"सिक्योर शेल" SSH होस्ट्स के बीच एक सुरक्षित कनेक्शन स्थापित करने के लिए एक नेटवर्क प्रोटोकॉल है, जो पोर्ट 22 पर मानक है (जो बदलने के लिए बेहतर है)। SSH क्लाइंट और SSH सर्वर अधिकांश ऑपरेटिंग सिस्टम के लिए उपलब्ध हैं। एसएसएच के अंदर लगभग कोई भी अन्य नेटवर्क प्रोटोकॉल काम करता है, अर्थात, आप किसी अन्य कंप्यूटर पर दूरस्थ रूप से काम कर सकते हैं, एक एन्क्रिप्टेड चैनल पर एक ऑडियो स्ट्रीम या वीडियो प्रसारित कर सकते हैं, आदि। इसके अलावा, दूरस्थ होस्ट पर SOCKS प्रॉक्सी के माध्यम से, आप इस दूरस्थ होस्ट की ओर से अन्य होस्ट से कनेक्ट कर सकते हैं।

प्रमाणीकरण एक पासवर्ड के साथ होता है, लेकिन डेवलपर्स और सिस्टम प्रशासक पारंपरिक रूप से SSH कुंजी का उपयोग करते हैं। समस्या यह है कि गुप्त कुंजी चोरी हो सकती है। पासफ़्रेज़ को सैद्धांतिक रूप से जोड़ना एक निजी कुंजी की चोरी से बचाता है, लेकिन व्यवहार में, जब अग्रेषण और कैशिंग कुंजी होती है, तब भी उन्हें पुष्टि के बिना उपयोग किया जा सकता है । दो-कारक प्रमाणीकरण इस समस्या को हल करता है।

दो-कारक प्रमाणीकरण कैसे लागू करें

हनीकॉम्ब डेवलपर्स ने हाल ही में क्लाइंट और सर्वर पर उचित बुनियादी ढांचे को लागू करने के तरीके पर विस्तृत निर्देश प्रकाशित किए हैं।

निर्देश मानता है कि आपके पास एक निश्चित आधार होस्ट है जो इंटरनेट (गढ़) पर खुला है। आप इंटरनेट के माध्यम से लैपटॉप या कंप्यूटर से इस होस्ट से कनेक्ट करना चाहते हैं, और इसके पीछे अन्य सभी उपकरणों तक पहुंच प्राप्त कर सकते हैं। 2FA यह सुनिश्चित करता है कि एक हमलावर भी ऐसा नहीं कर सकता, भले ही वह आपके लैपटॉप तक पहुंच जाए, उदाहरण के लिए, मैलवेयर इंस्टॉल करके।

पहला विकल्प ओटीपी है

ओटीपी - एक बार का डिजिटल पासवर्ड, जो इस मामले में कुंजी के साथ एसएसएच प्रमाणीकरण के लिए उपयोग किया जाएगा। डेवलपर्स लिखते हैं कि यह एक आदर्श विकल्प नहीं है, क्योंकि एक हमलावर एक नकली गढ़ उठा सकता है, आपके ओटीपी को रोक सकता है और इसका उपयोग कर सकता है। लेकिन यह कुछ नहीं से बेहतर है।

इस स्थिति में, सर्वर साइड पर शेफ कॉन्फिग के लिए निम्नलिखित लाइनें लिखी जाती हैं:

• metadata.rb
• attributes/default.rb ( attributes/default.rb से)
• files/sshd
• recipes/default.rb ( recipe.rb से प्रतिलिपि recipe.rb )
• templates/default/users.oath.erb

ग्राहक की ओर से कोई भी OTP एप्लिकेशन इंस्टॉल किया जाता है: Google प्रमाणक, ऑटि, डुओ, लास्टपास, brew install oath-toolkit या apt install oathtool openssl , फिर एक यादृच्छिक बेस 16 स्ट्रिंग (कुंजी) उत्पन्न होता है। इसे बेस 32 प्रारूप में परिवर्तित किया जाता है, जिसका उपयोग मोबाइल प्रमाणीकरणकर्ताओं द्वारा किया जाता है, और सीधे आवेदन में आयात किया जाता है।

नतीजतन, आप गढ़ से जुड़ सकते हैं और सुनिश्चित कर सकते हैं कि अब इसे न केवल पासफ़्रेज़ की आवश्यकता है, बल्कि प्रमाणीकरण के लिए एक ओटीपी कोड भी चाहिए:

 ➜ ssh -A bastion Enter passphrase for key '[snip]': One-time password (OATH) for '[user]': Welcome to Ubuntu 18.04.1 LTS... 

विकल्प दो - हार्डवेयर प्रमाणीकरण

इस मामले में, उपयोगकर्ता को हर बार एक ओटीपी कोड दर्ज करने की आवश्यकता नहीं होती है, क्योंकि दूसरा कारक हार्डवेयर डिवाइस या बायोमेट्रिक्स है।

यहां, शेफ का कॉन्फ़िगरेशन थोड़ा अधिक जटिल है, और क्लाइंट का कॉन्फ़िगरेशन ओएस पर निर्भर करता है। लेकिन सभी चरणों को पूरा करने के बाद, MacOS पर क्लाइंट SSH में एक पासफ़्रेज़ का उपयोग करके और सेंसर (दूसरे कारक) पर एक उंगली लगाकर प्रमाणीकरण की पुष्टि कर सकते हैं।

IOS और Android के मालिक स्मार्टफोन पर एक बटन दबाकर प्रवेश की पुष्टि करते हैं। यह Krypt.co की एक विशेष तकनीक है, जो OTP की तुलना में अधिक सुरक्षित है।

लिनक्स / क्रोमओएस पर, यूबीकेवाई यूएसबी टोकन के साथ काम करने का विकल्प है। बेशक, एक हमलावर आपका टोकन चुरा सकता है, लेकिन वह अभी भी पासफ़्रेज़ नहीं जानता है।

---