分类： 部署

如今，启用双因素身份验证（2FA）来增强帐户的安全性变得越来越普遍。

但是你可能会好奇怎么在Raspberry Pi上启用2FA。当你通过Secure Shell（SSH）远程访问树莓派时，系统将要求你先输入动态验证码。

通过SSH访问Raspberry Pi

很多人在家中将Raspberry Pi用作文件或媒体服务器。随着Raspberry Pi 4的发布，这种情况已经相当普遍，它配备了USB 3.0和千兆以太网。

如果你打算将Raspberry Pi塞到电视后面或其他地方，这意味着你需要在没有监视器，键盘或鼠标的情况下启用S​​ecure Shell（SSH）进行远程访问。

但是，出门在外也想访问文件的需求很常见，所以从Internet访问Raspberry Pi是一件有风险的事。

如果你要对Internet开放你的树莓派服务器，那肯定要增加一些安全性，比如使用基于时间的一次性密码（TOTP）或启用双因素身份验证（2FA ）。

什么是双因素身份验证？

双因素身份验证是额外的保护层。是除了密码之外，还需要另一条信息才能登录。

如果说第一个因素是“你知道的东西”，那第二个因素将基于“你拥有的东西”（例如智能手机），就像生物特征信息一样。

我们将继续设置，并将智能手机用作保护Raspberry Pi的第二个因素。

更新操作系统

你应该做的第一件事是确保你的Raspberry Pi OS保持最新。如果你正在运行不够新的操作系统，则可以在命令行操作：

$ sudo apt-get update
$ sudo apt-get full-upgrade

启用安全的Shell​

Raspbian操作系统在启动时禁用了SSH服务器，如果我们希望通过SSH访问Raspberry Pi，则需要启用它。

启用S​​SH最简单的方法是先进Raspbian桌面，找到菜单，然后选择“首选项”，Raspberry Pi配置。接下来，选择“Interfaces”选项卡，然后单击按钮启用SSH，再点“确定”。

你还可以在命令行启用它：

$ sudo systemctl enable ssh 
$ sudo systemctl start ssh

另外，你可以用raspi-config启用S​​SH ，如果你是首次安装操作系统，也可以在写SD卡时启用S​​SH 。

启用挑战响应

接下来，我们需要告诉SSH守护程序启用“挑战响应”密码。继续打开SSH配置文件：

$ sudo nano /etc/ssh/sshd_config

通过将ChallengeResponseAuthentication从默认的no更改为yes来启用挑战响应。

重启SSH服务

$ sudo systemctl restart ssh

在你的笔记本电脑上打开一个终端，确保你仍然可以SSH到你的树莓派——尽管你还没有被提示输入2FA代码。在这个阶段检查是否一切正常是明智的。

安装双因素身份验证App

你需要做的第一件事是将应用程序下载到手机，该应用程序将生成TOTP。Google身份验证器是最常用的一种。它可用于Android，iOS和Blackberry，甚至在GitHub上也有该应用程序的开源版本。

因此，请继续在你的手机上安装Google Authenticator或另一个2FA应用程序，例如Authy。然后，在Raspberry Pi上安装Google Authenticator PAM模块。

$ sudo apt install libpam-google-authenticator

现在我们在手机和Raspberry Pi上都安装了2FA，已经准备好进行配置。

配置两因素身份验证

现在，你应该在Raspberry Pi上运行Google Authenticator而不使用sudo来生成QR码：

$ google-authenticator

之后，你可能需要调整“终端”窗口的大小，以便正确显示QR码。不幸的是，它比标准的80个字符略宽。

此刻先不要下一步！ 在执行其他任何操作之前，你应该复制紧急代码并将其放在安全的地方。

这些代码使你可以在丢失手机的情况下访问Raspberry Pi，并关闭2FA。没有它们话，如果你丢失或破坏了用于身份验证的设备，则将无法通过SSH访问Raspberry Pi。

接下来，在我们继续使用Raspberry Pi上的Google Authenticator之前，请在手机上打开Goog​​le Authenticator应用，点击右上角的加号（+），然后点击“扫描二维码”。

手机将询问你是否允许该应用访问你的相机；选择“是”，相机镜头将打开，将二维码放置在屏幕上的绿色框中。

手机应用程序识别出QR码后，就会添加你的新帐户，并会自动开始生成TOTP代码。

你的手机将每三十秒生成一次新的TOTP密码。但是，直到我们完成你在Raspberry Pi上所做的工作，此验证码才有用。

切换到终端窗口，并在询问Google Authenticator是否更新你的.google_authenticator文件时回答“Y” 。

然后回答“Y”以禁止多次使用相同的身份验证令牌，“N”以增加时间偏移窗口，“Y”以限制速率，以防止暴力攻击。

接下来，我们要做的就是启用2FA。

启用双因素身份验证

我们将使用Linux可插拔身份验证模块（PAM），它为应用程序和服务提供动态身份验证支持，以便在Raspberry Pi的SSH上添加2FA。

现在我们需要配置PAM以添加2FA：

$ sudo nano /etc/pam.d/sshd

将必需的auth pam_google_authenticator.so添加到文件顶部。你可以在显示@include common-auth的行上方或下方执行此操作。

由于我希望在输入密码后提示输入验证码，因此我在@include行之后添加了这一行。如果要在输入密码之前提示输入验证码，则应将其添加到@include行之前。

现在重新启动SSH守护程序：

$ sudo systemctl restart ssh

接下来，在笔记本电脑上打开一个终端窗口，然后尝试用SSH访问Raspberry Pi。

收尾

如果一切都按计划进行，那么当你通过SSH访问Raspberry Pi时，输入密码后应该提示你输入TOTP。

继续打开手机上的Google身份验证器，然后在出现提示时输入六位验证码。登录Raspberry Pi。

无论是SSH还是SCP，设备的安全性都大大提高了。

现在，你已经在手机上装好Google Authenticator应用程序，可以为重要的服务和网站（例如Google，Twitter，Amazon等）启用2FA了，因为大多数网站都已支持双因素验证。

作者：Alasdair Allan

来自：Raspberrypi.org