SIGN IN YOUR ACCOUNT TO HAVE ACCESS TO DIFFERENT FEATURES

PASSWORT VERGESSEN!

LOGIN-DATEN VERGESSEN?

AAH, WARTET, ICH ERINNERE MICH WIEDER!

OneSystems

OneSystems

System Management aus der Schweiz

+41 (0)44 586 40 18
E-Mail info@onesystems.ch

OneSystems
Untere Grundgasse 3, 9500 Wil, Schweiz

Open in Google Maps
Haben Sie Fragen? +41 (0)44 586 40 18
  • LOGIN
  • No products in cart.
  • Home
  • Dienstleistungen
    • E-Mail
      • Mail Town
        • Angebot
      • E-Mail Gateway
      • Echo E-Mail
      • b1gMail / b1gMailServer
      • b1gMail Plugins
    • Versionsverwaltung
    • Webdesign
  • Blog
  • Hilfe & Support
  • Mein Konto
  • Kontakt
  • Home
  • Blog
  • Linux
  • Debian
  • SSH mit 2-Faktor-Authentifizierung durch Google Authenticator
11. April 2021

SSH mit 2-Faktor-Authentifizierung durch Google Authenticator

SSH mit 2-Faktor-Authentifizierung durch Google Authenticator

von Michael Kleger / Donnerstag, 27 Februar 2014 / Veröffentlicht in Debian, Tipps und Tricks

Mit dem Google Authenticator ist es möglich, der SSH-Einwahl eine zusätzliche Sicherheitsebene hinzuzufügen. Man muss also nicht nur den entsprechenden Benutzer und das Passwort kennen, sondern noch im Besitz eines Gerätes sein – in diesem Fall dem Smartphone.

Hinweise vorab
Die sogenannte “Challenge Response Authentication” die hier verwendet wird, funktioniert im Moment nur in Kombination mit Passwörtern – nicht mit Private Keys.
Die SSH-Einwahl mit der Kombination Google Authenticator + Private Key funktioniert also leider nicht. Das soll wohl erst mit OpenSSH 6.2 möglich sein (habe ich in einem Foren-Beitrag auf code.google.com gelesen).

Smartphone vorbereiten
Für unser Smartphone brauchen wir die App “Google Authenticator”.

Server konfigurieren
Paket zur Erzeugung der QR-Codes installieren:

apt-get install libqrencode3

Das Google Authenticator-Paket für Debian herunterladen. Das gibt es hier:

http://ftp.us.debian.org/debian/pool/main/g/google-authenticator/

Für 64-Bit wäre das also:

wget http://ftp.us.debian.org/debian/pool/main/g/google-authenticator/libpam-google-authenticator_20110413.68230188bdc7-1.1_amd64.deb

…und für die 32-Bit Variante:

wget http://ftp.us.debian.org/debian/pool/main/g/google-authenticator/libpam-google-authenticator_20110413.68230188bdc7-1.1_i386.deb

Google Authenticator installieren:

dpkg -i libpam-google-authenticator_20110413.68230188bdc7-1.1_i386.deb

Nun muss der Google Authenticator auf dem Server eingerichtet werden. Das muss unter dem Account geschehen, mit dem man sich später per SSH einloggen will.

google-authenticator

Nun erhält man einen QR-Code sowie einige Scratch Codes Die Abfragen müssen dann noch entsprechend beantwortet werden. Den Barcode scannt man nun mit dem Smartphone ab, danach landet ein neuer Eintrag in der Google Authenticator-App.

Was für eine Funktion haben die Scratch Codes?
Die Scratch-Codes sind Einmal-Kennwörter die man immer dann verwenden kann, wenn das Smartphone kaputt geht oder man es gerade nicht dabei hat. Sind alle Einmal-Kennwörter verbraucht, kann man sich z.B. wieder eine neue Authenticator-Datei erstellen lassen.
So, weiter geht’s… nun bearbeitet man die Datei /etc/pam.d/sshd und fügt folgende Zeile ein:

auth required pam_google_authenticator.so

Jetzt muss noch die SSH-Konfiguration bearbeitet werden:

vim /etc/ssh/sshd_config

…und die Challenge Response Authentifizierung sowie PAM aktiviert werden:

ChallengeResponseAuthentication yes
UsePAM yes

Am Schluss muss noch der SSH-Dienst neugestartet werden:

/etc/init.d/ssh restart

SSH-Einwahl testen
Beim nächsten Einloggen per SSH wird nun nicht mehr nur nach dem Passwort gefragt, sondern auch nach dem Validation Code. Diese erhält man, indem man am Smartphone einfach die entsprechende App startet.

Ähnliche Beiträge

  • Tweet
Tags SSH

About Michael Kleger

What you can read next

Mac OS X: Paketmanager Homebrew (brew) installieren
„Bootmgr is missing“ bei virtueller Maschine mit Windows Server 20XX
OMD mit ssmtp verwenden

Schreibe einen Kommentar Antworten abbrechen

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

Diese Website verwendet Akismet, um Spam zu reduzieren. Erfahre mehr darüber, wie deine Kommentardaten verarbeitet werden.

Letzten Beiträge

  • Portscan mit der PowerShell

    Test-NetConnection ist nett um einen Port zu üb...
  • Pingen mit der PowerShell

    Mit der PowerShell lässt sich einfach eine IP o...
  • Checkmk Benachrichtigung direkt in Zammad

    Wir haben schon ein paar Artikel erfasst über C...
  • Festplatte einer Virtuellen Maschine verkleinern

    Wie kann man unbenutzten Festplatten Platz eine...
  • Checkmk Benachrichtigung mit automatischer Ticket Erstellung im b1gMail Support System

    Das unserer Meinung nach beste Monitoring Syste...

Neueste Kommentare

  • Portscan mit der PowerShell - OneSystems bei Pingen mit der PowerShell
  • Michael Kleger bei Windows 10 GPO Standardprogramme festlegen
  • Susanne Bethe bei Windows 10 GPO Standardprogramme festlegen
  • sascha bei Eigener CardDAV- und CalDAV Server mit Baikal
  • Michael Kleger bei Eigener CardDAV- und CalDAV Server mit Baikal

Kategorien

  • b1gMail
  • CentOS
  • Debian
  • Linux
  • Mac OSX
  • Microsoft Exchange
  • Microsoft Outlook
  • Mint
  • Monitoring
  • Neuigkeiten
  • PowerShell
  • Sicherheit
  • Tipps und Tricks
  • VMware
  • Webseiten
  • Webserver
  • Windows

Der IT-Dienstleister OneSystems mit Sitz in Wil versteht sich als Full-Service-Dienstleister für die Umsetzung und Betreuung von IT-Infrastrukturen, Internetseiten und individueller Programmierung. Wir betreuen Kunden aus der ganzen Schweiz, Deutschland und Österreich.

Wir legen grossen Wert auf eine technisch einwandfreie Umsetzung nach aktuellen Standards bei nachhaltiger Qualität.

Letzten Blog Posts

  • Portscan mit der PowerShell

  • Pingen mit der PowerShell

  • Checkmk Benachrichtigung direkt in Zammad

Kontakt

+41 (0)44 586 40 18
Email: info@onesystems.ch

OneSystems
Untere Grundgasse 3
9500 Wil
Schweiz

Copyright © 2021 OneSystems, Alle Rechte vorbehalten.
Impressum | AGBs | Kontakt

OBEN