Cómo configurar claves SSH con YubiKey como autenticación de dos factores

¡A continuación se muestra un adelanto de este contenido!

ENTodos los servidores Linux y Unix se administran manualmente o mediante herramientas de automatización como Ansible con ssh. Digamos que tiene un servidor en Linode o AWS. Luego, copie su clave SSH pública a un servidor en la nube remoto. Después de copiar, ahora puede iniciar sesión en estos servidores sin una contraseña, siempre que las claves SSH coincidan. Es la mejor práctica. Desafortunadamente, no está protegiendo las claves SSH que están almacenadas en un escritorio local o en una máquina de desarrollo en el directorio $ HOME / .ssh /. Si le roban las claves, un atacante podría obtener acceso a todos sus servidores en la nube, incluidos los servidores de respaldo. Para evitar este desorden, podemos proteger nuestras claves ssh almacenadas en máquinas de escritorio / desarrollo local con claves de seguridad físicas como YubiKey.

De cualquier manera, deberá conectar su YubiKey (u otra llave de hardware compatible con FIDO2) en un puerto USB y completar la autenticación. En otras palabras, el inicio de sesión SSH no funcionará si el malware o los atacantes robaron su contraseña y clave SSH porque no pueden pegar YubiKey y presionar el botón para completar la OTP para claves SSH.
En el entorno corporativo, tenemos un host bastión que permite el acceso SSH con Yubikey. Es un servidor especial en una red que ha sido especialmente desarrollado y configurado para defenderse de ataques. El servidor generalmente aloja un proceso sshd y todos los demás servicios se eliminan. Una vez que haya iniciado sesión en Bastion Host, puede acceder fácilmente a todos los demás servidores en la nube. Los siguientes temas se tratan en esta guía: