Chuyển tới nội dung chính

Bật Xác Thực Hai Yếu Tố (2FA) cho SSH Server

Giới Thiệu​

Xác thực hai yếu tố (2FA) là một lớp bảo mật bổ sung vượt ra ngoài tên người dùng và mật khẩu. Khi được bật, 2FA yêu cầu bạn cung cấp hai yếu tố khác nhau để chứng minh danh tính của mình: thứ bạn biết (mật khẩu) và thứ bạn có (mã từ ứng dụng xác thực trên điện thoại). Việc triển khai 2FA cho SSH Server giúp bảo vư máy chủ của bạn khỏi các cuộc tấn công brute-force và truy cập trái phép, ngay cả khi mật khẩu của bạn bị lộ.

Trong hướng dẫn này, chúng ta sẽ sử dụng mô-đun PAM (Pluggable Authentication Modules) của Google Authenticator để tích hợp 2FA vào quy trình đăng nhập SSH trên máy chủ Linux của bạn.

📋 Thời gian: Khoảng 15-30 phút | Độ khó: Trung bình

Yêu Cầu​

Trước khi bắt đầu, hãy đảm bảo bạn có các điều kiện tiên quyết sau:

  • Một máy chủ Linux đang chạy SSH (ví dụ: Ubuntu, Debian, CentOS, RHEL).
  • Quyền truy cập root hoặc quyền sudo trên máy chủ.
  • Hiểu biết cơ bản về dòng lệnh Linux.
  • Một điện thoại thông minh đã cài đặt ứng dụng xác thực (ví dụ: Google Authenticator, Authy, Microsoft Authenticator) để quét mã QR.
  • Kết nối internet trên máy chủ để cài đặt các gói cần thiết.
  • ⚠️ Cực kỳ quan trọng: Luôn giữ một phiên SSH đang hoạt động trong khi bạn thực hiện các thay đổi cấu hình. Điều này sẽ giúp bạn khắc phục sự cố nếu có lỗi và tránh bị khóa khỏi máy chủ.

Các Bước Thực Hiện​

Bước 1: Cài đặt Google Authenticator PAM Module​

Đầu tiên, chúng ta cần cài đặt mô-đun PAM cho Google Authenticator trên máy chủ của bạn.

Đối với Debian/Ubuntu:

sudo apt update
sudo apt install libpam-google-authenticator

Đối với CentOS/RHEL/Fedora:

sudo yum install epel-release # Nếu chưa có EPEL repo
sudo yum install google-authenticator

Hoặc với Fedora/RHEL 8+:

sudo dnf install google-authenticator

Bước 2: Cấu hình Google Authenticator cho người dùng​

Bây giờ, hãy cấu hình 2FA cho người dùng mà bạn muốn bảo vệ. Bạn cần chạy lệnh google-authenticator với tư cách là người dùng đó.

  1. Đăng nhập vào máy chủ bằng tài khoản người dùng mà bạn muốn bật 2FA (ví dụ: your_username).

    ssh your_username@your_server_ip

  2. Chạy lệnh google-authenticator:

    google-authenticator

    Bạn sẽ được hỏi một loạt câu hỏi. Hãy trả lời như sau:

    • Do you want authentication tokens to be time-based (y/n): Nhập y.

      • Thao tác này sẽ hiển thị một mã QR, một khóa bí mật (secret key) và một số mã dự phòng (scratch codes).
      • 💡 Mẹo: Mở ứng dụng xác thực trên điện thoại của bạn và quét mã QR. Nếu không thể quét, bạn có thể nhập thủ công khóa bí mật được cung cấp.
      • ⚠️ Cảnh báo: Ghi lại các mã dự phòng (scratch codes) và lưu trữ chúng ở nơi an toàn, ngoại tuyến. Chúng là cứu cánh của bạn nếu bạn mất điện thoại hoặc không thể truy cập mã xác thực.

    • Do you want to update the "~/.google_authenticator" file? (y/n): Nhập y.

    • Do you want to disallow multiple uses of the same authentication token? (y/n): Nhập y.

      • Đây là một biện pháp bảo mật tốt để ngăn chặn việc sử dụng lại mã đã dùng.

    • Do you want to enable time-base throttling (y/n): Nhập y.

      • Điều này giới hạn số lần thử xác thực không thành công trong một khoảng thời gian nhất định, giúp chống lại các cuộc tấn công brute-force.

    ✅ Hoàn tất: Tệp .google_authenticator đã được tạo trong thư mục chính của người dùng với cấu hình 2FA.

Bước 3: Cấu hình PAM cho SSH​

Tiếp theo, chúng ta cần hướng dẫn PAM sử dụng mô-đun Google Authenticator cho các kết nối SSH.

  1. Mở tệp cấu hình PAM cho SSH bằng trình soạn thảo văn bản yêu thích của bạn (ví dụ: nano hoặc vim).

    sudo nano /etc/pam.d/sshd

  2. Thêm dòng sau vào cuối tệp hoặc ở vị trí phù hợp (ví dụ: ngay sau @include common-auth hoặc đầu tệp) để yêu cầu xác thực 2FA.

    # Thêm dòng này vào cuối tệp hoặc ngay sau dòng @include common-auth
    auth required pam_google_authenticator.so
    • 💡 Mẹo: Nếu bạn muốn cho phép một số người dùng không sử dụng 2FA (mặc dù không khuyến khích về mặt bảo mật), bạn có thể thêm nullok vào dòng trên: auth required pam_google_authenticator.so nullok. Tuy nhiên, để bảo mật tối đa, hãy bỏ qua nullok.

  3. Lưu và đóng tệp.

Bước 4: Cấu hình SSH Daemon​

Bây giờ chúng ta cần điều chỉnh cấu hình SSH Daemon để cho phép xác thực dựa trên thử thách (challenge-response authentication) và sử dụng PAM.

  1. Mở tệp cấu hình SSH Daemon:

    sudo nano /etc/ssh/sshd_config

  2. Tìm và thay đổi hoặc thêm các dòng sau:

    • Đảm bảo UsePAM được đặt thành yes: 
      UsePAM yes
    • Bật xác thực thử thách-phản hồi (Challenge-Response Authentication): 
      ChallengeResponseAuthentication yes
    • Cấu hình phương thức xác thực. Nếu bạn đang sử dụng xác thực khóa công khai (public key) và muốn kết hợp với 2FA, hãy dùng: 
      AuthenticationMethods publickey,keyboard-interactive
      Nếu bạn chỉ sử dụng mật khẩu và muốn kết hợp với 2FA, hãy dùng: 
      AuthenticationMethods password,keyboard-interactive
      • keyboard-interactive là phương thức mà Google Authenticator PAM module sử dụng để yêu cầu mã 2FA.

  3. Lưu và đóng tệp.

  4. Khởi động lại dịch vụ SSH để áp dụng các thay đổi:

    sudo systemctl restart sshd

    Hoặc trên các hệ thống cũ hơn:

    sudo service sshd restart

Bước 5: Kiểm tra​

Đây là bước quan trọng nhất!

  1. ⚠️ Quan trọng: KHÔNG đóng phiên SSH hiện tại của bạn.
  2. Mở một cửa sổ terminal MỚI trên máy tính cục bộ của bạn.
  3. Thử đăng nhập vào máy chủ bằng tài khoản người dùng mà bạn đã cấu hình 2FA: 
    ssh your_username@your_server_ip
  4. Bạn sẽ được yêu cầu nhập "Verification code" (mã xác thực). Mở ứng dụng Google Authenticator trên điện thoại của bạn, lấy mã hiện tại cho máy chủ của bạn và nhập vào.
  5. Sau đó, bạn sẽ được yêu cầu nhập mật khẩu của người dùng.
  6. Nếu bạn đăng nhập thành công, điều đó có nghĩa là 2FA đã hoạt động!

✅ Chúc mừng! 2FA đã được bật cho SSH Server của bạn. Bây giờ bạn có thể đóng phiên SSH cũ một cách an toàn.

Troubleshooting​

  • Không được hỏi mã xác thực hoặc "Permission denied (keyboard-interactive)":

    • Kiểm tra lại tệp /etc/pam.d/sshd để đảm bảo dòng auth required pam_google_authenticator.so đã được thêm chính xác.
    • Kiểm tra tệp /etc/ssh/sshd_config để đảm bảo ChallengeResponseAuthentication yes và UsePAM yes đã được đặt.
    • Đảm bảo AuthenticationMethods bao gồm keyboard-interactive.
    • Khởi động lại dịch vụ SSH sau mỗi thay đổi cấu hình.
    • Kiểm tra nhật ký hệ thống: sudo tail -f /var/log/auth.log hoặc sudo journalctl -f -u sshd.service để tìm lỗi.

  • Bị khóa khỏi máy chủ:

    • Nếu bạn vẫn còn phiên SSH cũ đang hoạt động, hãy sử dụng nó để quay lại và sửa lỗi cấu hình.
    • Nếu bạn bị khóa hoàn toàn, bạn sẽ cần quyền truy cập vật lý hoặc quyền truy cập console/KVM vào máy chủ để chỉnh sửa các tệp cấu hình. Đây là lý do tại sao việc giữ một phiên SSH đang hoạt động lại quan trọng đến vậy.

  • Lỗi "google-authenticator: command not found":

    • Quay lại Bước 1 và đảm bảo bạn đã cài đặt gói libpam-google-authenticator (Debian/Ubuntu) hoặc google-authenticator (CentOS/RHEL) một cách chính xác.

Kết Luận​

Việc bật xác thực hai yếu tố (2FA) cho SSH Server là một bước quan trọng để tăng cường đáng kể bảo mật cho máy chủ của bạn. Bằng cách yêu cầu cả mật khẩu và mã xác thực dựa trên thời gian, bạn đã thêm một lớp phòng thủ mạnh mẽ chống lại các mối đe dọa tiềm tàng.

Best practices:

  • Bảo mật mã dự phòng (scratch codes): Lưu trữ chúng ở nơi an toàn, ngoại tuyến và chỉ sử dụng khi cần thiết.
  • Kết hợp với xác thực khóa công khai: Để bảo mật tối đa, hãy kết hợp 2FA với xác thực khóa công khai (public key authentication) thay vì chỉ mật khẩu. Điều này có nghĩa là kẻ tấn công sẽ cần khóa riêng của bạn, mật khẩu của bạn (nư�u khóa được bảo vệ bằng passphrase) VÀ mã 2FA.
  • Xem xét các tài khoản khác: Đảm bảo bạn đã cấu hình 2FA cho tất cả các tài khoản người dùng quan trọng trên máy chủ.
  • Thường xuyên xem lại nhật ký: Kiểm tra nhật ký /var/log/auth.log để phát hiện các nỗ lực đăng nhập đáng ngờ.
  • Sao lưu cấu hình: Luôn sao lưu các tệp cấu hình SSH và PAM trước khi thực hiện thay đổi lớn.

Với 2FA, bạn có thể yên tâm hơn khi biết rằng máy chủ của mình được bảo vệ tốt hơn.