Fiche : La double authentification

À retenir

• A2F : deux preuves différentes, par exemple la clé SSH et un code du téléphone.
• Un code TOTP se calcule à partir d'un secret partagé (le QR code) et de l'heure ; il change toutes les 30 secondes.
• google-authenticator se lance en ton nom ; les codes de secours se rangent hors du serveur.
• PAM : auth required pam_google_authenticator.so dans /etc/pam.d/sshd.
• SSH : KbdInteractiveAuthentication yes et AuthenticationMethods publickey,keyboard-interactive (virgule = les deux).

Mémo

sudo apt install libpam-google-authenticator
google-authenticator
echo "auth required pam_google_authenticator.so" | sudo tee -a /etc/pam.d/sshd
echo "KbdInteractiveAuthentication yes" | sudo tee /etc/ssh/sshd_config.d/00-a2f.conf
echo "AuthenticationMethods publickey,keyboard-interactive" | sudo tee -a /etc/ssh/sshd_config.d/00-a2f.conf
sudo sshd -t
sudo systemctl reload ssh

Pièges à éviter

• Un espace au lieu d'une virgule dans AuthenticationMethods : une seule méthode suffit alors.
• Oublier -a à tee sur /etc/pam.d/sshd : tout le fichier PAM est écrasé.
• Une horloge du serveur décalée : tous les codes sont refusés.
• Perdre son téléphone sans avoir gardé les codes de secours.

Revoir la leçon et ses exercices