Nachdem nun ein wenig Zeit ins Land gegangen ist und ich auch das eine oder andere dazugelernt habe schreibe ich hier meine aktuelle Praxis zur kostengünstigen Nutzung von 2-Faktor-Authentifizierung auf...

Das, was hier gleich passiert wird als Nutzer root getan - man sollte bis zur verifizierten korrekten Funktion eine Root-Shell in der Hinterhand haben, um etwaige Probleme beheben zu können!

Zur Einrichtung auf einem beliebigen Host/VM/Container erzeuge ich mir zunächst ein Secret:

head -10 /dev/urandom | sha512sum | cut -b 1-30

Es müssen auch einige Pakete installiert werden - unter Ubuntu 18.04 (und wahrscheinlich jeder Menge anderer Debian-Derivate) sieht das wie folgt aus:

apt-get install libpam-oath oathtool

Ich trage dann - entweder in common-auth oder sudo-auth - die Konfiguration für das neue Modul ein:

auth    [success=2 default=ignore]      pam_oath.so usersfile=/etc/users.oath

Die Zahl hinter 'success' überspringt die angegebene Zahl an alternativen Möglichkeiten zur Authentifizierung, die eventuell dahinter im Config-File noch konfiguriert sind - sie muss auf die tatsächlichen Gegebenheiten angepasst werden! Nun muss die Datei /etc/users.oath angelegt werden - als secret benutzen wir das oben erzeugte:

# Option User Prefix Seed
HOTP/T30/6 <user> - <secret>

Nicht vergessen, die Rechte korrekt zu setzen!

chmod 600 /etc/users.oath
chown root /etc/users.oath

Nun kann man beginnen zu testen - falls nicht alles sofort funktioniert, kann man auch den Debug-Modus aktivieren - sollte man im Produktivbetrieb natürlich deaktivieren. Ein erstes Token kann man sich wie folgt erzeugen:

oathtool --verbose --totp <secret>

Dieser Aufruf hat außer der Erstellung eines Tokens noch einen weiteren nützlichen Nebeneffekt: er zeigt unser Secret als Base32 an - ein Modus, den manche Token erzeugende Apps benötigen.

Als Apps für Android benutze ich Mobile-OTP bzw. FreeOTP Authenticator.

Beide funktionieren gut - beim Modus ist TOTP auszuwählen. FreeOTP Authenticator hat vielleicht den leichten Vorteil, dass man einen QR-Code einscannen kann, dessen Inhalt folgendem Muster folgen muss:

otpauth://totp/<profile name>?secret=<secret>

Dabei ist zu beachten, dass der Profilname beliebig gewählt werden kann und beim Secret die Base32-Variante angegeben werden muss!

Solche QR-Codes kann man mit allen möglichen Werkzeugen erstellen - es ist sogar in einem Linux-Terminal möglich; ein Weg, dies zu schaffen ist das Tool segno. die Installation erfolgt mittels

pip3 install segno

Benutzt wird es zum Beispiel wie folgt:

segno --border=1 -e L 'otpauth://totp/<profile name>?secret=<secret>'

Artikel, die hierher verlinken