Autenticação de dois fatores no servidor ssh com autenticação do Google

Question

Eu segui vários guias diferentes sobre como configurar a autenticação de dois fatores no meu servidor ssh usando o autenticador libpam-google do google. Consegui fazê-lo funcionar, mas quando tento fazer login a partir da minha área de trabalho ou de qualquer outro dispositivo pelo ssh, é necessário fornecer minha chave ssh, a senha do usuário e, em seguida, o token do autenticador. Mas no meu arquivo sshd_config eu tenho:

AuthenticationMethods publickey,keyboard-interactive  
ChallengeResponseAuthentication yes  
PasswordAuthentication no   
UsePAM yes

E no meu /etc/pam.d/sshd adicionei

auth required pam_google_authenticator.so

Então, eu acho que não deve pedir senha também. Como posso consertar isso?

    

Answer 1

Comente a linha @include common-auth do seu /etc/pam.d/sshd . Ele pedirá apenas o segundo fator (se configurado!).

    

Answer 2

Basicamente, @Jakuje está certo.

O common-auth contém uma linha com o pam_unix.so. Eu criaria um novo arquivo /etc/pam.d/google_auth e incluiria isso em seu /etc/pam.d/sshd em vez de common-auth. Desta forma você é mais modular.

O google-auth ficaria basicamente assim:

# here are the per-package modules (the "Primary" block)
auth    [success=1 default=ignore]     pam_google_authenticator.so
# here's the fallback if no module succeeds
auth    requisite                       pam_deny.so
# prime the stack with a positive return value if there isn't one    
# this avoids us returning an error just because nothing sets a success code
# since the modules above will each just jump around
auth    required                        pam_permit.so
# and here are more per-package modules (the "Additional" block)
auth    optional                        pam_cap.so
# end of pam-auth-update config

Dessa forma, você pode incluir o google-auth em qualquer serviço que desejar.