Un deuxième facteur est défini comme indépendant du premier facteur. Cela signifie que votre système doit rester sécurisé, même si l'un des facteurs est compromis (et que vous êtes conscient du compromis).

Par exemple, un badge de porte et une empreinte digitale sont indépendants l'un de l'autre, et juste avoir le badge de porte ou l'empreinte digitale ne suffit pas pour y accéder. Ceci est souvent appelé "authentification multi-étapes" au lieu de "authentification multi-facteurs".

Maintenant, imaginez votre scénario: vous avez une clé privée, chiffrée avec une phrase de passe forte. Sont ces deux facteurs? Non, car la clé privée peut également exister sans mot de passe. Un attaquant qui compromet la clé privée peut ainsi se connecter à votre système, même sans connaître cette phrase de passe. En fait, le serveur ignore complètement si votre clé privée est protégée par une phrase de passe ou non.

Si vous voulez une véritable authentification multifacteur, il existe des modules SSH qui font exactement cette. Cela étant dit, une clé privée chiffrée avec un mot de passe fort suffit souvent.

Remarque: La question d'origine parle "d'une clé SSH avec une phrase de passe se connecter sur un serveur ", que j'ai interprété comme une clé privée, chiffrée avec une phrase de passe.

Oui

2FA nécessite deux facteurs ou catégories d'authentification différents. (Ils doivent être de catégories différentes; un mot de passe et un code PIN ne seraient pas considérés comme 2FA.)

Wikipédia fournit une excellente liste de facteurs:

• Facteurs de connaissance: mot de passe, code PIN, questions secrètes
• Facteurs de possession:
  • Jetons déconnectés (lisibles par l'homme): Google Authenticator
  • Jetons connectés (lisibles par machine) : YubiKey
  • Jetons logiciels: certificat X.509, clé privée SSH
• Facteurs inhérents:
  • Biométrie: empreinte digitale, voix, iris
  • Comportement: frappes, signature
• Localisation: réseaux physiquement sécurisés

Votre mot de passe est un facteur de connaissance ; votre clé SSH est un facteur de possession.

Notez que la facilité de duplication n'empêche pas qu'une clé SSH est un facteur de possession. Les clés physiques peuvent être copiées avec un appareil photo, une imprimante et une canette de soda; ils sont toujours un facteur de possession.

Le but de l'authentification multifacteur est de tirer parti des avantages de plusieurs types d'authentification, réduisant ainsi le risque de compromission.

Votre mot de passe est suffisamment court pour ne jamais être écrit et donc difficile à obtenir. Votre clé SSH est longue et donc difficile à deviner.

Ensemble, ils rendent une attaque réussie moins probable.

EDIT: Plusieurs personnes ont estimé que, parce que la clé pouvait être utilisée non chiffrée, ce n'était plus 2FA.

C'est tout simplement absurde.

Si vous pouvez créer une clé SSH non chiffrée sans compromettre deux facteurs, puis utiliser ces informations pour affirmer que c'est tout ce dont vous avez besoin, pourquoi ne pas vous épargner du travail et créer des copies des fichiers du serveur?

Déclarer

Tout ce dont vous avez besoin pour accéder aux fichiers du serveur est une clé SSH non chiffrée

n'est pas différent de déclarer

Tout ce dont vous avez besoin pour accéder aux fichiers du serveur est un ZIP des fichiers du serveur.

Mais comment avez-vous obtenu cette clé / code ZIP? Vous avez dû faire des compromis sur plusieurs facteurs. (Ou il y a une porte dérobée que vous ajoutez, comme l'accès à la salle des serveurs.)

Il est vrai que ce n'est pas une utilisation exécutable par le serveur de 2FA. Dans un contexte organisationnel, il est souvent nécessaire que le 2FA soit exécutoire de manière centralisée. Mais

1. Ce n’est pas la question.

2. La mise en application du serveur n’est jamais le dernier mot d’un système de sécurité de toute façon.

   1. Si une porte nécessite une clé physique et un code PIN de clavier, cette porte «applique» la 2FA autant que n'importe qui le peut. Mais lorsque vous imprimez le code PIN sur toutes les clés, vous avez un système 1FA.

   2. De même, vous pouvez augmenter les facteurs. Un ordinateur portable protégé par mot de passe derrière une porte avec une clé physique est 2FA, malgré le fait qu'il n'y ait pas un seul composant imposant les deux facteurs. Vous pouvez retirer l'ordinateur portable de la pièce et réduire la sécurité à 1FA, mais jusqu'à ce que vous fassiez cela, il existe un système 2FA.

EDIT2: Cette réponse explique également pourquoi la pratique courante d'une clé de chiffrement distincte protégée par mot de passe - qui est ce qu'est une clé SSH - est à deux facteurs: la clé (quelque chose que vous avez) et le mot de passe (quelque chose que vous savez). Quelqu'un doit obtenir les deux pour produire une clé de chiffrement nue nécessaire pour accéder aux données.

Non . D'autres réponses sont assez proches, mais il manque un facteur important.

Je ne répéterai pas en détail ce que les autres disent, résumons simplement que pour que la clé SSH + le mot de passe soient multifactoriels dans votre cas, il faudrait être "quelque chose que vous savez" + "quelque chose que vous possédez".

Ce que je dirais, c'est que si vous n'avez besoin que de connaissances pour reproduire efficacement "quelque chose que vous avez" (pour que personne ne puisse le dire qui est original et qui est une copie), alors ce n'est pas "quelque chose que vous avez" mais "quelque chose que vous savez" à la place.

Par exemple, si je ne me souviens pas de mon mot de passe et que je l'ai écrit sur un morceau de papier, ça n'arrête pas d'être "quelque chose que je sais" et de devenir "quelque chose que j'ai". C'est toujours juste un mot de passe (même s'il est difficile à retenir), et une fois que quelqu'un l'apprend, il peut me faire passer pour n'importe quel moment sans que je le sache. C'est la même chose avec la clé privée SSH. Ce ne sont que des données, et les données sont par définition "quelque chose que vous (pourriez) savoir (et en faire une copie exacte et indiscernable sans effort)".

La caractéristique principale pour que quelque chose soit "quelque chose que j'ai" est à quel point il est difficile de copier par un tiers non autorisé, car la principale caractéristique de efficace "quelque chose que j'ai" est que la seule façon réaliste pour l'attaquant de l'avoir est de ne plus l'avoir ( car je ne manquerai pas de le remarquer).

Bien sûr, il y a beaucoup de nombreuses zones grises , comme mentionné dans certains articles. Les cartes bancaires à puce seraient «quelque chose que j'ai» aujourd'hui, car il n'est pas possible (sans beaucoup d'efforts, de personnel et d'argent) de créer un duplicata de travail authentique. Cependant, une carte bancaire autorisée uniquement par magstripe, dont tout caissier peut faire une copie avec un équipement de 25 $ et 1 $ de matériel n'est plus efficace "quelque chose que j'ai".

De plus, à mesure que la technologie progresse, les définitions changent. Il était une fois, MD4 était un cryptohash. De nos jours, ce n'est certainement PAS - c'est juste un hash, pas mieux pour être un cryptohash qu'un simple Checksum.

Donc, "clé privée SSH + phrase de passe" échoue en fait à être une méthode d'authentification à deux facteurs sur deux fronts:

1. La clé privée SSH est juste une information et non un objet physique, donc c'est par définition "quelque chose que vous connaissez" et non "quelque chose que vous avez".
2. si un facteur d'authentification est totalement inefficace pour rendre plus difficile pour l'attaquant de réussir l'authentification, peut-il encore être appelé facteur d'authentification? Si votre serveur applique une longueur de mot de passe maximale de 1 caractère et aucune limite sur le nombre d'essais, s'agit-il toujours d'un facteur d'authentification? En théorie stricte, c'est peut-être le cas, mais en pratique, il ne s'agit que d'un théâtre de sécurité.

Notez que cela ne signifie pas que la clé privée ssh + la phrase de passe est mauvaise: c'est bien mieux qu'un mot de passe simple ou une clé privée non protégée. Mais ce n'est pas à 2 facteurs.

Mais si vous voulez une sécurité supplémentaire fournie par l'authentification à deux facteurs dans ssh , vous pouvez configurer l'authentification à deux facteurs dans ssh, de préférence en plus d'avoir sa clé privée protégée par une phrase secrète.

Du point de vue du service: Non, une clé privée SSH protégée par mot de passe n'est pas une authentification multifactorielle.

Le serveur SSH n'a aucun moyen de savoir si la clé privée est cryptée ou non, et n'a aucun moyen de savoir quelle peut être cette phrase secrète actuelle. Le plus proche que le serveur peut obtenir est, si la paire de clés est générée sur le serveur, il peut capturer la phrase de passe à ce moment. (Ce serait très inhabituel, et je mettrais en doute la sécurité de tout système qui le fait.) Une fois que la clé privée a quitté le serveur, la seule chose qu'elle puisse affirmer est qu'à un moment donné, quelqu'un a utilisé la phrase de passe pour décrypter la clé. Le serveur ne sait pas s'il a été déchiffré il y a quelques secondes dans le cadre de l'authentification ou si la clé privée est actuellement située sur le disque de la machine cliente complètement non chiffrée.

Donc, bien qu'il soit une bonne pratique de chiffrer le privé clé avec une phrase de passe, la poignée de main d'authentification entre le client et le serveur n'utilise pas cette phrase de passe, donc la phrase de passe ne fait pas partie de l'authentification.

Quant à savoir si la clé privée est quelque chose que vous avez ou quelque chose que vous savez, Je soutiens que c'est quelque chose que vous avez, parce que vous ne passez pas la clé privée directement au serveur, vous prouvez que vous avez la clé privée:

La prise de contact d'authentification se déroule comme suit:

1. Le client sélectionne une clé à utiliser et envoie l'ID de la clé au serveur.
2. Le serveur obtient le public key depuis ~ / .ssh / allowed_keys , génère un nonce et le chiffre avec cette clé publique.
3. Le client décrypte le nonce avec sa clé privée, puis MD5 le hache avec la session partagée en tant que salt.
4. Si le serveur récupère le hachage attendu, l'utilisateur est authentifié.

Il s'agit d'un processus différent de celui de passer un mot de passe; vous prouvez plus que des connaissances, vous prouvez que vous disposez d'un système capable d'effectuer le décryptage d'un message chiffré avec une clé publique spécifique.

En sécurité physique, quelque chose que vous savez serait mis en œuvre avec un défi-réponse: le gardien crie un mot et vous répondez. (Cela authentifie également le gardien. Ne donnez pas le mot de passe du jour à quelqu'un simplement parce qu'il porte un uniforme.)

De même pour la sécurité physique, quelque chose que vous avez est une clé. Oui, la clé contient des informations faciles à copier et qui pourraient même être mémorisées, mais à moins que ces données ne soient coupées dans un objet physique, les données ne servent à rien. Avec une clé, vous prouvez plus que des connaissances, vous prouvez que vous avez un objet capable de soulever les goupilles du culbuteur à la bonne hauteur. Et tout comme la phrase de passe sur une clé privée ne fait pas partie de l'authentification, que l'outil utilisé pour faire tourner le culbuteur soit la clé prévue, une copie ou un ensemble de crochets de verrouillage ne fait pas non plus partie de l'authentification.

Eh bien, il y a quelques réponses qui sont correctes mais où les arguments suivants font rage dans les commentaires montrent qu'ils ne sont pas assez clairs, donc je pense qu'il y a encore de la place pour souligner le point clé suivant:

• L'authentification multifacteur est une stratégie d'authentification dans laquelle le vérificateur exige plusieurs facteurs d'authentification (et idéalement indépendants) du demandeur.

Le paramètre ici est sorte de protocole d'authentification avec deux parties:

1. Un demandeur qui revendique une identité spécifique et doit la prouver;
2. Un vérificateur essayant de confirmer l'identité revendiquée et de rejeter les imposteurs.

En SSH, le demandeur est le client et le vérificateur est le serveur. Dans la configuration la plus courante, le serveur n'exige pas que la clé privée du client soit chiffrée avec le mot de passe, ce qui signifie que ce n'est pas MFA . C'est juste le choix discrétionnaire du client de crypter sa clé privée.

En plus de la réponse de @ MechMK1, le «facteur» dans les mécanismes d'authentification se divise en 3 catégories -

1. Quelque chose que vous savez - Mots de passe, PIN
2. Quelque chose que vous have - Cartes de crédit, clés USB
3. Quelque chose à propos de vous - Bio-métrique, reconnaissance faciale

Si vous voulez maintenant 2FA, vous devez en choisir un dans chaque catégorie. Par exemple. Empreinte digitale plus mot de passe, carte de crédit plus code PIN, etc. Avoir deux facteurs de la même catégorie est aussi bon que d'en avoir un seul. Par exemple. Deux mots de passe ne comptent pas pour 2FA.

Pour revenir à votre question, la clé SSH et la phrase de passe appartiennent également à "Quelque chose que vous savez" et, par conséquent, ne comptent pas comme 2FA.

Non. Ce ne sont pas des facteurs différents. Une clé ssh chiffrée n'est pas "quelque chose que vous avez", car ce n'est pas un objet que vous devez contrôler physiquement (c'est quand même bien meilleur qu'un simple mot de passe).

D'un autre côté, un La clé ssh qui a été stockée sur un périphérique d'authentification USB (un Yubikey, U2F ...) serait qualifiée de deuxième facteur.