带有 SSH 的 Google Authenticator PAM、服务器和客户端时差导致身份验证失败答案

【问题标题】：Google Authenticator PAM with SSH, server and client time difference causing authentication failure带有 SSH 的 Google Authenticator PAM、服务器和客户端时差导致身份验证失败
【发布时间】：2015-11-19 04:00:44
【问题描述】：

我正在使用带有 SSH 登录的 Google authenticator PAM module，我的设置在我的本地设置中通过我的家庭网络运行。但是当我在公共服务器上安装时，服务器和客户端（谷歌身份验证器安卓应用程序）之间的时间差导致 OTP 验证失败。我正在使用基于时间的 OTP 代码，正如谷歌验证器 PAM wiki 所说，如果我连续 3 次输入正确的 OTP，那么服务器端 PAM 模块会计算时间偏差并为所有未来的登录进行更正，它的工作方式是这样的.但是每个新用户进入OTP 3次都会很痛苦，有什么解决办法吗？

我为我的 Gmail 帐户激活了 OTP 验证，这不需要我输入 3 次 OTP。他们一定对 google 身份验证器 PAM 模块进行了一些更改。任何解决这个问题的建议都会很有帮助。

【问题讨论】：

为什么不通过正确配置诸如ntp之类的东西来确保客户端和服务器都有正确的时间？

标签： ssh google-authentication pam one-time-password google-authenticator

【解决方案1】：

您可以使用基于事件的令牌 (HOTP)，它不需要服务器和客户端上的精确计时。不幸的是，谷歌验证器 pam moudule 支持这一点，但也有来自 OATH toolkit 的 pam_oath 可以很好地使用它。并且所有应用程序（FreeOTP、Google 身份验证器）也支持此选项。

【讨论】：

谢谢，问题出在服务器时间上。是的，使用 HOTP 也可以解决问题，但我无法更改。