İki parola, iki faktör değildir
İkinci faktör, yalnız bir parolayı iki kez sormak değildir. Sunucu erişiminde hangi kimlik doğrulama yöntemlerini kullandığınızı belirleyin. SSH anahtarı, hesap parolası ve tek kullanımlık kod farklı rollere sahiptir; anahtar dosyasını parola ile korumak da sunucuda otomatik olarak ayrı bir kod doğrulaması kurmaz.
OpenSSH ile dağıtımın rolü
OpenSSH AuthenticationMethods ayarı birden fazla yöntemin sırasını tanımlayabilir. Tek kullanımlık kodun nasıl doğrulanacağı ise dağıtımınız, PAM modülü veya kimlik sağlayıcınızla birlikte yapılandırılır. Üreticinin güncel belgesini ve dağıtımınıza uygun rehberi kullanın. Rastgele bir sshd_config örneğini mevcut erişim düzeninin üzerine kopyalamayın.
Erişimi kapatmadan test edin
Önce konsol veya kurtarma erişimini hazırlayın. Zaman tabanlı kod kullanıyorsanız saat düzenini kontrol edin. Yeni yapılandırmayı ayrı bir yetkili oturumda deneyin; bütün çalışan oturumları kapatmadan sonucun doğru olduğunu doğrulayın. Kullanıcı kaybolan cihazla erişimi nasıl geri alacak, bunu da kayıt altına alın.
Ekip ve servis hesapları
Etkileşimli insan erişimi ile otomatik görevlerin ihtiyaçları farklı olabilir. Ortak kod cihazı veya paylaşılan yönetici hesabı yerine kişiye ait yetkiler planlayın. Başarısız denemelerin izlenmesini ve ekipten ayrılan kişinin erişiminin kaldırılmasını unutmayın. VDS güvenlik rehberi diğer temel kontrolleri bir arada sunar.
İki faktöre geçmeden erişim tablosu hazırlayın
Sunucuya bağlanan insan kullanıcıları ile otomasyon hesaplarını ayırın. Bir insanın telefon kodu girmesi mümkünken zamanlanmış yedek görevinin aynı etkileşimli adımı tamamlayacağını varsaymayın. Her hesap için yetki, kullanılan anahtar, erişim kaynağı ve kurtarma sorumlusunu belirleyin. Mevcut SSH anahtarı tek başına her kurulumda ikinci faktör sağlandığı anlamına gelmez; istenen doğrulama zinciri açıkça tasarlanmalıdır.
- Sağlayıcı konsoluna erişimi, ayrı yönetici oturumunu ve kurtarma yöntemini önce deneyin. Kurtarma kodlarını aynı sunucudaki tek dosyada tutmayın.
- Seçilen PAM/OTP bileşeninin dağıtımınız ve OpenSSH sürümünüzle uyumunu kendi belgelerinden doğrulayın. Bir başka dağıtımın yapılandırmasını aynen taşımayın.
- Yapılandırmayı değiştirdikten sonra yetkili yönetici
sshd -tile sözdizimi ve ilgili anahtar kontrollerini yapabilir. Bu test çalışan servisi yeniden başlatmaz; gerçek oturum açmanın başarılı olduğunu da kanıtlamaz.
Hangi denemeler geçmeden işlemi kapatmamalısınız?
Ayrı bir istemci oturumunda doğru faktörlerle giriş, yanlış kodun reddi ve kurtarma sürecini kontrollü biçimde sınayın. Hesap veya bağlantı koşuluna bağlı kurallar farklı davranabilir. Saat uyumsuzluğu ve doğrulama bileşeni hatasını parola hatasından ayırın. Eski açık yönetici oturumunu yeni erişim doğrulanmadan kapatmayın. Test sonuçlarını, sürümleri ve kurtarma sorumlusunu kaydedin; gizli OTP tohumlarını destek yazışmasına eklemeyin. Test kipinin ayrıntıları için OpenSSH sshd belgesini kullanın.
Sıkça Sorulan Sorular
SSH anahtarı kullanmak TOTP kodu sormakla aynı mı?
Hayır. Hangi yöntemlerin birlikte zorunlu olduğu sunucudaki kimlik doğrulama yapılandırmasına bağlıdır.
Her Linux sunucuya aynı yapılandırmayı kopyalayabilir miyim?
Hayır. OpenSSH sürümü, dağıtım ve kullanılan kimlik doğrulama bileşenleri kontrol edilmelidir.