Tengo curiosidad por saber qué sería más seguro, autenticación de clave de pub o autenticación de 2 factores a través de Google Authenticator. Aparentemente no puedo usar ambos. Si tengo autenticación de clave de pub, el módulo Google Auth PAM no me pide un código de verificación. Pero si alguien intenta iniciar sesión con una contraseña normal, lo hace. Por lo que parece que es o-o.
Par de claves públicas. A medida que tenga más control sobre la seguridad exacta que desea, cómo la usa y cómo la almacena.
Dicho esto, la seguridad no existe si no se utiliza o no se puede utilizar. Google Authenticator ha agregado seguridad rápida y sólida para usar casos que anteriormente no tenían ninguno. La molestia de manejar y distribuir sus pares de llaves puede terminar con que usted no los use y simplemente vuelva a las contraseñas de vainilla de un factor.
Depende, ¿qué te preocupa más? ¿Alguien puede robar su clave privada, o alguien puede robar sus semillas TOTP? Eso determinará cuál es más probable que se vea comprometido.
Alternativamente, si su versión de SSHD es lo suficientemente nueva, puede usar la opción AuthenticationMethods en sshd_config para requiere ambos, con algo como publickey,keyboard-interactive:pam . Esto requerirá tanto una clave de publicación funcional como la pila completa de PAM.
Un atacante que observe pasivamente el tráfico no debería poder aprender nada sobre el tráfico TOTP, ya que está encapsulado en la conexión SSH, y la clave pública SSH no es computacionalmente factorizada para las longitudes de clave modernas (ECDSA, o RSA > = 2048).
En la mayoría de los escenarios, Google Authenticator es más seguro.
Las dos técnicas tienen perfiles de riesgo ligeramente diferentes, y depende de cómo estén configurados su teléfono y su computadora portátil. Supongamos que está siguiendo las mejores prácticas de seguridad:
Si sigue todo esto, su mayor riesgo es el malware en la computadora portátil. A pesar de seguir las mejores prácticas, el malware a menudo todavía puede infectar computadoras portátiles. El malware en los teléfonos inteligentes es posible, pero menos común, por lo que su teléfono es más seguro que su computadora portátil. Y es por eso que Google Authenticator es la opción más segura.
La autenticación de clave pública tiene algunas ventajas. Por ejemplo, si se conecta involuntariamente a un servidor malicioso, ese servidor no puede hacerse pasar por usted. Sin embargo, con Google Authenticator, obtienen su código y tienen hasta 30 segundos para iniciar sesión en el servidor real. Pero si siempre verifica la clave pública del servidor, esto no importa.
Depende en gran medida del entorno y de los usuarios con los que esté operando.
¿Una gran organización de TI en la que no se puede esperar que los usuarios finales tomen las precauciones adecuadas con una clave privada? Probablemente sea mejor usar Google Authenticator y las contraseñas.
¿Solo usted y su servidor personal, donde la clave privada nunca deja la casilla en la que se generó, tiene una contraseña segura en la clave y confía en su capacidad para mantener esa casilla segura, parcheada, etc.? La autenticación de clave pública (asegurarse de que desactivas la autenticación de contraseña) es mejor en ese caso.
Necesitará evaluar la situación, el entorno y sus usuarios para tomar una decisión informada sobre lo que va a funcionar para usted o para su organización.
Qué gran pregunta para mostrar la debilidad de los secretos compartidos.
Si tiene menos de un puñado de servidores, el módulo pam del autenticador de Google estará bien. Sin embargo, como se basa en secretos compartidos, cada servidor debe tener su secreto y, por lo tanto, una lista en el token. Si usa el mismo secreto en todos los servidores, corre el riesgo de fallas catastróficas en todos los servidores.
Ambos tienen problemas de seguridad operacional: ¿cómo deshabilitará a los usuarios y administrará las claves? Además, si planea proporcionar una autenticación de dos factores para otros servicios, como una VPN, es probable que ninguno de estos funcione, por lo que terminará teniendo múltiples soluciones de dos factores. Aquí hay una publicación que hice sobre los problemas que una empresa puede tener con google auth para ssh: enlace
Lea otras preguntas en las etiquetas ssh multi-factor