如何配置 PAM 以使用（密码和 OTP）或（公钥和 OTP）验证 SSH 登录

Question 1

问题源于 PAM，它几乎使得这变得不可能。

核心问题是公钥部分由 ssh 守护进程处理，而键盘交互始终由 PAM 处理（并且密码也经常由 PAM 处理，具体取决于配置）。因此，PAM 无法知道是否已设置公钥，并且无法将 ssh 配置为根据是否使用公钥来随意选择不同的 AuthenticationMethods。

但是 ssh做当公钥已设置并验证为已批准时，设置环境变量 SSH_AUTH_INFO_0，PAM 可以看到此变量。因此，您要做的就是编写一个 pam_exec 脚本，该脚本根据 SSH_AUTH_INFO_0 是否设置为某项而以不同的方式退出。并且 pam_exec 可以使用 success=1 跳过一行（如果需要，可以跳过多行，在我修改它之前，RHEL8 上的代码已经是意大利面条式代码了，这确实使事情变得更加复杂）。

我使用了一个 perl 脚本：

#!/usr/bin/perl

if ($ENV{'SSH_AUTH_INFO_0'} =~ /^publickey /) {
  exit(0);
} else {
  exit(1);
}

并且它使用此行调用（success=2 是因为预先存在的代码，我不得不跳过 pam_sss.so 后面的 pam_deny（它是“足够的”并且没有遇到拒绝）。是否使用“ignore”或“ok”取决于 sshd 的其余 PAM 堆栈。（并且在某些情况下，如果您在输入密码之前提示输入 OTP，您可能能够使用“success=done”，尽管当我认为它应该工作时，我无法让它工作。）

auth        [success=2 default=ignore]                       pam_exec.so quiet /usr/local/sbin/ssh-pubkey-check

您还需要在 sshd_config 中设置这行有点奇怪的内容：

AuthenticationMethods publickey,keyboard-interactive keyboard-interactive

它首先尝试公钥和键盘交互。如果成功，PAM 将从环境变量中得知它可以完全跳过密码提示。如果失败（因为没有提供公钥），它接下来只尝试键盘交互，但在这种情况下，PAM 将提示输入 OTP（留给学生练习）和密码提示。

还有更多内容，但这一切都取决于您现有的 PAM 设置是什么样的，以及您要根据什么进行身份验证（本地密码文件、LDAP、NIS 等等），所以我无法提供一刀切的解决方案。

还要注意，使用环境变量来控制身份验证步骤感觉不太好，理论上可能会导致只需要 OTP 而不需要其他令牌的漏洞。尽管在我能想到的每种情况下，如果有人可以远程或本地设置 PAM 从 sshd 调用时看到的环境变量，那么您的系统已经受到攻击，这不是额外的风险。

Answer

问题源于 PAM，它几乎使得这变得不可能。

核心问题是公钥部分由 ssh 守护进程处理，而键盘交互始终由 PAM 处理（并且密码也经常由 PAM 处理，具体取决于配置）。因此，PAM 无法知道是否已设置公钥，并且无法将 ssh 配置为根据是否使用公钥来随意选择不同的 AuthenticationMethods。

但是 ssh做当公钥已设置并验证为已批准时，设置环境变量 SSH_AUTH_INFO_0，PAM 可以看到此变量。因此，您要做的就是编写一个 pam_exec 脚本，该脚本根据 SSH_AUTH_INFO_0 是否设置为某项而以不同的方式退出。并且 pam_exec 可以使用 success=1 跳过一行（如果需要，可以跳过多行，在我修改它之前，RHEL8 上的代码已经是意大利面条式代码了，这确实使事情变得更加复杂）。

我使用了一个 perl 脚本：

#!/usr/bin/perl

if ($ENV{'SSH_AUTH_INFO_0'} =~ /^publickey /) {
  exit(0);
} else {
  exit(1);
}

并且它使用此行调用（success=2 是因为预先存在的代码，我不得不跳过 pam_sss.so 后面的 pam_deny（它是“足够的”并且没有遇到拒绝）。是否使用“ignore”或“ok”取决于 sshd 的其余 PAM 堆栈。（并且在某些情况下，如果您在输入密码之前提示输入 OTP，您可能能够使用“success=done”，尽管当我认为它应该工作时，我无法让它工作。）

auth        [success=2 default=ignore]                       pam_exec.so quiet /usr/local/sbin/ssh-pubkey-check

您还需要在 sshd_config 中设置这行有点奇怪的内容：

AuthenticationMethods publickey,keyboard-interactive keyboard-interactive

它首先尝试公钥和键盘交互。如果成功，PAM 将从环境变量中得知它可以完全跳过密码提示。如果失败（因为没有提供公钥），它接下来只尝试键盘交互，但在这种情况下，PAM 将提示输入 OTP（留给学生练习）和密码提示。

还有更多内容，但这一切都取决于您现有的 PAM 设置是什么样的，以及您要根据什么进行身份验证（本地密码文件、LDAP、NIS 等等），所以我无法提供一刀切的解决方案。

还要注意，使用环境变量来控制身份验证步骤感觉不太好，理论上可能会导致只需要 OTP 而不需要其他令牌的漏洞。尽管在我能想到的每种情况下，如果有人可以远程或本地设置 PAM 从 sshd 调用时看到的环境变量，那么您的系统已经受到攻击，这不是额外的风险。

Question 2

请注意，“pam_permit.so”是一个危险的模块。

我认为你的说法与你的两条规则相矛盾：

身份验证需要 pam_google_authenticator.so nullok

相对

身份验证需要 pam_permit.so

使用“nullok”关键字应该足以实现您想要做的事情。没有设置 google-authentication 的用户也可以登录，而其他用户则需要输入验证码。 身份验证方法公钥、键盘交互/etc/ssh/sshd_config 文件里面就可以了。

此外，您还有两个选项可以尝试：在文件中列出用户：/etc/authusers 稍后您可以参考sshd 配置文件

身份验证充分 pam_securid.so

身份验证需要 pam_deny.so

auth requisite pam_listfile.so item=用户感知=允许文件=/etc/authusers

...或使用用户组：

sshd 配置文件

身份验证 [成功 = 完成默认 = 忽略] pam_succeed_if.so 用户组“groupname_here”

Answer