Situatie
Dorim securizarea PC-ului cu inca o metoda de autentificare in caz ca cineva ne afla parola.
Ne vom folosi de Google Authenticator.
Backup
E recomandat sa avem in vedere urmatoarele lucruri inainte de a incepe:
-acces fizic la masina
Solutie
Pasi de urmat
Pentru a ne putea folosi de Google Authenticator, intai trebuie sa-l instalam.
Comanda cu care instalam utilitarul in Ubuntu este urmatoarea:
sudo apt-get install libpam-google-authenticator
Se ruleaza comanda
google-authenticator
Se porneste utilitarul de configurare care ne va intreba cateva lucruri. Daca doriti sa treceti repede peste configurare, puteti raspunde cu “Y” la intrebari.
In fereastra apare un cod QR ce va trebui scanat cu telefonul. Pe telefon trebuie sa avem instalata aplicatia “Google Authenticator”
Dupa scanare se va adauga automat in lista de pinuri hostul pentru care am facut configurarea.
Urmeaza setarea functiei de login pentru a se folosi de noua metoda de autentificare.
In functie de unde dorim sa folosim autentificarea dubla (SSH, sudo, login-ul din TTY, login-ul din Lightdm), editam in /etc/pam.d/ fisierul corespunzator.
Eu am ales ca atunci cand folosesc sudo sa fiu intrebat si de parola, si de PIN-ul de la Google Authenticator, deci am editat fisierul sshd din /etc/pam.d/ si am adaugat linia
auth required pam_google_authenticator.so
Aceasta linie se adauga la sfarsitul fisierului, imediat dupa ultima linie, pentru toate tipurile de login pentru care dorim autentificare dubla. Daca dorim pentru LockScreen(Lightdm) se editeaza fisierul “lightdm”, etc.
Salvam fisierul si facem un test:
Parola si codul tastat sunt ascunse. Nu vom vedea ce tastam, dar dupa ce apasam tasta enter, daca am setat totul corect ar trebui sa ne autentificam ca root (in urma rularii comenzii “sudo su”)
De asemenea, putem folosi doar codul de verificare, fara a mai necesita introducerea parolei. Pentru asta, trebuie sa comentam linia @include common-auth, linie existenta in toate fisierele din /etc/pam.d/
Sau putem schimba ordinea in care introducem parola si codul. Pentru a introduce intai codul de autentificare, apoi parola, punem linia auth required pam_google_authenticator.so
Tip solutie
PermanentImpact colateral
Atentie la:- crearea unui backup pentru codurile de rezerva, si cheia secreta.
Plan de restaurare in caz de nefunctionare
Daca ceva merge prost, si nu ne mai putem autentifica(pierdem codurile de rezerva, stergem din greseala aplicatia de pe telefon):
-pe linia de boot a kernelului, dupa numele kernelului punem rw init=/bin/sh pentru a ne autentifica direct ca root, fara sa fie nevoie de parola
-editam fisiere in care am adaugat linia auth required pam_google_authenticator.so si o stergem sau o comentam.
-rulam comanda sync si dam reboot.
Leave A Comment?