Двухфакторная Авторизация на Linux сервере

[alexander007]

Как-то сумбурно у Вас получилось. Ни цели, ни толкового описания реализации, ни списка литературы. Не посвященному не понятно о чем тут написано.

[Zelgadis]

Думал сначала расписать " что и зачем", но потом подумал, что на хабре заголовка должно хватить, чтобы понять о чем речь.

[SimWhite]

Здесь несколько подробнее написано.

[artspb]

Спасибо, полезная ссылка.

[Zelgadis]

Опачки, я не знал, что уже кто-то написал, поиском не смог найти. Виноват.

[Sicness]

За информацию плюс, за изложение четкий минус.
Сразу смутило:
> Ставить google-authenticator надо из исходников, мы же не доверяем левым PPA.

Если с PPA брать deb-src, то я бы не стал бы говорить что это плохо.

[Zelgadis]

Опять же, не понятно, что там в PPA. Проще с официального источника взять.

[Sicness]

Ну да, мое утверждение справедливо когда PPA является официальным источником.

[Zelgadis]

Да, это индивидуально для каждого пользователя во время конфигурации задается.

[neoasket]

Zelgadis, не смущает, что пост пестрит «аутентификацией», а в заголовок вынесена «авторизация»?

или nobody cares???

[ivlis]

Ну по ключам же надежнее, чем это.

Фактически rsa-ключ это многофакторная аутентификация, только намного более гибко настраиваемая.

[loginex]

Почему?
если ключ не запаролен, то это все равно, что очень длинный пароль. Получается однофактрорная. Тут же не только ты знаешь информацию на вход на сервер, но и сервер знает как тебя еще проверить можно. Вот тут как раз наибольшая степень безопасности. Если к этому добавить 2048битные rsa ключи, защищенные паролем, то система становится еще надежнее.

[ivlis]

Ну если не запаролен, то получается однофакторая, то есть можно хоть однофакторную, хоть двухфакторную без каких либо настроек со стороны сервера. (Например, у меня ФС зашифрована, зачем ключ то шифровать ещё?). А можно расшифровывать ключ хардварным дефайсом по смарткарте, вот это будет хардкор.

А одновременно гугло-аунтификатор и по ключам вроде как нельзя настроить, так как ключи отключают pam.

Да, предидущий коммент был на высший уровень, промахнулся :(

[loginex]

ключи лучше хранить на токенах

[ivlis]

Кстати, не плохо было бы локальный разблокировщик ключей с гугло-аунтификатором.

[Zelgadis]

У меня это используется на случай если я не имею ключ на руках, а зайти надо.