怎么配置Linux系统账户在密码修改后自动强制重新进行MFA核验-安全-PHP中文网

linux不支持密码修改后自动触发mfa重核验，因其mfa与密码是独立因子且pam/openssh无此内置机制；实际需确保mfa配置有效不被绕过，通过权限管控、pam设required、ssh硬性双因素及审计提醒实现安全绑定。

怎么配置linux系统账户在密码修改后自动强制重新进行mfa核验

Linux系统本身不支持“密码修改后自动触发MFA重核验”这一行为，因为MFA（如Google Authenticator的TOTP）与密码是两个独立的认证因子，PAM和OpenSSH的设计逻辑中没有“密码变更即重绑/重验MFA”的内置机制。所谓“强制重新核验”，实际是指：确保用户在改密后，仍持有有效且可用的MFA配置，并防止其绕过MFA继续登录。

要达成这一安全目标，关键不是“自动弹出MFA验证”，而是通过配置实现两个效果：
✅ 密码更新不影响MFA状态（即原有~/.google_authenticator仍生效）；
✅ 但若用户试图删除或破坏MFA配置，则必须用恢复码或管理员介入才能恢复——从而倒逼其保持MFA可用性。

以下是具体可落地的配置策略：

一、确保MFA配置与密码解耦但强绑定

~/.google_authenticator 文件由用户自己生成，独立于/etc/shadow中的密码哈希；
修改密码（passwd命令）完全不会触碰该文件，也不会重置TOTP状态；
因此无需“自动重核验”，只需保证该文件权限正确、未被误删、时间同步正常：
- 权限必须为 600：chmod 600 ~/.google_authenticator
- 属主必须为该用户：chown $USER:$USER ~/.google_authenticator
- 时间偏差 ≤30秒：sudo chrony -q || sudo ntpdate -s time.google.com

二、阻止用户绕过MFA的退路

很多用户改密后会顺手删掉.google_authenticator来“回归简单登录”，需从机制上封堵：

在 /etc/pam.d/sshd 中，将 Google Authenticator 行设为 required（而非 sufficient）：
```
auth [success=done new_authtok_reqd=done default=bad] pam_google_authenticator.so noskewadj
```
这样即使密码正确，也必须通过TOTP才允许登录；若文件丢失，直接拒绝，无法降级。
同时在 /etc/ssh/sshd_config 中启用硬性双因素约束：

Linux installer
先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载
```
ChallengeResponseAuthentication yes
AuthenticationMethods publickey,keyboard-interactive
```
注意：不能只写 password,keyboard-interactive，否则用户可用密码+验证码组合绕过密钥，削弱安全性。

三、对密码修改行为做审计与联动提醒（可选增强）

虽不能“自动重验”，但可记录并通知：

启用密码修改日志（默认已开启）：
```
grep "passwd" /var/log/auth.log | tail -5
```
配合脚本监控 /etc/shadow 时间戳变化，或使用 auditd 跟踪 passwd 调用；
若业务允许，可在用户执行 passwd 后，推送一条终端提示：
```
echo -e "\a⚠️  密码已更新，请确认 MFA 仍可用：运行 'google-authenticator -d' 查看状态"
```
（将该提示加入 /etc/profile.d/mfa-check.sh，仅对启用MFA的用户生效）