最近この内容を知ったのでまとめてみました。

SSHで `libpam-google-authenticator` を使って二段階認証を設定する

Linux サーバーに SSH でログインする際、二段階認証（2FA）を導入してセキュリティを強化する手順を紹介します。libpam-google-authenticator を使用し、Google Authenticator アプリを使ったワンタイムパスワード (OTP) 認証を追加します。

まず、Google Authenticator の PAM モジュールをインストールします。

sudo apt update
sudo apt install libpam-google-authenticator

sudo yum install epel-release
sudo yum install google-authenticator

/etc/pam.d/sshd ファイルに、Google Authenticator を使うための設定を追加します。

sudo nano /etc/pam.d/sshd

ファイルの一番下に、次の行を追加します:

auth required pam_google_authenticator.so

各ユーザーが Google Authenticator で使用する OTP を生成します。

google-authenticator

ここで、いくつかの質問が表示されます。設定例は一例ですので個々での設定でお願いいたします。

新しい認証トークンを作成しますか？: y
その後、緊急のスクラッチコードが5つ発行されます。
.google_authenticator　ファイルを更新しますか？ y
同じ認証トークンの複数回使用を禁止しますか？これにより約30秒ごとに1回のログインに制限されますが、中間者攻撃に気付いたり、防いだりする可能性が高まります。 y
同期の誤差を許可しますか？: y
再利用可能なバックアップコードを表示しますか？: y
Rate-limiting 機能を有効にしますか？: y

この操作により、QR コードと秘密鍵が表示されます。Google Authenticator アプリで QR コードをスキャンして、OTP を生成できるようにします。

次に、SSH の設定を変更します。

sudo nano /etc/ssh/sshd_config

次の 2 つのパラメータを確認・変更します:

ChallengeResponseAuthentication yes
UsePAM yes

設定を保存して終了したら、SSH サービスを再起動します。

sudo systemctl restart sshd

設定が完了したら、一度 SSH 接続を試みます。パスワードの後に、Google Authenticator に表示されるワンタイムパスワードを入力するよう求められます。

ssh your-user@your-server-ip

これで、SSH ログインに二段階認証が追加されました。今後は、パスワードに加えてワンタイムパスワードを入力する必要があるため、セキュリティが大幅に向上します。Google Authenticator や、sshでのログインが可能です。