h e n t i c a t i o n   n o
F e d o r a   或   C e n t O S / R H E L   7   发 行 版 ： （ L C T T   译 注 ： 虽 然 这 里 重 启 了   s s h d   服 务 ， 但 是 你 当 前 的   s s h   连 接 应 该 不 受 影 响 ， 只 是 在 你 完 成 下 述 步 骤 之 前 ， 无 法 按 照 原 有 方 式 建 立 新 的 连 接 了 。 因 此 ， 保 险 起 见 ， 要 么 多 开 一 个   s s h   连 接 ， 避 免 误 退 出 当 前 连 接 ； 要 么 将 重 启   s s h d   服 务 器 步 骤 放 到 步 骤 3 完 成 之 后 。 ） 步 骤 3 ： 使 用   O T P W   产 生 一 次 性 密 码 之 前 提 到 过 ， 你 需 要 事 先 创 建 一 次 性 密 码 ， 并 保 存 起 来 。 使 用   o t p w - g e n   命 令 创 建 密 码 ： 这 个 命 令 会 让 你 输 入 密 码 前 缀 ， 当 你 以 后 登 录 的 时 候 ， 你 需 要 同 时 输 入 这 个 前 缀 以 及 一 次 性 密 码 。 密 码 前 缀 是 另 外 一 层 保 护 ， 就 算 你 的 一 次 性 密 码 表 被 泄 漏 ， 别 人 也 无 法 通 过 暴 力 破 解 你 的   S S H   密 码 。 设 置 好 密 码 前 缀 后 ， 这 个 命 令 会 产 生   2 8 0   个 一 次 性 密 码 （ L C T T   译 注 ： 保 存 到   ~ / . o t p w   下 ） ， 并 将 它 们 导 出 到 一 个 文 本 文 件 中 （ 如 t e m p o r a r y _ p a s s w o r d . t x t ） 。 每 个 密 码 （ 默 认 是   8   个 字 符 ） 由 一 个   3   位 十 进 制 数 索 引 。 你 需 要 将 这 个 密 码 表 打 印 出 来 ， 并 随 身 携 带 。 1 .   $   s u d o   s e r v i c e   s s h   r e s t a r t 1 .   $   s u d o   s y s t e m c t l   r e s t a r t   s s h d 1 .   $   c d   ~ 2 .   $   o t p w - g e n   >   t e m p o r a r y _ p a s s w o r d . t x t
查 看   . / . o t p w   文 件 ， 它 存 放 了 一 次 性 密 码 的   H A S H   值 。 头   3   位 十 进 制 数 与 你 随 身 携 带 的 密 码 表 的 索 引 一 一 对 应 ， 在 你 登 录   S S H   服 务 器 的 时 候 会 被 用 到 。 测 试 一 次 性 密 码 登 录   S S H   服 务 器 使 用 普 通 的 方 式 登 录   S S H   服 务 器 ： 如 果   O T P W   成 功 运 行 ， 你 会 看 到 一 点 与 平 时 登 录 不 同 的 地 方 ： 1 .   $   m o r e   ~ / . o t p w 1 .   O T P W 1 2 .   2 8 0   3   1 2   8 3 .   1 9 1 a i + : E N w m M q w n 4 .   2 1 8 t Y R Z c % P I Y 2 7 a 5 .   2 4 1 v e 8 n s % N s H F m f 6 .   0 5 5 W 4 / Y C a u Q J k r : 7 .   1 0 2 Z n J 4 V W L F r k 5 N 8 .   2 2 7 3 X w w 5 5 h t e J 8 Y 9 .   1 5 0 9 d 4 b 5 = A 6 4 j B T 1 0 .   1 6 8 F W B X Y % z t m 9 j % 1 1 .   0 0 0 r W U S d B Y r % 8 U E 1 2 .   0 3 7 N v y r y z c I + Y R X 1 3 .   1 2 2 r E w A 3 G X v O k = z 1 .   $   s s h   u s e r @ r e m o t e _ h o s t 1 .   P a s s w o r d   1 9 1 :
现 在 打 开 你 的 密 码 表 ， 找 到 索 引 号 为   1 9 1   的 密 码 。 从 上 表 可 知 ， 1 9 1   号 密 码 是 “ f O O + P e i D ” 。 你 需 要 加 上 密 码 前 缀 ， 比 如 你 设 置 的 前 缀 是 “ 0 0 0 ” ， 则 你 实 际 需 要 输 入 的 密 码 是 “ 0 0 0 f O O + P e i D ” 。 成 功 登 录 后 ， 你 这 次 输 入 的 密 码 自 动 失 效 。 查 看   ~ / . o t p w 　 文 件 ， 你 会 发 现 第 一 行 变 成 “ - - - - - - - - - - - - - - - ” ， 这 表 示   1 9 1   号 密 码 失 效 了 。 总 结 在 这 个 教 程 中 ， 我 介 绍 了 如 何 使 用   O T P W   工 具 来 设 置 一 次 性 登 录 密 码 。 你 也 许 意 识 到 了 在 这 种 双 因 子 的 认 证 方 式 中 ， 打 印 一 张 密 码 表 让 人 感 觉 好   l o w ， 但 是 这 种 方 式 是 最 简 单 的 ， 并 且 不 用 依 赖 任 何 第 三 方 软 件 。 无 论 你 用 哪 种 方 式 创 建 一 次 性 密 码 ， 在 你 需 要 在 一 个 不 可 信 任 的 环 境 登 录   S S H   服 务 器 的 时 候 ， 它 们 都 很 有 用 。 你 可 以 就 这 个 主 题 来 分 享 你 的 经 验 和 观 点 。 v i a :   h t t p : / / x m o d u l o . c o m / s e c u r e - s s h - l o g i n - o n e - t i m e - p a s s w o r d s - l i n u x . h t m l 作 者 ： D a n   N a n n i   译 者 ： b a z z 2   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 阅 读 原 文 1 .   0 2 3   k B v p   t q / G     0 7 9   j K E w   / H R M     1 3 5   o W / c   / U e B     1 9 1   f O O +   P e i D     2 4 7   v A n Z   E g U t 1 .   O T P W 1 2 .   2 8 0   3   1 2   8 3 .   - - - - - - - - - - - - - - - 4 .   2 1 8 t Y R Z c % P I Y 2 7 a 5 .   2 4 1 v e 8 n s % N s H F m f 6 .   0 5 5 W 4 / Y C a u Q J k r : 7 .   1 0 2 Z n J 4 V W L F r k 5 N 8 .   2 2 7 3 X w w 5 5 h t e J 8 Y 9 .   1 5 0 9 d 4 b 5 = A 6 4 j B T 1 0 .   1 6 8 F W B X Y % z t m 9 j % 1 1 .   0 0 0 r W U S d B Y r % 8 U E 1 2 .   0 3 7 N v y r y z c I + Y R X 1 3 .   1 2 2 r E w A 3 G X v O k = z

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理