Deshabilitar módulo PAM para grupo

Recientemente habilité la autenticación de dos factores usando google-authenticator en mi servidor SSH. Sin embargo, ahora estoy enfrentando un problema:

Tengo un grupo diferente de usuarios en mi servidor que estoy usando para SFTP, pero ese grupo ya no puede iniciar sesión ya que 2FA no está configurado para los usuarios del grupo. ¿Es posible deshabilitar el módulo google-authenticator para ese grupo? Habilitarlo para los usuarios del grupo no es una opción porque varios usuarios usarán esta cuenta.

PD: yo uso openssh-server

Puede usar el pam_succeed_ifmódulo (consulte la página del manual) antes pam_google_authenticatorde omitir esta parte para su grupo:

# the other authentication methods, such as @include common-auth
auth [success=1 default=ignore] pam_succeed_if.so user ingroup group
auth required pam_google_authenticator ...

Algunos clientes SFTP pueden manejar 2FA. Por ejemplo, estoy usando 2FA con FileZilla y WinSCP y funcionan. También he configurado la autenticación de clave ssh y funciona junto con 2FA.

Sin embargo, su pregunta es interesante e hice una breve encuesta. Encontré esta respuesta .

Por lo tanto, es posible (y fácil) ejecutar instancias ssh separadas. Ya lo he probado.

1. Haga copias separadas del sshd_configarchivo.

   $ sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config_pwd
   $ sudo cp /etc/ssh/sshd_config /etc/ssh/sshd_config_2fa
   

2. Edite estos nuevos configarchivos. Una de las cosas que debe cambiar es el puerto shh. Según el ejemplo:

   2.a) sshd_config_pwdlas líneas específicas son:

   Port 1022
   ...
   PasswordAuthentication yes
   ChallengeResponseAuthentication no
   UsePAM no
   

   2.b) sshd_config_2falas líneas específicas son:

   Port 2022
   ...
   PasswordAuthentication no
   ChallengeResponseAuthentication yes
   UsePAM yes
   

3. Abra los puertos necesarios en el firewall. Según el ejemplo:

   $ sudo ufw limit 1022
   $ sudo ufw limit 2022
   

4. Ejecute las nuevas instancias ssh:

   $ sudo /usr/sbin/sshd -f /etc/ssh/sshd_config_pwd
   $ sudo /usr/sbin/sshd -f /etc/ssh/sshd_config_2fa
   

Eso es.

A continuación se hará Google 2FA obligatoria para todos los usuarios
excepto a los usuarios que pertenecen al sudo y administrador de grupo
(es decir, si un usuario de sudo grupo o administrador no tiene 2FA configurado, le autenticará / ella en función de su clave pública):

Expediente: /etc/pam.d/sshd

auth required pam_google_authenticator.so nullok
auth optional pam_succeed_if.so user ingroup sudo
auth optional pam_succeed_if.so user ingroup admin

Expediente: /etc/ssh/sshd_config

AuthenticationMethods publickey,keyboard-interactive
UsePAM yes
ChallengeResponseAuthentication yes

Resultados:

          |  Belongs to sudo or  |  Has 2FA Already Setup      |  Authentication Result
          |  admin group         |  in ~/.google_authenticator | 
----------+----------------------+-----------------------------+------------------------
User A    |          NO          |       NO                    | DENIED LOGIN UNTIL 2FA IS SETUP
User B    |          YES         |       NO                    | CAN LOGIN (PRIVATE/PUBLIC KEY USED)

User C    |          NO          |       YES                   | CAN LOGIN (PRIVATE/PUBLIC KEY AND 2FA USED)

User D    |          YES         |       YES                   | CAN LOGIN (PRIVATE/PUBLIC KEY AND 2FA USED)

De acuerdo con la documentación README.md de Google Authenticator :

nullok

PAM requiere al menos una respuesta de ÉXITO de un módulo, y nullok hace que este módulo diga IGNORE. Esto significa que si se usa esta opción, al menos otro módulo debe haber dicho ÉXITO. Una forma de hacerlo es agregar la autenticación requerida pam_permit.so al final de la configuración de PAM.

Esto hace que el uso de nullokaquí sea seguro.