SSH：两因素身份验证

Question

我目前有一个运行 OpenSSH 的 Ubuntu Server 12.04 以及 Samba 和其他一些服务。目前我已经设置了公钥身份验证，我想知道是否可以设置两因素身份验证？我一直在查看目前与我的 Gmail 帐户一起使用的 Google 身份验证器。

我发现了一个看起来兼容的 PAM 模块，但似乎您被迫使用密码和生成的代码。

我想知道是否有一种方法可以使用 Google 身份验证器应用程序（或类似的东西）和我的公钥来对我的 SSH 服务器进行身份验证？

Answer 1

Red Hat 已在 RHEL（以及 CentOS）6.3 中为 OpenSSH 添加了一个补丁，以要求多种身份验证机制，因此您可以执行以下操作：

RequiredAuthentications2 publickey,keyboard-interactive

有关更多详细信息，请参阅发行说明。

不幸的是，此功能似乎不在 OpenSSH 上游或 Ubuntu 12.04 中，因此除非您想找到补丁并重新编译 OpenSSH，否则恐怕您不走运。

Answer 2

您正在寻找Duo Security

Answer 3

您可以同时使用 Google Authenticator PAM 模块和公钥，但一次只能使用一个来进行给定的身份验证。也就是说，如果用户使用授权公钥登录，则不需要令牌。

或者，换一种说法：令牌仅用于密码身份验证，而不是 SSH 密钥。

顺便说一下，此限制并非来自 Google Authenticator 模块，而是来自 SSH，它仅为ChallengeResponseAuthenticationPAM实现两因素身份验证（通过），但在提供有效公钥时不会调用 PAM。