¿Cuál es la opción más privada para 2FA con OpenSSH?

-2

Cuando veo los registros en mi servidor, siempre hay muchos cientos de direcciones IP con inicios de sesión ssh fallidos.

Debido a que fail2ban solo ralentiza el proceso de ataque, decidí que necesitaba otra solución. Primero con el inicio de sesión basado en claves SSH, pero tuve problemas importantes con herramientas multiplataforma como putty, así que implementé 2FA en mi servidor y funciona.

El problema es que actualmente uso el autenticador de google y tengo grandes preocupaciones de privacidad. ¿Hay alguna otra opción que funcione con openssh-server? Y si es así, cuáles son los más privados / seguros.

    
pregunta Richard R. Matthews 09.03.2018 - 12:46
fuente

1 respuesta

3

La autenticación de clave pública es definitivamente la mejor manera de ir aquí, ya que está muy bien soportada (incluso por PuTTY, por todo lo que insiste en usar su propio formato de clave para hacer que la vida sea una molestia para sus usuarios). Sin embargo, si realmente desea hacer algo basado en la autenticación de contraseña, TOTP en general funciona bien. Este es el algoritmo detrás de Google Authenticator, pero se usa en todo el lugar y de ninguna manera está vinculado a Google. Hay cualquier número de aplicaciones compatibles con "Google Authenticator", para todas las plataformas, incluidas las esotéricas, que no están desarrolladas por Google ni requieren ningún tipo de cuenta de Google ni utilizan ningún servicio de Google.

Dicho esto, dado que usted preguntó sobre la privacidad en particular, tenga en cuenta que los usuarios de autenticación de clave pública SSH generalmente solo tienen una clave pública, que envían a todos los sitios en los que inician sesión. Esa clave puede usarse potencialmente para averiguar en qué otros sitios está el usuario y potencialmente vincularse con la identidad real del usuario. Este puede puede evitarse generando pares de claves únicos para cada host y diciéndole a su cliente qué clave usar para cada host (ya sea en el momento de la conexión en la línea de comandos / API, o automáticamente utilizando un archivo de configuración ).

    
respondido por el CBHacking 10.03.2018 - 03:45
fuente

Lea otras preguntas en las etiquetas