CentOS: Активуйте двофакторну автентифікацію для підвищеного захисту

За допомогою рішення Protectimus для багатофакторної автентифікації (MFA) ви можете налаштувати двофакторну автентифікацію (2FA) в CentOS за кілька кроків.

1. Як працює двофакторна автентифікація (2FA) у CentOS

Після ввімкнення 2FA у CentOS користувачі повинні будуть вводити два паролі для доступу до своїх облікових записів:

1. Перший – це стандартний пароль (те, що користувач тримає в пам’яті);
2. Другий – це одноразовий пароль, який діє лише 30 або 60 секунд (одноразовий пароль генерується за допомогою апаратного OTP-токену або 2FA-додатку на телефоні користувача – тобто чогось, що належить користувачеві і що він повинен носити з собою).

Таким чином, обліковий запис CentOS стає захищеним двома різними факторами автентифікації. Навіть якщо хакер викраде пароль користувача за допомогою фішингу, перебору, соціальної інженерії, підміни даних або будь-якої іншої атаки, він не зможе отримати доступ до облікового запису CentOS без одноразового пароля з 2FA токена користувача.

Ця інструкція пояснює, як налаштувати двофакторну автентифікацію (2FA) в CentOS за допомогою компонента Protectimus RADIUS 2FA для інтеграції з хмарним сервісом Protectimus Cloud 2FA або локальною платформою Protectimus On-Premise MFA.

2. Як налаштувати двофакторну автентифікацію (2FA) в CentOS

Ви можете налаштувати двофакторну автентифікацію (2FA) в CentOS за допомогою Protectimus, використовуючи протокол RADIUS:

1. Зареєструйтеся в SAAS сервісі багатофакторної автентифікації або розгорніть On-Premise платформу MFA Protectimus, а потім налаштуйте базові параметри.
2. Встановіть Protectimus PAM модуль для CentOS 2FA
3. Встановіть та налаштуйте модуль Protectimus RADIUS Server.

2.1. Зареєструйтеся та налаштуйте основні параметри Protectimus

1. Зареєструйтеся в хмарному сервісі Protectimus і активуйте API або встановіть локальну платформу Protectimus (якщо ви встановлюєте платформу Protectimus на Windows, не забудьте позначити опцію Radius).
2. Додайте ресурс.
3. Додайте користувачів.
4. Додайте Токени або активуйте Портал самообслуговування користувачів.
5. Призначте токени користувачам.
6. Призначте токени з користувачами на ресурс.

2.2. Встановіть Protectimus PAM модуль для CentOS 2FA

yum -y install epel-release
yum -y install pam_radius

2.3. Встановіть та налаштуйте Protectimus RADIUS Server

1. Встановіть protectimus-radius

git clone https://github.com/protectimus/platform-linux.git
cd platform-linux/radius
edit config/radius.yml
docker compose up -d

2. Налаштуйте файл radius.yml.
   
   Налаштуйте параметри Protectimus RADIUS Server у файлі radius.yml. Він повинен знаходитися в тому ж каталозі, що і виконуваний файл.
   
   Детальні інструкції щодо доступних властивостей, які ви можете додати до файлу radius.yml, ви знайдете в нашому Посібнику з конфігурації Protectimus RADIUS Server.
   
   Приклад конфігурації файлу radius.yml:

radius:
  secret: secret
  auth-port: 1812

auth:
  #  Could be :
  #  - LDAP
  #  - PROTECTIMUS_PASSWORD
  #  - PROTECTIMUS_OTP
  #  - PROTECTIMUS_PUSH
  providers:
	- PROTECTIMUS_OTP

protectimus-api:
  login: login@domain.com
  api-key: aslkjdljsdlaskmWpXjT5K0xqLXkd3
  url: https://api.protectimus.com/
  resource-name: radius
  resource-id: 723

3. Відредагуйте pam_radius config, налаштуйте secret
   
   /etc/pam_radius.conf

# server[:port] shared_secret  	timeout (s)
127.0.0.1   	secret         	1

4. Налаштуйте SSH для використання методу виклику-відповіді (challenge response). /etc/ssh/sshd_config

ChallengeResponseAuthentication yes

5. Виконайте команду systemctl restart sshd

6. Налаштуйте PAM для SSH для використання RADIUS
   Додайте рядок auth required pam_radius_auth.so після auth substack password-auth у файл /etc/pam.d/sshd.

#%PAM-1.0
auth   	required 	pam_sepermit.so
# protectimus pam radius
auth   	substack 	password-auth
auth   	required 	pam_radius_auth.so
auth   	include  	postlogin
# Used with polkit to reauthorize users in remote sessions
-auth  	optional 	pam_reauthorize.so prepare

Налаштування багатофакторної автентифікації в CentOS завершено. Якщо у вас виникли питання, зверніться до нашої служби підтримки клієнтів.