<div dir="ltr">On Wed, Mar 6, 2013 at 10:19 AM, Matthew Walker <span dir="ltr"><<a href="mailto:mwalker@wikimedia.org" target="_blank">mwalker@wikimedia.org</a>></span> wrote:<br><div class="gmail_extra"><div class="gmail_quote">

<blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex"><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left-width:1px;border-left-color:rgb(204,204,204);border-left-style:solid;padding-left:1ex">

[removed garbage about password auth being wonderful...]</blockquote>
<div>I don't feel passwords are any more or less secure than keys. In some cases keys can be even less secure if you're doing agent forwarding.</div><div><br></div><div>This being said -- we have two factor auth available on labsconsole; I'd love it if two factor auth was also enabled by request for shells. I've done this on personal servers of mine using google's solution [1]. I don't think it would be too hard to implement on labs when time is available -- it's controlled by a file in the home directory (which might be able to be moved, haven't looked deeply.)</div>


<div><br></div><div>[1] <span style="line-height:23px;color:rgb(119,119,119);font-size:13px;font-family:monospace"><a href="https://google-authenticator.googlecode.com/" target="_blank">https://google-authenticator.googlecode.com/</a></span></div>


<div></div></blockquote><div><br></div><div></div></div></div><div class="gmail_extra" style>That's not scalable, and it's insecure on untrusted systems.</div><div class="gmail_extra" style><br></div><div class="gmail_extra" style>

There's alternative ways to set up OATH (<a href="https://github.com/mricon/totp-cgi/">https://github.com/mricon/totp-cgi/</a> for instance), but it's really annoying for end users. I've considered this and went as far as testing it. It really sucks having to type your token in every single time you want to log into any instance.</div>

<div class="gmail_extra" style><br></div><div class="gmail_extra" style>OATH isn't any more secure than properly using ssh keys, anyway, since it's two-factor when a passphrase is used on the key.</div><div class="gmail_extra" style>

<br></div><div class="gmail_extra" style>- Ryan</div></div>