2FA登錄Ubuntu的16.04 LTS

Question

我想實現2FA登錄我的Ubuntu機器，以提高安全性與加密的主文件夾。我選擇使用google authenticator pam模塊，因爲這也可以離線工作。我已經按照谷歌的GitHub的倉庫https://github.com/google/google-authenticator/blob/f2db05c52884e4d6c3894f5fd2cf10f0f686aec2/libpam/README.md的文件，但在我看來，你可以很容易地繞過MFA爲：

• 的設置保存在一個文件.google_authenticator
• 設置文件包含密鑰，您可以使用該帳戶添加到谷歌認證應用接收OTP令牌
• 的.google_authenticator文件必須另有坐在你的加密文件夾的外面，你不能登錄因此
• 如果直接啓動到根shell（恢復）。您可以從文件中獲取密鑰，從而繞過第二個因素。

因此，我有以下問題：

• 我失去了在谷歌認證建立的東西嗎？
• 有沒有其他解決方案可以脫機工作，不能輕易繞過？如果直接引導至一個根殼（恢復）

Answer 1

因此

有一個理由，其原因是因爲你如上所述 - >恢復。 因此，除了2FA的範圍之外，您不會錯過任何東西：是的，如果您可以直接訪問服務器，它可以被繞過，但它確保遠程訪問（SSH）完全正常。不幸的是，沒有辦法禁止這一點。