Google Authenticator - 版の履歴

Kusanaginoturugi: /* SSH */ 校正(two-pass authentication --> 2 パス認証)

2024-09-05T12:19:08Z

SSH: 校正(two-pass authentication --> 2 パス認証)

← 古い版		2024年9月5日 (木) 21:19時点における版
28行目:		28行目:
	{{Warning\|すべての設定を [[SSH]] 経由で行う場合、すべてが正常に動作することを確認するまでセッションを閉じないでください。さもないと、ログインできなくなる可能性があります。}}		{{Warning\|すべての設定を [[SSH]] 経由で行う場合、すべてが正常に動作することを確認するまでセッションを閉じないでください。さもないと、ログインできなくなる可能性があります。}}

	通常、リモートログインに対してのみ~~二要素~~認証を要求します。対応する PAM 設定ファイルは {{ic\|/etc/pam.d/sshd}} です。Google Authenticator を全体に適用したい場合は、{{ic\|/etc/pam.d/system-auth}} を変更する必要がありますが、この場合は非常に慎重に進め、ログインできなくなることを避けてください。		通常、リモートログインに対してのみ 2 パス認証を要求します。対応する PAM 設定ファイルは {{ic\|/etc/pam.d/sshd}} です。Google Authenticator を全体に適用したい場合は、{{ic\|/etc/pam.d/system-auth}} を変更する必要がありますが、この場合は非常に慎重に進め、ログインできなくなることを避けてください。
	このガイドでは、最も安全な（必ずしも必要ではありませんが）ローカルセッションで {{ic\|/etc/pam.d/sshd}} を編集します。		このガイドでは、最も安全な（必ずしも必要ではありませんが）ローカルセッションで {{ic\|/etc/pam.d/sshd}} を編集します。

Kusanaginoturugi: /* テスト */ add TranslationStatus.

2024-09-05T11:39:39Z

テスト: add TranslationStatus.

← 古い版		2024年9月5日 (木) 20:39時点における版
210行目:		210行目:
	Password: ''password''		Password: ''password''
	$		$

			{{TranslationStatus\|Google Authenticator\|2024-09-05\|811688}}

Kusanaginoturugi: /* 使用方法 */ 記事を追加

2024-09-05T11:37:50Z

使用方法: 記事を追加

← 古い版		2024年9月5日 (木) 20:37時点における版
87行目:		87行目:
	== 使用方法 ==		== 使用方法 ==

	~~二段階~~認証を使用したいユーザーは、それぞれ		2 パス認証を使用したいユーザーは、それぞれ
	* ホームフォルダにシークレットキーのファイルを生成し、		* ホームフォルダにシークレットキーのファイルを生成し、
	* 対応する OTP ジェネレーターを設定する必要があります。		* 対応する OTP ジェネレーターを設定する必要があります。

Kusanaginoturugi: /* SSH */ 名称を変更

2024-09-05T09:38:23Z

SSH: 名称を変更

← 古い版		2024年9月5日 (木) 18:38時点における版
47行目:		47行目:
	auth '''sufficient''' pam_google_authenticator.so		auth '''sufficient''' pam_google_authenticator.so

	{{ic\|/etc/ssh/sshd_config.d/'''99-archlinux.conf'''}} でキーボード~~インタラクティブ~~認証を有効にします。		{{ic\|/etc/ssh/sshd_config.d/'''99-archlinux.conf'''}} でキーボード対話型認証を有効にします。

	KbdInteractiveAuthentication yes		KbdInteractiveAuthentication yes

Kusanaginoturugi: /* デスクトップログイン */ 記事を追加

2024-09-05T09:33:40Z

デスクトップログイン: 記事を追加

← 古い版		2024年9月5日 (木) 18:33時点における版
84行目:		84行目:

	auth required pam_google_authenticator.so		auth required pam_google_authenticator.so

			== 使用方法 ==

			二段階認証を使用したいユーザーは、それぞれ
			* ホームフォルダにシークレットキーのファイルを生成し、
			* 対応する OTP ジェネレーターを設定する必要があります。

			=== シークレットキーのファイル生成 ===

			{{Tip\|スキャン可能な QR コードを生成するために {{Pkg\|qrencode}} を[[インストール]]してください。QR コードを認証アプリでスキャンすると、自動的にキーが設定されます。}}

			''google-authenticator'' は以下のように TOTP シークレットキーのファイルを生成します。

			{{hc\|$ google-authenticator\|
			Do you want authentication tokens to be time-based (y/n) y
			''generated_QR_code_here''
			Your new secret key is: ZVZG5UZU4D7MY4DH
			Your verification code is 269371
			Your emergency scratch codes are:
			70058954
			97277505
			99684896
			56514332
			82717798

			Do you want me to update your "/home/''username''/.google_authenticator" file (y/n) y

			Do you want to disallow multiple uses of the same authentication
			token? This restricts you to one login about every 30s, but it increases
			your chances to notice or even prevent man-in-the-middle attacks (y/n) y

			By default, tokens are good for 30 seconds and in order to compensate for
			possible time-skew between the client and the server, we allow an extra
			token before and after the current time. If you experience problems with poor
			time synchronization, you can increase the window from its default
			size of 1:30min to about 4min. Do you want to do so (y/n) n

			If the computer that you are logging into is not hardened against brute-force
			login attempts, you can enable rate-limiting for the authentication module.
			By default, this limits attackers to no more than 3 login attempts every 30s.
			Do you want to enable rate-limiting (y/n) y
			}}

			'''緊急スクラッチコードを安全に保管'''することをお勧めします（印刷して安全な場所に保管してください）。これらは、携帯電話（OTP ジェネレーター）を紛失した場合、SSH を介してログインする唯一の方法です。また、{{ic\|~/.google_authenticator}} にも保存されているため、ログインしている限りいつでも確認できます。

			==== 保存場所 ====

			シークレットキーのファイル保存パスを変更したい場合は、{{ic\|--secret}} フラグを使用します。

			$ google-authenticator --secret="/''path_folder''/''username''"

			その後、PAM の場所パスを {{ic\|/etc/pam.d/sshd}} で忘れずに変更します。

			{{hc\|/etc/pam.d/sshd\|2=
			auth required pam_google_authenticator.so user=root secret=/''path_folder''/${USER}
			}}

			{{ic\|1=user=root}} は、PAM に root ユーザーを使用してファイルを検索させるために使用されます。

			また、シークレットキーのファイルのパーミッションに注意してください。ファイルは'''所有者のみ読み取り可能'''でなければなりません（chmod: {{ic\|400}}）。ここでは、所有者は root です。

			$ chown root:root /''path_file''/''secret_key_files''
			$ chmod 400 /''path_file''/''secret_key_files''

			=== コード生成 ===

			最終設定ステップでは、各ユーザーがホームディレクトリに生成されたシークレットキーのファイルを選択した OTP ジェネレーターに関連付けて認証コードを生成する必要があります。冗長性のために、モバイル端末の OTP アプリケーションや別のパスワードマネージャーなど、複数のデバイスでジェネレーターを設定したり、以前に生成した緊急スクラッチコードをバックアップとして利用することもできます。

			==== モバイル端末ジェネレーター ====

			携帯電話にジェネレーターアプリケーションをインストールします（例）：

			* Android 用 [[Wikipedia:FreeOTP\|FreeOTP]]（[https://f-droid.org/packages/org.fedorahosted.freeotp/ F-Droid]、[https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp Google Play]）または iOS 用（[https://itunes.apple.com/app/freeotp-authenticator/id872559395 App Store]）。
			* Android 用 '''FreeOTP+'''（[https://f-droid.org/packages/org.liberty.android.freeotpplus/ F-Droid]、[https://play.google.com/store/apps/details?id=org.liberty.android.freeotpplus Google Play]）。
			* Android 用 '''Aegis'''（[https://f-droid.org/packages/com.beemdevelopment.aegis/ F-Droid]、[https://play.google.com/store/apps/details?id=com.beemdevelopment.aegis Google Play]）。
			* Android 用 [[Wikipedia:Bitwarden\|Bitwarden]]（[https://mobileapp.bitwarden.com/fdroid/ F-Droid]、[https://play.google.com/store/apps/details?id=com.x8bit.bitwarden Google Play]）または iOS 用（[https://apps.apple.com/app/bitwarden-password-manager/id1137397744 App Store]）。
			* Android 用 [[Wikipedia:Google Authenticator\|Google Authenticator]]（[https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Google Play]）または iOS 用（[https://itunes.apple.com/app/google-authenticator/id388497605 App Store]）。

			モバイルアプリケーションで新しいアカウントを作成し、シークレットキーのファイル生成時に表示された URL から QR コードをスキャンするか、シークレットキー（上記の例では「ZVZG5UZU4D7MY4DH」）を手動で入力します。

			これで、携帯電話に 30 秒ごとに新しいパスコードトークンが生成されるはずです。

			Google Authenticator を他のシステムでも設定している場合、デバイスを紛失するとそれらのシステムにログインできなくなることがあります。コードを生成する追加の方法を持つことが役立ちます。

			==== コードマネージャー ====

			Google Authenticator コードの表示、生成、保存、管理を可能にするスクリプトは {{AUR\|gashell}} によって提供されています。代替オプションとして {{AUR\|auther-git}} もあります。

			==== KeePassXC ====

			GUI パスワードマネージャー {{Pkg\|keepassxc}} では、Google Authenticator コードをエントリに関連付け、その後 OTP コードを生成して QR コード経由でキーをエクスポートすることができます。

			==== コマンドライン ====

			最も簡単なコード生成方法は {{man\|1\|oathtool}} です。これは {{Pkg\|oath-toolkit}} パッケージに含まれており、次のように使用できます。

			$ oathtool --totp --base32 ''secret_key''

			ほとんどの Android システムでは、Google Authenticator データベースをデバイスからコピーして直接アクセスできます。このデータベースは [[SQLite]] データベースです。ただし、[https://gist.github.com/jbinto/8876658 2022年7月のある時点] で、アカウントテーブルのシークレット列で暗号化が使用され始めました。データベースバックアップでこの暗号化が使用されていない場合、このシェルスクリプトを使用して Google Authenticator データベースを読み取り、見つかった各キーのライブコードを生成できます。

			{{hc\|google-authenticator.sh\|2=
			#!/bin/sh

			# これは Google Authenticator アプリファイルへのパスです。通常は
			# Android の /data にあります。PC にコピーして安全な場所に保管し、
			# ここにそのパスを指定します。
			DB="/path/to/com.google.android.apps.authenticator/databases/databases"

			sqlite3 "$DB" 'SELECT email,secret FROM accounts;' {{!}} while read A
			do
			NAME=`echo "$A" {{!}} cut -d '{{!}}' -f 1`
			KEY=`echo "$A" {{!}} cut -d '{{!}}' -f 2`
			CODE=`oathtool --totp -b "$KEY"`
			echo -e "\e[1;32m$CODE\e[0m - \e[1;33m$NAME\e[0m"
			done
			}}

			=== テスト ===

			別のマシンや別のターミナルウィンドウからホストに SSH 接続します。

			$ ssh ''hostname''
			login as: ''username''
			Verification code: ''generated/backup_code''
			Password: ''password''
			$

Kusanaginoturugi: 古い記事を削除

2024-09-05T09:27:30Z

古い記事を削除

← 古い版		2024年9月5日 (木) 18:27時点における版
84行目:		84行目:

	auth required pam_google_authenticator.so		auth required pam_google_authenticator.so

	==秘密鍵ファイルの生成==

	{{Tip\|QR コードを生成するには {{Pkg\|qrencode}} をインストールします。認証アプリで QR コードをスキャンすれば自動的に鍵が設定されます。}}

	2段階認証を使用したい場合はユーザーのホームフォルダに秘密鍵ファイルを生成する必要があります。''google-authenticator'' を使うことでとても簡単に生成することができます:

	$ google-authenticator
	Do you want authentication tokens to be time-based (y/n) y
	<Here you will see generated QR code>
	Your new secret key is: ZVZG5UZU4D7MY4DH
	Your verification code is 269371
	Your emergency scratch codes are:
	70058954
	97277505
	99684896
	56514332
	82717798

	Do you want me to update your "/home/username/.google_authenticator" file (y/n) y

	Do you want to disallow multiple uses of the same authentication
	token? This restricts you to one login about every 30s, but it increases
	your chances to notice or even prevent man-in-the-middle attacks (y/n) y

	By default, tokens are good for 30 seconds and in order to compensate for
	possible time-skew between the client and the server, we allow an extra
	token before and after the current time. If you experience problems with poor
	time synchronization, you can increase the window from its default
	size of 1:30min to about 4min. Do you want to do so (y/n) n

	If the computer that you are logging into is not hardened against brute-force
	login attempts, you can enable rate-limiting for the authentication module.
	By default, this limits attackers to no more than 3 login attempts every 30s.
	Do you want to enable rate-limiting (y/n) y

	緊急時のスクラッチコードを安全なところに保管しておくことを推奨します (例: コードを印刷して金庫にしまう)。携帯電話 (つまり OTP 生成ツール) をなくしてしまったときの唯一の (SSH による) ログイン手段となります。コードは {{ic\|~/.google_authenticator}} にも保存されるので、ログインしている間はいつでも確認することが可能です。

	==OTP 生成ツールの設定==
	下記から携帯電話に生成ツールをインストールしてください。

	* '''FreeOTP''' for [https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp Android]/[https://itunes.apple.com/es/app/freeotp-authenticator/id872559395 iOS].
	* '''Google Authenticator''' for [https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2 Android]/[https://itunes.apple.com/es/app/google-authenticator/id388497605 iOS].

	アプリケーションメニューから適切なボタンをクリックして新しいアカウントを作成し、秘密鍵ファイルを生成したときに表示される URL から QR コードをスキャンするか、秘密鍵を手動で入力します (上の例では 'ZVZG5UZU4D7MY4DH')。

	これで30秒ごとに新しく生成されるパスコードトークンをあなたの携帯で見ることができます。

	==テスト==
	他のマシンや他のターミナルウィンドウからホストに SSH で接続して認証システムが動作しているか確認してください:

	$ ssh hostname
	login as: <username>
	Verification code: <generated/backup-code>
	Password: <password>
	$

	==秘密鍵の保存場所==
	秘密鍵ファイルの置き場所を変更したい場合、{{ic\|--secret}} フラグを使います:

	$ google-authenticator --secret="/'''PATH_FOLDER'''/'''USERNAME'''"

	{{ic\|/etc/pam.d/sshd}} を編集して PAM の設定も忘れずに変更してください:

	{{hc\|/etc/pam.d/sshd\|2=
	auth required pam_google_authenticator.so user=root secret=/'''PATH_FOLDER'''/${USER}
	}}

	{{ic\|user=root}} を使うことで PAM は root ユーザーでファイルを検索します。

	また、秘密鍵ファイルのパーミッションに注意してください。所有者だけがファイルを読み込めるように設定してください。例えば root を所有者とする場合:

	# chown root:root /'''PATH_FILE'''/'''SECRET_KEY_FILES'''
	# chmod 400 /'''PATH_FILE'''/'''SECRET_KEY_FILES'''

	==デスクトップログイン==
	Google Authenticator の PAM プラグインをコンソールのログインや [[GDM]] のログインで使うこともできます。以下を {{ic\|/etc/pam.d/login}} または {{ic\|/etc/pam.d/gdm-password}} ファイルに追加してください:

	auth required pam_google_authenticator.so

	== コードの生成 ==

	OTP 生成アプリケーションをインストールした機器を紛失した場合、Google Authenticator が設定されたシステムにログインすることができなくなります。
	別の手段で生成したコードを使用することで、機器を紛失した場合でもログインすることができるようになります。

	=== コードの管理 ===

	{{AUR\|gashell}}を使用することで、google authenticatorのコードを表示、作成、管理することができます。代わりに、{{AUR\|auther-git}}を使うこともできます。

	=== コマンドライン ===

	{{ic\|oath-tool}}を使えば、簡単にコードを作成できます。{{Pkg\|oath-toolkit}}パッケージをインストールして、以下のコマンドを実行すれば作成できます。秘密鍵は、{{ic\|google-authenticator}}を実行した際に出力されるsecret key (上の例では 'ZVZG5UZU4D7MY4DH')になります。また、{{ic\|~/.google_authenticator}} でも確認することができます。

	$ oathtool --totp -b ''secret key''

	殆どのAndroidシステムでは、適切なユーザーであればGoogle Authenticator データベースをコピーしたり、sqlite3に直接アクセスすることができます。
	下記のスクリプトは、Google Authenticatorデータベースを読み出して、見つかった秘密鍵ごとにコードを生成します。

	{{hc\|google-authenticator.sh\|2=
	#!/bin/sh

	# This is the path to the Google Authenticator app file. It's typically located
	# in /data under Android. Copy it to your PC in a safe location and specify the
	# path to it here.
	DB="/path/to/com.google.android.apps.authenticator/databases/databases"

	sqlite3 "$DB" 'SELECT email,secret FROM accounts;' {{!}} while read A
	do
	NAME=`echo "$A" {{!}} cut -d '{{!}}' -f 1`
	KEY=`echo "$A" {{!}} cut -d '{{!}}' -f 2`
	CODE=`oathtool --totp -b "$KEY"`
	echo -e "\e[1;32m$CODE\e[0m - \e[1;33m$NAME\e[0m"
	done
	}}

Kusanaginoturugi: /* PAM の設定 */ 更新

2024-09-05T09:25:54Z

PAM の設定: 更新

@@ 18行目: / 18行目: @@
 クライアントプログラム {{man|1|google-authenticator}} と PAM モジュール {{ic|pam_google_authenticator.so}} を提供する {{Pkg|libpam-google-authenticator}} パッケージを[[インストール]]します。開発版は {{AUR|google-authenticator-libpam-git}} で利用可能です。
-==PAM の設定==
+== 設定 ==
  '''auth            required        pam_google_authenticator.so'''
@@ 32行目: / 39行目: @@
  session         include         system-remote-login
-こうすると Unix パスワードの前に OTP を尋ねるようになります。2つのモジュールの順番を入れ替えると訊かれる順序が逆になります。
+これにより、OTP が要求された後に UNIX パスワードの入力が求められます。これらのモジュールの順序を変更すると、順序が逆になります。
 ==秘密鍵ファイルの生成==

Kusanaginoturugi: /* インストール */ 更新

2024-09-05T09:17:51Z

インストール: 更新

← 古い版		2024年9月5日 (木) 18:17時点における版
14行目:		14行目:
	逆の操作（Linux 上で Google Authenticator 互換のコードを生成する方法）については、以下の[[#Code generation\|コード生成]]を参照してください。		逆の操作（Linux 上で Google Authenticator 互換のコードを生成する方法）については、以下の[[#Code generation\|コード生成]]を参照してください。

	==インストール==		== インストール ==

	{{Pkg\|libpam-google-authenticator}} パッケージをインストールし~~てください~~。開発版は {{AUR\|google-authenticator-libpam-git}} で~~インストール~~できます。		クライアントプログラム {{man\|1\|google-authenticator}} と PAM モジュール {{ic\|pam_google_authenticator.so}} を提供する {{Pkg\|libpam-google-authenticator}} パッケージを[[インストール]]します。開発版は {{AUR\|google-authenticator-libpam-git}} で利用可能です。

	==PAM の設定==		==PAM の設定==

Kusanaginoturugi: 序文のリンクを修正

2024-09-05T09:15:25Z

序文のリンクを修正

← 古い版		2024年9月5日 (木) 18:15時点における版
10行目:		10行目:
	{{Related\|アイデンティティ管理}}		{{Related\|アイデンティティ管理}}
	{{Related articles end}}		{{Related articles end}}
	[https://github.com/google/google-authenticator Google Authenticator] は、ワンタイムパスコード ([[Wikipedia:One-time password\|OTP]]) を使用した二段階認証手続きを提供します。この認証方式は、[[~~Initiative for Open Authentication~~\|~~Initiative for Open Authentication~~ (OATH)]] によって最初に標準化されました。認証メカニズムは Linux の [[PAM]] システムに統合されています。本ガイドでは、このメカニズムのインストールと設定方法を紹介します。		[https://github.com/google/google-authenticator Google Authenticator] は、ワンタイムパスコード ([[Wikipedia:One-time password\|OTP]]) を使用した二段階認証手続きを提供します。この認証方式は、[[オープン認証イニシアチブ\|オープン認証イニシアチブ(OATH)]] によって最初に標準化されました。認証メカニズムは Linux の [[PAM]] システムに統合されています。本ガイドでは、このメカニズムのインストールと設定方法を紹介します。

	逆の操作（Linux 上で Google Authenticator 互換のコードを生成する方法）については、以下の[[#Code generation\|コード生成]]を参照してください。		逆の操作（Linux 上で Google Authenticator 互換のコードを生成する方法）については、以下の[[#Code generation\|コード生成]]を参照してください。

Kusanaginoturugi: 序文を更新

2024-09-05T09:14:30Z

序文を更新

← 古い版		2024年9月5日 (木) 18:14時点における版
10行目:		10行目:
	{{Related\|アイデンティティ管理}}		{{Related\|アイデンティティ管理}}
	{{Related articles end}}		{{Related articles end}}
	[https://github.com/google/google-authenticator Google Authenticator] はワンタイムパスコード (OTP) ~~による2~~段階認証を提供します。~~OTP 生成アプリケーション~~は ~~iOS,~~ ~~Android,~~ ~~Blackberry~~ ~~で利用できます。[[S/KEY~~ 認証]]~~と同じ~~ように認証機構は Linux の [[PAM]] システムに統合されています。このガイドではこの~~機構を~~インストール・設定する方法を示します。		[https://github.com/google/google-authenticator Google Authenticator] は、ワンタイムパスコード ([[Wikipedia:One-time password\|OTP]]) を使用した二段階認証手続きを提供します。この認証方式は、[[Initiative for Open Authentication\|Initiative for Open Authentication (OATH)]] によって最初に標準化されました。認証メカニズムは Linux の [[PAM]] システムに統合されています。本ガイドでは、このメカニズムのインストールと設定方法を紹介します。

			逆の操作（Linux 上で Google Authenticator 互換のコードを生成する方法）については、以下の[[#Code generation\|コード生成]]を参照してください。

	==インストール==		==インストール==

← 古い版		2024年9月5日 (木) 21:19時点における版
28行目:		28行目:
	{{Warning\|すべての設定を [[SSH]] 経由で行う場合、すべてが正常に動作することを確認するまでセッションを閉じないでください。さもないと、ログインできなくなる可能性があります。}}		{{Warning\|すべての設定を [[SSH]] 経由で行う場合、すべてが正常に動作することを確認するまでセッションを閉じないでください。さもないと、ログインできなくなる可能性があります。}}

	通常、リモートログインに対してのみ~~二要素~~認証を要求します。対応する PAM 設定ファイルは {{ic\|/etc/pam.d/sshd}} です。Google Authenticator を全体に適用したい場合は、{{ic\|/etc/pam.d/system-auth}} を変更する必要がありますが、この場合は非常に慎重に進め、ログインできなくなることを避けてください。		通常、リモートログインに対してのみ 2 パス認証を要求します。対応する PAM 設定ファイルは {{ic\|/etc/pam.d/sshd}} です。Google Authenticator を全体に適用したい場合は、{{ic\|/etc/pam.d/system-auth}} を変更する必要がありますが、この場合は非常に慎重に進め、ログインできなくなることを避けてください。
	このガイドでは、最も安全な（必ずしも必要ではありませんが）ローカルセッションで {{ic\|/etc/pam.d/sshd}} を編集します。		このガイドでは、最も安全な（必ずしも必要ではありませんが）ローカルセッションで {{ic\|/etc/pam.d/sshd}} を編集します。