Как использовать OPIE для получения одноразовых паролей для FreeBSD 10.1

SSH - это самый популярный способ удаленного входа на сервер. Это криптографический протокол, который защищает ваш пароль от атак «человек посередине» и повторных атак.

Однако вы должны иметь в виду, что SSH защищает ваши данные только во время их передачи. Злоумышленники могут обнаружить ваш пароль SSH другими способами, например, с помощью клавиатурных шпионов или стратегически расположенных камер.

Пока вы используете доверенный компьютер (скажем, тот, который принадлежит вам или вашей компании) и делаете это из безопасного места, вам не нужно беспокоиться о таких атаках. Однако иногда вам может понадобиться использовать общедоступный компьютер. Для защиты ваших паролей в таких сценариях FreeBSD поставляется с функцией безопасности, которая называется «Одноразовые пароли во всем» или OPIE.

Из этого руководства вы узнаете, как создавать и использовать одноразовые пароли для входа на удаленный сервер FreeBSD. Вы можете предварительно создать один или несколько одноразовых паролей, когда находитесь в безопасном месте, и сохранить их на потом, когда вы получите доступ к своему серверу из менее безопасного места. Таким образом, даже если ваш одноразовый пароль будет зарегистрирован, он никогда не будет полезен злоумышленнику.

Чтобы следовать этому уроку, вам понадобится:

Чтобы убедиться, что вы не заблокированы на удаленном сервере, рекомендуется создать отдельного пользователя для использования с OPIE.

Переключитесь на * root *, введя:

Чтобы создать нового пользователя, которого вы хотите использовать со своими одноразовыми паролями, введите:

Вам будет предложено ввести различные данные о пользователе. Пусть имя пользователя будет * sammy *. При запросе пароля убедитесь, что вы ввели надежный пароль. Для всех других запросов вы можете просто нажать + ENTER +, чтобы выбрать значение по умолчанию.

Введите + yes, чтобы подтвердить детали, и когда вас спросят, хотите ли вы добавить другого пользователя, введите` + no + для выхода из + adduser`.

Теперь вы можете вернуться к исходному пользователю, либо пользователю по умолчанию * freebsd *, либо обычному пользователю sudo:

На этом этапе вы должны войти на свой сервер с пользователем не-OPIE sudo.

Используя ваш текущий сеанс терминала, используйте + ssh +, чтобы войти в систему как * sammy *, пользователь OPIE.

Это важно, поскольку настройку OPIE можно выполнять только с защищенного терминала. Если вы используете небезопасный протокол, такой как + rsh + или + telnet +, OPIE будет жаловаться.

Предупреждение

Чтобы добавить пользователя в систему аутентификации OPIE, вы используете команду + opiepasswd +. Опция + -c + сообщает команде, что вы используете доверенный компьютер и находитесь в безопасном месте.

Когда вас попросят ввести секретную фразу-пароль, введите фразу-пароль длиной не менее десяти символов. Эта парольная фраза не должна совпадать с паролем SSH пользователя. Эта парольная фраза понадобится вам позже для генерации одноразовых паролей.

Полный вывод команды будет выглядеть так:

Вы получите новое OPIE seed и рандомизированную парольную фразу:

В этом выводе * sammy * - это пользователь, * 499 * - это iteration count, а * si5509 * - это seed.

Теперь, когда * sammy * был добавлен в систему аутентификации OPIE, вы больше не можете использовать реальный пароль SSH для входа в систему. Откройте новый терминал на вашем локальном компьютере и введите:

Вы увидите приглашение, которое выглядит так:

Теперь вы должны ввести одноразовый пароль. Поскольку мы еще не сгенерировали одноразовых паролей, сейчас вы не сможете войти в систему. Закройте терминал и вернитесь к предыдущему терминалу, где вы вошли как * sammy *.

Когда пользователь добавляется в систему аутентификации OPIE, число итераций, начиная с 499, и случайное начальное число ассоциируются с пользователем. Вам необходимо знать эти значения для генерации одноразового пароля.

Предупреждение

Если вы уже вошли как * sammy *, которым вы должны быть на данный момент, вы можете определить эти значения с помощью команды + opieinfo +.

Его вывод будет содержать два значения. Первый - это порядковый номер, а второй - начальное число.

Примечание метка

Передайте эти значения команде + opiekey +, чтобы сгенерировать свой одноразовый пароль. Помните, точно так же, как + opiepasswd +, + opiekey + также следует запускать только с доверенного компьютера.

Кроме того, вы можете ввести:

Вам будет предложено ввести пароль для пользователя OPIE. Введите пароль, который вы выбрали на предыдущем шаге. Вывод этой команды следующий:

Последняя строка, содержащая шесть коротких слов, - ваш одноразовый пароль.

Откройте новый терминал, чтобы попытаться войти снова:

Ваша подсказка останется прежней:

Обратите внимание, что числа, которые вы видите в этом приглашении, соответствуют выводу + opieinfo + и параметрам, которые вы передали + opiekey +.

Теперь вы можете вставить свою фразу-пароль или ввести ее вручную. Прежде чем начать вводить длинный пароль, чтобы избежать ошибок, нажмите + ENTER. Ваше приглашение изменится, и вы сможете увидеть введенный вами пароль:

Введите свой одноразовый пароль сейчас, и вы сможете войти на свой сервер как * sammy *.

Чтобы завершить сессию SSH, наберите + exit + или закройте терминал.

Откройте другой терминал и попробуйте установить новое соединение:

На этот раз подсказка будет немного другой.

Как видите, порядковый номер изменился; он был уменьшен на единицу. Вы не сможете войти снова, пока не создадите новый одноразовый пароль, используя + opiekey + с этими новыми значениями. Другими словами, вам придется заново пройти процесс, описанный в * Шаг 4 * этого руководства.

Если вы знаете, что не сможете получить доступ к доверенному компьютеру в течение нескольких дней, вам может потребоваться несколько одноразовых паролей, чтобы вы могли обращаться к своему серверу несколько раз. Вы можете указать желаемое количество одноразовых паролей, запустив + opiekey + с опцией + -n +. Например, чтобы сгенерировать три одноразовых пароля, введите:

Note

Вывод будет содержать три пароля, а также их порядковые номера:

Одноразовые пароли также могут быть сгенерированы в форме шестнадцатеричных чисел с помощью опции + -x +:

Конечно, пароли теперь будут выглядеть менее понятными:

Теперь вы должны записать их на бумаге и носить с собой во время путешествия. В следующий раз, когда вам нужно будет войти в систему, используйте бумагу, чтобы найти пароль, связанный с порядковым номером, показанным в приглашении SSH, и введите его. После того, как вы использовали пароль, вы можете удалить его. Излишне говорить, что вы должны убедиться, что этот документ не попадет в чужие руки.

Когда вы использовали все пароли на бумаге, просто повторите этот шаг еще раз, чтобы сгенерировать больше паролей. Однако, если вы используете все 498 паролей и ваш порядковый номер станет нулевым, вам придется снова вызвать + opiepasswd -c +. Это сбрасывает случайное начальное число и порядковый номер.

В реальной ситуации вы должны заранее подготовить необходимое количество паролей из безопасного места, записать их на бумаге и использовать их по одному, когда вам необходимо войти из небезопасного места. Храните бумагу в безопасности!

Из этого руководства вы узнали, как использовать систему аутентификации OPIE для безопасного входа на удаленный сервер FreeBSD с терминалов на ненадежных компьютерах. Вы узнали, как создавать одноразовые пароли и использовать их каждый раз, когда вам нужно войти в систему. Эта функция наиболее полезна для людей, которые постоянно находятся в движении и вынуждены использовать общедоступные компьютеры и сети.