Uwierzytelnianie dwuskładnikowe SSH z Google Authenticator

Dostęp do serwera przez SSH to podstawowe narzędzie administratora, ale jednocześnie jeden z najczęściej atakowanych punktów w infrastrukturze. Silne hasło to za mało - warto wdrożyć dodatkowe zabezpieczenie w postaci uwierzytelniania dwuskładnikowego (2FA). W tym artykule pokażemy, jak skonfigurować logowanie do SSH z użyciem Google Authenticator.

Dlaczego warto dodać 2FA do SSH

Ataki brute-force na SSH są codziennością. Dodanie drugiego składnika logowania powoduje, że nawet jeśli hasło zostanie złamane lub wykradzione, dostęp do serwera pozostaje zablokowany.

zwiększone bezpieczeństwo dostępu do serwera
ochrona przed skutkami wycieku haseł
niski koszt wdrożenia - darmowe narzędzia open-source
zgodność z popularnymi aplikacjami 2FA (Google Authenticator, Authy, FreeOTP)

Instalacja Google Authenticator PAM

Na serwerze Linux (Debian/Ubuntu):

Na CentOS/RHEL:

Konfiguracja użytkownika

Uruchom konfigurator dla konta, które loguje się przez SSH:

Podczas konfiguracji zostaną wygenerowane:
kod QR do zeskanowania w aplikacji 2FA
klucze zapasowe (scratch codes)
pytania o parametry bezpieczeństwa (odświeżanie kodów, rate limiting)

Integracja z PAM

Edytuj plik `/etc/pam.d/sshd` i dodaj linię:

Modyfikacja konfiguracji SSH

Otwórz plik `/etc/ssh/sshd_config` i ustaw:

Następnie zrestartuj usługę SSH:

Test logowania

Przy kolejnym logowaniu SSH zostaniesz zapytany o:
hasło użytkownika
jednorazowy kod z aplikacji Google Authenticator

Najlepsze praktyki

zawsze zachowaj klucze zapasowe (scratch codes) w bezpiecznym miejscu
używaj kluczy SSH + 2FA zamiast samych haseł
przetestuj konfigurację na sesji równoległej (żeby nie zablokować dostępu)
rozważ wdrożenie centralnego systemu zarządzania tożsamością, jeśli masz wielu administratorów

Podsumowanie

Dodanie uwierzytelniania dwuskładnikowego do SSH znacząco podnosi poziom bezpieczeństwa serwera. Konfiguracja z Google Authenticator jest szybka, darmowa i kompatybilna z wieloma aplikacjami mobilnymi. To proste wdrożenie, które realnie ogranicza ryzyko włamania.

Chcesz zwiększyć bezpieczeństwo swoich serwerów i wdrożyć uwierzytelnianie dwuskładnikowe? Skontaktuj się z nami - doradzimy najlepsze rozwiązanie i zajmiemy się konfiguracją.