Linux多因素认证需分层打通硬件凭证、可信链与业务逻辑：优选FIDO2/U2F安全密钥（如YubiKey 5），配置降级路径（10个离线恢复码），PAM栈按登录方式分级控制，绑定Secure Boot/IMA校验，并严格验证普通用户密钥登录、密码+U2F登录及root强制组合认证三项能力。
核心业务要实现真正可靠的Linux多因素多重身份验证，不能只堆砌模块，关键在于分层打通硬件凭证、系统可信链与业务认证逻辑，同时保障可用性与应急能力。
硬件凭证必须可验证、可绑定、可降级
优先选用支持FIDO2/U2F的安全密钥（如YubiKey 5系列），而非仅依赖手机App的TOTP。原因很实际：
- U2F/FIDO2由内核模块（如u2f_zero或fido2）直接支持，认证在用户态前完成，无法被恶意进程劫持
- 密钥可绑定到特定SSH主机名或域名，防止钓鱼重放；而TOTP是无状态的，一旦泄露即失效
- 必须配置降级路径：当U2F设备不可用时，允许使用预生成的10个一次性恢复码（存于离线加密USB中），而非回退到纯密码登录
PAM栈需按通道精细控制
避免把pam_u2f.so或pam_google_authenticator.so设为required导致root登录失败、密钥登录中断。应按认证方式分级处理：
- 对SSH密钥登录：保留原流程，在成功后立即用[success=done]跳出，不触发第二因素
- 对密码登录：仅在此路径叠加第二因素，用[success=ok default=bad]控制——密码通过才进入U2F验证，任一失败即终止
- 对root用户：显式添加独立规则行，并配合PermitRootLogin prohibit-password，确保root只能通过密钥+U2F组合登录
系统级加固必须嵌入可信链
多重验证不是“加个模块就完事”，它必须与底层安全机制联动：
- 启动阶段校验：启用Secure Boot + IMA，确保内核、initramfs、PAM模块文件未被篡改；若pam_u2f.so被替换，IMA会拒绝加载
- 运行时锁定：.google_authenticator或u2f_keys文件权限严格设为0400，属主为对应用户，SELinux上下文必须为system_u:object_r:etc_runtime_t:s0
- 时间锚点同步：禁用NTP，改用chrony并配置makestep 1 -1，确保TOTP时间偏差始终≤15秒；U2F虽不依赖时间，但混合部署需统一基准
上线前必须验证三项底线能力
所有配置完成后，不跑通这三项，就不算完成实战部署：
- 用非root普通用户测试：① SSH密钥登录（不输密码、不弹U2F）
- 用非root普通用户测试：② 密码登录（输密码后立即弹U2F提示）
- 用root用户测试：③ root密码登录（应被拒绝，强制走密钥+U2F组合）
