如何为 Linux 系统中的 SSH 添加双重认证
近来很多知名企业都出现了密码泄露，业内对多重认证的呼声也越来越高。在这种多重认证的系统中，用户需要通过两种不同的认证程序：提供他们知道的信息（如 用户名/密码），再借助其他工具提供用户所不知道的信息（如用手机生成的一次性密码）。这种组合方式常叫做双因子认证或者两阶段验证。《Linux就该这么学》来给同学们介绍这种方法：
工具/原料
一台运行着 OpenSSH 服务的 Linux 终端，
一台安卓设备。
在 Linux 系统中安装 Google 身份验证器
1、第一步需要在运行着 OpenSSH 服务的 Linux 主机上安装 Google 身份验证器。按照如下步骤安装 Google 身份验证器及其PAM模块。用安装包安装 Google 身份验证器如果你不想自己构建 Google 身份验证器，在几个 Linux 发行版上有已经编译好的安装包。安装包里面包含 Google 身份验证器 二进制程序和 PAM 模块。在 Ubuntu 上安装 Google 身份验证器：$ sudo apt-get install libpam-google-authenticator在 Fedora 上安装 Google 身份验证器：$ sudo yum install google-authenticator在 CentOS 上安装 Google 身份验证器 ，需要首先启用 EPEL 软件库，然后运行如下命令（LCTT 译注：EPEL 库中可能已经删除了该软件包，请使用源代码编译方式安装）：$ sudo yum install google-authenticator如果不想使用已经编译好的安装包，或者你的 Linux 发行版不在此列，可以自行编译：
2、在 Linux 上编译 Google 身份验证器首先，安装构建 Google 身份验证器所需的软件包。在 Debian、 Ubuntu 或 Linux Mint 上：$ sudo apt-get install wget make gcc libpam0g-dev在 CentOS、 Fedora 或 RHEL上：$ sudo yum install wget make gcc pam-devel然后下载 Google 身份验证器的源代码，并按如下命令编译（已经从 Google Code 迁移到了 Github）。$ wget https://github.com/google/google-authenticator/archive/master.zip$ unzip master.zip$ cd google-authenticator-master/libpam$ ./bootstrap.sh$ ./configure$ make如果构建成功，你会在目录中看到 pam_google_authenticator.so 和 google-authenticator 两个文件
3、最后，将 Google 身份验证器安装到合适位置。默认会安装到 /usr/local/lib/security 下，根据你的系统不同，你可能需要将其符号链接到 pam 库的位置（比如 CentOS 7 会在 /usr/lib64/security）。$ sudo make install
排错
1、当编译 Google 身份验证器时出现如下错误：fatal error: security/pam_appl.h: No such file or directory要修复这个问题，请安装如下依赖包。在 Debian、 Ubuntu 或 Linux Mint 上：$ sudo apt-get install libpam0g-dev在 CentOS、 Fedora 或 RHEL 上：$ sudo yum install pam-devel当 Google 身份验证器安装好后，你需要在 Linux 主机上创建验证密钥，并且在安卓设备上注册，注意这项配置操作是一次性的。我们将详细叙述如何完成这些操作：
生成验证密钥
1、在 Linux 主机上运行 Google 身份验证器：$ google-authenticator你将看到一个二维码，它使用如下图形表示我们数字形态的密钥。一会我们要用到它在安卓设备上完成配置。Google 身份验证器会问一些问题，如果你不确定，就回答 Y。这个应急备用验证码（图中 emergency scratch codes）可以在你由于丢失了绑定的安卓设备的情况下（所以不能得到生成的一次性密码）恢复访问。最好将应急备用验证码妥善保存。
在安卓设备上运行 Google 身份验证器
1、我们需要在安卓设备上安装Google 身份验证器应用才能完成双因子认证，到 Google Play 下载并安装一个。在安卓设备上运行 Google 身份验证器，找到下图所示中的配置菜单。你可以选择“Scan a barcode” 或者“Enter provided key”选项。“Scan a barcode”允许你扫描二维码来完成密钥的输入，在此可能需要先安装扫描软件Barcode Scanner 应用。如果选择“Enter provided key”选项，你可以使用键盘输入验证密钥，如下图所示：无论采用上述两种选项的任何方式，一旦成功，你将看到注册成功提示和一次性密码，如下图所示：
