Xác thực 2 yếu tố trong SSH bằng khóa chung và PAM

Tôi đang cố gắng thiết lập Xác thực 2 yếu tố. Tôi muốn người dùng đăng nhập thành công nếu:

Khớp công khai / khóa chung (phương thức xác thực: khóa công khai) hoặc mật khẩu là chính xác
Phương pháp xác thực pam của tôi là thành công.

Phương thức xác thực thứ hai là một tệp PAM. Vì vậy, tôi đặt nó vào /usr/lib/pam/và thêm auth required my_pam_module.sovào /etc/pam.d/sshd.
Cho đến nay tôi có thể đăng nhập bằng cách sử dụng (phương thức khóa công khai) hoặc (mật khẩu và bất cứ điều gì được yêu cầu bởi mô-đun pam của tôi). Vì vậy, tôi đã thêm AuthenticationMethods publickey,keyboard-interactivevào /etc/sshd_configvà bây giờ tôi bắt buộc phải có khóa công khai, mật khẩu và "bất cứ điều gì được yêu cầu bởi mô-đun pam".

Những dòng nào tôi cần thay đổi để đạt được những gì tôi mô tả ở trên? Tôi đang sử dụng Mac OS X Mavericks (10.9). Nếu bạn không quen thuộc với Mac, nó cũng có thể giúp những gì bạn làm trên hệ thống Linux của mình.

ssh authentication pam

— Matt3o12
nguồn

Thật dễ dàng cho "publickey-> password-> your_module" hoặc "password-> your_module". Không thể tìm cách xóa mật khẩu khỏi chuỗi đầu tiên

khóa công khai, tương tác bàn phím - có nghĩa là khóa công khai sẽ được sử dụng và tương tác với bàn phím sau đó (loại logic VÀ), thay thế dấu phẩy bằng khoảng trắng cho logic OR, như

Xác thựcMethods khóa công khai, tương tác bàn phím: pam bàn phím tương tác: pam

— Dmitri Sosnik
nguồn

Khi tôi viết keyboard-interactive:pamtrong cấu hình, tôi gặp lỗi này:ssh_exchange_identification: Connection closed by remote host

— Matt3o12

Hãy thử chạy ssh client trong chế độ dài dòng, nó sẽ cung cấp cho bạn thêm thông tin những gì đang xảy ra. Giống như, 'ssh -vvv <tên máy chủ>'

— Dmitri Sosnik

đây là nhật ký dài dòng của ssh: pastebin.com/hXTaCJ6f . Bạn cũng có thể tìm thấy các phần có liên quan của nhật ký máy chủ của tôi bên dưới (những điều gần đây nhất mà sshd đã báo cáo). Tôi có cần thay pam bằng "my_pam_method" không?

— Matt3o12

Chỉ cần tự hỏi, bạn đã thêm "ChallengeResponseAuthentication yes" và "UsePAM yes" vào sshd config chưa?

— Dmitri Sosnik

Nó không được đặt thành có nhưng tôi đã thay đổi, mặc dù không có gì thay đổi (vẫn nhận được cùng một lỗi). Nó đã làm việc cho bạn? Và nếu vậy, OpenSSL bạn đang sử dụng cái gì?

— Matt3o12