Qiuyuair的自留地
·
基于TOTP算法进行服务器双因素SSH登录的安全指南
💡
原文中文，约8200字，阅读约需20分钟。
📝
内容提要
谷歌身份验证器使用基于时间的一次性密码（TOTP）算法与SSH密码或公钥结合，实现二阶段验证，增强SSH登录安全性。双因素认证通过密码和手机等两种因素验证身份。TOTP利用预共享密钥和当前时间生成一次性密码，确保安全性。配置SSH时需安装PAM并修改相关配置文件以启用双因素认证。
🎯
关键要点
- 谷歌身份验证器使用基于时间的一次性密码（TOTP）算法与SSH密码或公钥结合，实现二阶段验证，增强SSH登录安全性。
- 双因素认证通过密码和手机等两种因素验证身份，提升身份验证的可靠性。
- TOTP算法利用预共享密钥和当前时间生成一次性密码，确保安全性。
- 配置SSH时需安装PAM并修改相关配置文件以启用双因素认证。
- 用户在服务端配置双因素认证，生成预共享密钥并保存至手机。
- 用户登录时，手机客户端生成一次性密码并提交给服务器进行验证。
- SSH配置包括安装Google PAM、编辑sshd配置文件以支持MFA认证。
- 紧急安全码用于在身份验证器不可用时登录，需妥善保存。
- 若失去对TOTP APP的访问，可使用紧急安全码登录服务器。
- 丢失SSH密钥或TOTP密钥时，可通过其他用户或控制台登录并重新生成密钥。
- 双因素认证虽然提高了安全性，但也增加了登录步骤，可能导致用户不便。
❓
延伸问答
什么是TOTP算法，它是如何工作的？
TOTP算法是一种根据预共享密钥和当前时间生成一次性密码的算法，确保身份验证的安全性。
如何配置SSH以启用双因素认证？
需要安装PAM，修改相关配置文件，并生成预共享密钥以启用双因素认证。
双因素认证的优势是什么？
双因素认证通过结合密码和手机等两种因素，提升身份验证的可靠性，增强安全性。
如果丢失了TOTP应用程序，如何登录服务器？
可以使用在创建时生成的紧急安全码登录服务器，紧急安全码仅可使用一次。
TOTP的有效期是多久？
TOTP的默认有效期为30秒，用户需要在此时间内提交一次性密码。
双因素认证是否会影响用户体验？
是的，双因素认证增加了登录步骤，可能导致用户感到不便。
➡️
