Comment sécuriser Linux Ubuntu avec une authentification à deux facteurs

La guerre toujours présente entre les pirates informatiques malveillants et les professionnels de la sécurité de l’information se poursuit. Selon un étude réalisée par le Bureau of Labor Statistics, le taux de croissance prévu pour les emplois dans le domaine de la sécurité de l’information est beaucoup plus élevé que dans toutes les autres professions. En tant que spectateurs innocents, nous pouvons prendre quelques mesures pour décourager les méchants.

L’authentification à deux facteurs (2FA) existe depuis un certain temps maintenant. Il nécessite que deux méthodes d’authentification soient utilisées afin de vérifier l’identité d’un utilisateur. Il s’agit généralement du nom d’utilisateur et du mot de passe habituels, ainsi que d’un code de vérification envoyé à votre appareil mobile par SMS. Cela signifie que même si votre mot de passe a été compromis (comment renforcer vos mots de passe), le pirate espiègle devra avoir accès à votre appareil mobile afin d’avoir un accès complet à votre compte.

Il a été signalé que des individus méchants se faisaient passer pour des opérateurs de téléphonie mobile et affirmaient avoir « égaré » leurs cartes SIM afin d’avoir accès au numéro de téléphone mobile d’une victime. Cela prouve qu’il y a encore place à amélioration, mais 2FA s’étend également au-delà d’une vérification par SMS. Ce guide vous aidera à configurer une sécurité améliorée sur le serveur Ubuntu et les versions de bureau, en conjonction avec Google Authenticator pour une authentification à deux facteurs.

Considérations et conditions préalables

Cette configuration signifie que tous les utilisateurs du système auront besoin du code de vérification de Google Authenticator lorsque:

• Se connecter au système
• Exécution des commandes sudo

Bien que le compromis soit le moment, la couche de sécurité supplémentaire peut être vitale. Surtout sur les machines qui hébergent des données sensibles. Ce guide utilisera:

• Ubuntu 16.04 (bureau ou serveur)
• Application Google Authenticator (depuis le Google Play Store ou l’App Store d’Apple)

Installez Google Authenticator

Comme nous l’avons vu, nous utiliserons Google Authenticator comme deuxième ligne de défense contre les accès non autorisés. Commençons par effectuer la partie mobile de l’équation. Les étapes d’installation sont exactement comme l’installation de toute autre application. Les étapes d’installation ci-dessous concernent le Google Play Store, mais elles ne devraient pas différer dans l’App Store d’Apple.

Ouvrez le Google Play Store sur votre appareil Android et recherchez authentificateur google. Recherchez et appuyez sur l’entrée correcte, en veillant à ce qu’elle soit publiée par Google Inc. Ensuite, appuyez sur Installer, et J’accepte lorsque vous y êtes invité, et attendez la fin de l’installation.

Ensuite, lancez une session de terminal sur votre bureau ou serveur.

Exécutez la commande suivante:

sudo apt-get install libpam-google-authenticator

Lorsque vous y êtes invité, entrez votre mot de passe et appuyez sur Entrer. Si vous y êtes invité, tapez Oui et frapper Entrer à nouveau, puis asseyez-vous et laissez l’installation terminée

Configuration

Vous devrez maintenant modifier un fichier pour ajouter une authentification en deux étapes à votre précieuse boîte Linux. Exécutez la commande suivante:

sudo nano /etc/pam.d/common-auth

Pas loin, recherchez la ligne qui se lit comme suit:

auth [success=1 default=ignore] pam_unix.so nullok_secure

Directement au-dessus de cette ligne, ajoutez ce qui suit:

auth required pam_google_authenticator.so

Votre fichier devrait ressembler à ceci:

presse Ctrl + X suivi par Oui pour enregistrer et fermer le fichier.

Configurer chaque utilisateur

La prochaine étape associera enfin votre compte à Google Authenticator. Cette étape devra être exécutée pour tous les utilisateurs qui se connectent à votre système. Notre exemple n’a qu’un seul utilisateur, se servir de. Cependant, les étapes seront identiques pour tout autre utilisateur de votre système.

Dans votre terminal, exécutez les opérations suivantes:

google-authenticator

En examinant de plus près ce qui est fourni, nous constatons:

• Un code QR
• Un code de vérification
• Une nouvelle clé secrète
• 5 codes à gratter d’urgence

Le code QR et la clé secrète remplissent à peu près la même fonction. Nous y reviendrons dans une seconde. Le code de vérification est un code à usage unique que vous pouvez utiliser immédiatement, si nécessaire. Les codes à gratter sont des codes à usage unique qui peuvent être utilisés dans le cas où vous n’avez pas votre appareil mobile à portée de main. Vous pouvez les imprimer et les stocker sous clé thermonucléaire, ou tout simplement les ignorer. En fin de compte, cela dépendra de votre tendance à oublier ou à perdre votre appareil mobile.

On vous posera également une série de questions. Les valeurs par défaut sont plus que suffisantes et vous pouvez répondre Oui à tous. Cependant, n’hésitez pas à les modifier à votre guise. Ne fermez pas la fenêtre ou la session de terminal pour l’instant.

Configurer l’application mobile

Avant de continuer avec un autre utilisateur, terminons celui avec lequel vous êtes actuellement connecté.

Si c’est la première fois que vous lancez Google Authenticator sur votre appareil mobile, cliquez sur Commencer. Alternativement, dans la fenêtre principale, cliquez sur l’icône plus dans le coin inférieur. Si la résolution de la fenêtre de votre terminal est suffisamment bonne pour voir le code QR, sélectionnez Scannez un code-barres ou Entrez une clé fournie si la caméra de votre appareil mobile est similaire à une pomme de terre. Si vous avez choisi d’entrer une clé, vous devrez maintenant entrer un nom de compte pour vous aider à vous souvenir du compte auquel il se rapporte. Ensuite, entrez la clé de vérification fournie dans la fenêtre de votre terminal. Maintenant, appuyez simplement sur AJOUTER.

La numérisation de votre code-barres fera ces trois étapes simultanément. Et le tour est joué! Votre appareil mobile et votre système disposent désormais d’une couche de protection supplémentaire. La seule façon possible pour une personne mal intentionnée d’accéder à votre système est de déchiffrer votre mot de passe et d’accéder à l’appareil mobile que vous avez configuré.

Étapes finales et tests

Vous pouvez avoir plusieurs personnes utilisant ce système particulier. Dans notre exemple, slaghoople est un utilisateur supplémentaire. Exécutez ce qui suit dans votre session de terminal:

sudo su slaghoople

Ouvrez l’application Google Authenticator sur votre appareil mobile. Tapez le code d’authentification à six chiffres fourni par l’application dans la fenêtre du terminal. Saisissez votre mot de passe sudo et appuyez sur Entrée. Vous devez maintenant être connecté. En tant que nouvel utilisateur, exécutez la commande suivante:

google-authenticator

Vous pouvez maintenant simplement suivre exactement les mêmes étapes que pour le premier utilisateur décrit ci-dessus. Après avoir répondu aux questions, ouvrez votre application mobile Google Authenticator. Ajoutez un autre compte. Entrer slaghoople comme nom de compte pour vous aider à différencier les deux sur votre appareil mobile. Choisissez de numériser le code-barres ou de saisir la clé de vérification. Slaghoople va maintenant avoir besoin du code de l’application mobile avec son mot de passe sudo pour se connecter et émettre des commandes élevées. Rincez et répétez pour tous les utilisateurs supplémentaires. Une fois que tous vos utilisateurs ont été configurés, vous remarquerez qu’essayer de se connecter ou exécuter des commandes sudo nécessite un code de vérification.

Et c’est tout. Votre machine Linux est désormais beaucoup plus sécurisée qu’auparavant. Certains diront peut-être que ce processus est compliqué. Bien sûr que oui! C’est le but!

Vous avez eu une fuite de mot de passe et un système a été compromis? Comment sécurisez-vous vos données sensibles? Utilisez-vous actuellement l’authentification à deux facteurs? Faites le nous savoir dans les commentaires!

Crédit d’image: Dave Clark Photo numérique via Shutterstock.com