¿Cómo configurar el acceso de dos factores en Fedora Workstaion 29 por SSH?

Se conoce por SSH a un protocolo de comunicación para acceso remoto, de igual manera al programa utilizado para su implementación. Permite la conexión de dos dispositivos, el intercambio de archivos y redirección de sistemas de ventanas para el control de tráfico de un sistema.

La primera versión de SSH es propuesta en 1997 y en 1999 se comienza a escribir la versión más extendida OpenSSH. SSH es en la actualidad de uso común en sistemas Linux por ejemplo la conexión remota a servidores mediante SSH es algo común, pero como todo sistema no es 100% inviolable no infalible, por lo cual en la actualidad los sistemas de autenticación donde el probador y el autenticador establecen una relación de confianza mediante la verificación de usuario y password son complementados con un segundo proceso, con lo cual existen los sistemas de dos factores, donde sumado a la comprobación de la clave existe un segundo paso, donde un generador debe consignar un código (clave) suministrado por una de app generalmente (que trabaja bajo un algoritmo que suministra un password diferente cada intervalo de tiempo, para cada operación de autenticación único para ese proceso) instalado en algún dispositivo del probador usando la clave pública generada por el probador..

El procedimiento de la configuración de la autenticación de dos factores ha sido extraído de un artículo de Fedora Magazine, sin embargo sólo explican el proceso sin mostrar cómo se instala el servidor SSH, en este post aprovecho de colocar estos sencillos pasos, para aquellos que no lo tengan y deseen probarlo. Todo este proceso usando Fedora Workstation 29.

Usando la consola ejecutamos las siguientes instrucciones

sudo dnf -y install openssh-server openssh-clients mediante esta instrucción se instala el servicio de Openssh y el cliente.

service sshd start esta instrucción inicia el servicio de ssh.

service sshd restart de esta forma se reinicia un servicio ya iniciado.

chkconfig --level 235 sshd on se utiliza en caso de querer que el servicio ssh se inicie siempre que el equipo se inicia.

Si se desea modificar la configuración por defecto el archivo de configuración del servicio se ubica en /etc/ssh/sshd_config.

Seguidamente los pasos indicados en el artículo.

sudo dnf install -y google-authenticator

google-authenticator

Se presentan las siguientes preguntas:


Do you want authentication tokens to be time-based (y/n) y
Do you want me to update your "/home/user/.google_authenticator" file (y/n)? y


Respuestas de las preguntas posteriores para la configuración del archivo:


¿Desea rechazar múltiples usos del mismo token de autenticación? Esto lo restringe a un inicio de sesión cada 30 años, pero aumenta sus posibilidades de notar o incluso prevenir ataques de intermediario (y / n) y
De forma predeterminada, los tokens son válidos durante 30 segundos. Para compensar el posible sesgo de tiempo entre el cliente y el servidor, permitimos un token adicional antes y después de la hora actual. Si experimenta problemas con la sincronización de tiempo deficiente, puede aumentar la ventana de su tamaño predeterminado de + -1min (tamaño de ventana de 3) a aproximadamente + -4min (tamaño de ventana de 17 tokens aceptables).
¿Quieres hacerlo? (s / n) n
Si la computadora en la que está iniciando sesión no está protegida contra los intentos de inicio de sesión de fuerza bruta, puede habilitar la limitación de velocidad para el módulo de autenticación. De forma predeterminada, esto limita a los atacantes a no más de 3 intentos de inicio de sesión cada 30 s.
¿Desea habilitar la limitación de velocidad (y / n) y


Es importante guardar la clave entregada por el sistema para programar la app o la captura del código QR. El cual debe resguardarse e lugar seguro.

sudo nano /etc/pam.d/sshd en el artículo el archivo que configuran es el ssh, sin embargo el que se encuentra en la instalación es sshd, puede ser una diferencia de actualización de versión o un error tipográfico.

Comentar la siguiente línea #auth substack password-auth

Agregar la siguiente línea autenticación suficiente pam_google_authenticator.so

sudo vi / etc / ssh / sshd_config editar este archivo de la siguiente forma.

ChallengeResponseAuthentication yes para activar el servicio de autenticación de dos pasos.

PasswordAuthentication no para desactivar el método por defecto.

AuthenticationMethods publickey, contraseña publickey, teclado interactivo agregar al final del archivo, guardar el archivo y salir.

sudo systemctl restart sshd para reiniciar el servicio.

En el artículo de Fedora Magazine utiliza FreeOTP como aplicación para generar el token de tiempo, sin embargo para las pruebas yo utilice Authy Una app que ya tengo instalada para otra actividades y funciona de igual forma.