{"id":291,"date":"2020-03-27T18:07:02","date_gmt":"2020-03-27T17:07:02","guid":{"rendered":"http:\/\/www.itgarage.ch\/?p=291"},"modified":"2025-01-24T17:33:09","modified_gmt":"2025-01-24T16:33:09","slug":"linux-shell-2-faktor-authentifizierung","status":"publish","type":"post","link":"http:\/\/www.itgarage.ch\/index.php\/2020\/03\/27\/linux-shell-2-faktor-authentifizierung\/","title":{"rendered":"Linux\/Shell – 2-Faktor Authentifizierung"},"content":{"rendered":"\n

Shell-Zug\u00e4nge f\u00fcr Unix\/Linux-Systeme sind kritisch sofern sie nur<\/em> aus Benutzername und Passwort bestehen. Auch die schl\u00fcsselbasierte Authentification ist keine Sicherheit wenn ein mobiles Ger\u00e4t abhanden kommt. Jeder Unix-SysAdmin weiss um diesen Umstand und ist darob wenig erfreut. Sind die Credentials bekannt, das Passwort geknackt oder der Schl\u00fcssel in falschen H\u00e4nden, stehen dem Eindringling keine H\u00fcrden mehr im Weg, sudo<\/em> sei Dank, das System zu \u00fcbernehmen,
Im Firmennetzwerk mag das kein gr\u00f6sseres Problem darstellen da die Systeme in physischer Sicherheit stehen. Erfolgt aber der Zugriff von aussen, reicht das nicht mehr. Eine einfach umzusetzende Massnahme stellt die 2-Faktor-Authentifizierung (2FA) dar. Wir beziehen ein weiteres Ger\u00e4t, z.B. das Smartphone, mit ein. Die Chance, das alle Ger\u00e4te abhanden kommen und entsperrt werden k\u00f6nnen ist kleiner als nur ein single<\/em> Passwort zu ergattern.<\/p>\n\n\n\n

Google-Authenticator und PAM
<\/h3>\n\n\n\n

Um f\u00fcr login<\/em> und sudo <\/em>2-Faktor-Authentifizierung zu erm\u00f6glichen ist PAM auf unixoiden Systemen zust\u00e4ndig. PAM – Plugable Authentication<\/em> Module<\/em> ist zust\u00e4ndig f\u00fcr die Authentifizierung der Benutzer. Google bietet f\u00fcr PAM eine Bibliothek an, welche eine 2FA durchf\u00fchrt.<\/p>\n\n\n\n

Google-Authenticator installieren
<\/h3>\n\n\n\n

Als erstes installierst du den Google-Authenticator aus dem App-Store f\u00fcr dein Smartphone (iOS oder Android). Du kannst ihn allerdings noch nicht starten.<\/p>\n\n\n\n

PAM-Libraries auf deinem Linux installieren<\/h3>\n\n\n\n
    \n
  1. \u00d6ffne ein Terminal zu dem Unix\/Linux-System welches du absichern willst<\/li>\n\n\n\n
  2. Installiere die PAM-Libraries (z.B. mittes: «sudo apt \u00a0install libpam-google-authenticator»<\/em><\/li>\n\n\n\n
  3. Gib dein sudo-Passwort ein <\/li>\n\n\n\n
  4. Best\u00e4tige die Installation<\/li>\n\n\n\n
  5. Las die Installation beenden<\/li>\n<\/ol>\n\n\n\n

    PAM-Konfiguration<\/h2>\n\n\n\n
    \n

    Achtung:<\/strong> Nach diesem Schritt kannst du nur noch mit einem Code einloggen!<\/p>\n<\/div><\/div>\n\n\n\n

    Plan B!!!<\/h3>\n\n\n\n

    Damit wir uns nicht versehentlich ausschliessen, kommt unser Plan B ins Spiel:<\/p>\n\n\n\n

      \n
    1. Starte eine Screen-Session: «screen<ENTER>»<\/li>\n\n\n\n
    2. Kopiere die Datei «\/etc\/pam.d\/common-auth» nach «\/tmp»
      «cp \/etc\/pam.d\/common-auth \/tmp»<\/li>\n\n\n\n
    3. Wir kreieren nun einen Loop der alle 10 Minuten das gesicherte «\/tmp\/common-auth» wieder nach «\/etc\/pam.d\/» kopiert. Geht etwas schief, k\u00f6nnen wir nach 10 Minuten wieder «normal» einloggen<\/li>\n<\/ol>\n\n\n\n
      screen\ncp \/etc\/pam.d\/common-auth \/tmp\nwhile true ; do cp \/tmp\/common-auth \/etc\/pam.d ; sleep 600 ; done  &<\/pre><\/div>\n\n\n\n
      <\/p>\n\n\n\n
      Geht etwas schief, wird nach 10 Minuten das original «common-auth» nach «\/etc\/pam.d» zur\u00fcckkopiert. Starte dies in einer «screen»-Session!<\/p>\n\n\n\n
      Finde folgende Zeile in der Datei «\/etc\/pam.d\/common-auth»:<\/p>\n\n\n\n
      auth    [success=1 default=ignore]      pam_unix.so nullok_secure<\/pre><\/div>\n\n\n\n
      F\u00fcge die folgende Zeile oberhalb<\/strong> ein:<\/p>\n\n\n\n
      auth required pam_google_authenticator.so<\/pre><\/div>\n\n\n\n
      Achtung:<\/strong> Sobald du diese Datei speicherst, kannst du dich nicht mehr ohne Code einloggen. Es ist dringend geraten, die aktuelle Session zu behalten! Oder 10 Minuten zu warten, dann kommt ja unser Plan B.<\/p>\n\n\n\n
      Barcode und secret Key generieren<\/h2>\n\n\n\n
      rat@bora <~> $ google-authenticator\nDo you want authentication tokens to be time-based (y\/n) y\nWarning: pasting the following URL into your browser exposes the OTP secret to Google:\n  https:\/\/www.google.com\/chart?chs=xx\n<BARCODE>\nYour new secret key is: 236PYE3KISLUZ62USHCNWGE462\n#\nYour verification code is 487956\nYour emergency scratch codes are:\n  80892822\n  95740500\n  41425327\n  15750665\n  88508262\nDo you want me to update your \"\/home\/rat\/.google_authenticator\" file? (y\/n) y\nDo you want to disallow multiple uses of the same authentication\ntoken? This restricts you to one login about every 30s, but it increases\nyour chances to notice or even prevent man-in-the-middle attacks (y\/n) y\nBy default, a new token is generated every 30 seconds by the mobile app.\nIn order to compensate for possible time-skew between the client and the server,\nwe allow an extra token before and after the current time. This allows for a\ntime skew of up to 30 seconds between authentication server and client. If you\nexperience problems with poor time synchronization, you can increase the window\nfrom its default size of 3 permitted codes (one previous code, the current\ncode, the next code) to 17 permitted codes (the 8 previous codes, the current\ncode, and the 8 next codes). This will permit for a time skew of up to 4 minutes\nbetween client and server.\nDo you want to do so? (y\/n) n\nIf the computer that you are logging into isn't hardened against brute-force\nlogin attempts, you can enable rate-limiting for the authentication module.\nBy default, this limits attackers to no more than 3 login attempts every 30s.\nDo you want to enable rate-limiting? (y\/n)\nnIf the computer that you are logging into isn't hardened against brute-force\nlogin attempts, you can enable rate-limiting for the authentication module.\nBy default, this limits attackers to no more than 3 login attempts every 30s.\nDo you want to enable rate-limiting? (y\/n) n\nrat@bora <~> $<\/pre><\/div>\n\n\n\n
      Google-Authenticator einrichten<\/h3>\n\n\n\n
      Starte auf deinem Smartphone die Google-Authenticator-App:<\/p>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      Scanne den Barcode oder trage den Schl\u00fcssel («Your new secrete key is:») manuel ein. Du kannst nun in einem zweiten Terminal probieren auf dein Zielsystem einzuloggen:<\/p>\n\n\n\n
      SSH-Konfiguration<\/h3>\n\n\n\n
      Um die 2FA f\u00fcr SSH zu benutzen, passe die Datei: «\/etc\/pam.d\/sshd» an. F\u00fcge die folgende Zeile am Dateiende dazu:<\/p>\n\n\n\n
      auth required pam_google_authenticator.so nullok<\/pre><\/div>\n\n\n\n
      und passe die Datei «\/etc\/ssh\/sshd_confi<\/em>g» an:

      Anstatt:<\/p>\n\n\n\n
      ChallengeResponseAuthentication no<\/pre><\/div>\n\n\n\n
      setze:<\/p>\n\n\n\n
      ChallengeResponseAuthentication yes<\/pre><\/div>\n\n\n\n
      <\/div>\n\n\n\n
      und starte den SSH-Service neu:<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      sudo systemctl restart sshd.service<\/pre><\/div>\n\n\n\n
      Log-In<\/h3>\n\n\n\n
      <\/div>\n\n\n\n
      Erfahre den Code auf deinem Smartphone:<\/p>\n\n\n\n
      \"\"<\/figure>\n\n\n\n
      Verbinde dich in einem Terminal mit deinem Linux-System:<\/p>\n\n\n\n
      <\/div>\n\n\n\n
      <\/div>\n\n\n\n
      ssh 192.168.1.127\nVerification code:881892\nPassword:<password>\nLast login: Fri Mar 27 16:04:51 2020 from 192.168.1.101\nHave a lot of fun...\nrat@bora:~><\/pre><\/div>\n\n\n\n
      Vergiss nicht Plan B zu beenden!<\/strong><\/p>\n\n\n\n
      Dieser Vorgang ist f\u00fcr jeden berechtigten Benutzer zu wiederholen.<\/p>\n\n\n\n
      Fazit:<\/h2>\n\n\n\n
      Ein kleiner Eingriff, durch den die Sicherheit f\u00fcr Fernzugriffe\/-logins massiv gesteigert werden kann. Die Codes auf der App sind jeweils 30s g\u00fcltig. Nachteil ist, dass Google Authenticator<\/a> oder Authy<\/a> auf dem Smartphone installiert werden m\u00fcssen.<\/p>\n","protected":false},"excerpt":{"rendered":"
      Shell-Zug\u00e4nge f\u00fcr Unix\/Linux-Systeme sind kritisch sofern sie nur aus Benutzername und Passwort bestehen. Auch die schl\u00fcsselbasierte Authentification ist keine Sicherheit…<\/p>\n","protected":false},"author":1,"featured_media":31,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[4,6],"tags":[],"class_list":["post-291","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-oss","category-learning-bits"],"_links":{"self":[{"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/posts\/291","targetHints":{"allow":["GET"]}}],"collection":[{"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/comments?post=291"}],"version-history":[{"count":10,"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/posts\/291\/revisions"}],"predecessor-version":[{"id":398,"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/posts\/291\/revisions\/398"}],"wp:featuredmedia":[{"embeddable":true,"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/media\/31"}],"wp:attachment":[{"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/media?parent=291"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/categories?post=291"},{"taxonomy":"post_tag","embeddable":true,"href":"http:\/\/www.itgarage.ch\/index.php\/wp-json\/wp\/v2\/tags?post=291"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}