问题描述
标题基本说明了一切。我听到了更多关于双因素身份验证、one-time 密码、hard-tokens 和其他改进的安全功能的信息。随着仅使用密码的安全性降低，我想知道如何提高 Ubuntu 的安全性。我正在使用 Unity 14.04 LTS。
最佳方案
您可以使用 Google 创建的开源可插入身份验证模块 (PAM)，即 Google Authenticator 。此模块可在标准存储库以及 GitHub 中找到，因此您可以从源代码构建。与同名的 Android、iOS 或 Blackberry 应用程序结合使用，它会创建基于时间的 time-sensitive 代码，用于与您的密码一起进行身份验证。由于它是一个 PAM 模块，因此几乎可以将其放入任何地方。让我们开始吧！
Installing
首先，你可以使用以下命令安装 PAM：
sudo apt-get install libpam-google-authenticator
简单的！
设置：
安装完成后，您还需要安装适用于 Android、iOS 或 Blackberry 的相应移动应用程序(具体取决于您的移动平台)。每个应用程序都离不开另一个。获得移动设备所需的应用程序后，在终端中运行以下命令：
google-authenticator
首先会问您几个问题，第一个问题是唯一一个您必须回答 “Yes” 的问题，它会询问您是否希望代码基于时间。之后，阅读每个问题并做出对您最有意义的选择。
完成初始 set-up 后，您将在终端中看到一个非常大的二维码，以及一些其他信息。如果您不想使用二维码配对设备，则“您的新密钥是：”这一行非常必要，因此在完成 set-up 之前不要关闭此窗口！这给您的 “scratch codes” 也很重要，因为如果您丢失了移动设备，您将用它们来 log-in。把它们写下来并存放在安全的地方。
现在，在您的移动设备上，打开您的 Google Authenticator 应用程序并选择“设置帐户”。您可以扫描生成的二维码，也可以选择“使用提供的密钥”。如果您扫描二维码，所有内容将自动保存在名为 “your_user@your_host” 的帐户下。但是，如果您选择“使用提供的密钥”，则必须手动输入名称、密钥和令牌类型。名称可以是任何您想要的名称。密钥将是之前生成的密钥。类型将是默认的基于时间的类型。设置完成后，您将在 Google Authenticator 应用程序的主窗格上看到该帐户，旁边还有一个 circle-shaped 计时器。该计时器每 30 秒耗尽一次，并生成一个新代码。
启用它！
魔法来了。由于这是一个 PAM 模块，因此它可以用于各种地方。我将逐步介绍如何向 sudo 请求、SSH log-ins 和 lightdm log-in 添加身份验证。但是，阅读本教程后，您将能够基于相同的技术在其他地方启用它。
SSH
我先做这个，因为还有一个额外的步骤。你需要做的第一件事是编辑你的 SSH 配置文件：
gksudo gedit /etc/ssh/sshd_config
搜索以下行：
ChallengeResponseAuthentication no
并将 “no” 更改为 “yes”。
现在，您需要编辑 ssh 的 PAM 模块：
gksudo gedit /etc/pam.d/sshd
在此文件的最末尾，添加以下行：
auth required pam_google_authenticator.so nullok
“nullok” 参数告诉系统，如果用户没有 set-up 双因素身份验证，则不要请求验证码。编辑完成后，继续并重新启动 ssh 服务：
sudo service ssh restart
sudo 请求
编辑 sudo 的 PAM 文件：
gksudo gedit /etc/pam.d/sudo
在最后添加以下行：
auth required pam_google_authenticator.so nullok
现在每个 sudo 请求都会要求输入验证码和密码。
LightDM(GUI Log-In)
编辑 LightDM 的 PAM 文件：
gksudo gedit /etc/pam.d/lightdm
在最后添加以下行：
auth required pam_google_authenticator.so nullok
就是这样！每次你通过 GUI 输入 log-in 时，它都会在你输入密码后要求输入验证码。
System-Wide 和 TTY Log-In
即使你启用了上述方法，如果你切换到带有 CTRL + ALT + F# 的 TTY，它仍然不会要求输入验证码。要解决此问题，请编辑 common-auth PAM 文件：
gksudo gedit /etc/pam.d/common-auth
并在最后添加以下行：
auth required pam_google_authenticator.so nullok
注意：由于此 common-auth 文件包含在所有其他身份验证类型文件中，因此您需要从其他文件中删除身份验证所需的行。否则，它将要求输入两次验证码，并且之后不允许您输入 log-in。
Wrap-Up
如您所见，添加此身份验证非常容易。如果您使用 LightDM 以外的显示管理器，则可以轻松地相应地更改上面的 lightdm 行。由于您的移动设备和系统已经共享此密钥，因此它们应该始终是 in-sync。此 set-up 与 Google 服务器或任何其他互联网资源没有交互。即使两个设备都完全离线，应用程序中显示的验证码也将是正确的。每当您需要通过您启用的方法之一访问 log-in 时，只需确保打开您的移动应用程序并获取当前验证码即可。