Chuyển tới nội dung chính

Tăng Cường Bảo Mật SSH với Xác Thực Hai Yếu Tố (2FA)

Giới Thiệu​

Trong thế giới số hóa ngày nay, việc bảo vệ các máy chủ của bạn khỏi truy cập trái phép là vô cùng quan trọng. Giao thức Secure Shell (SSH) là xương sống cho việc quản lý máy chủ từ xa, nhưng chỉ dựa vào mật khẩu hoặc khóa SSH đơn thuần có thể không đủ. Xác thực Hai Yếu Tố (2FA) bổ sung một lớp bảo mật mạnh mẽ bằng cách yêu cầu hai hình thức xác minh khác nhau trước khi cấp quyền truy cập.

Với 2FA cho SSH, ngay cả khi kẻ tấn công có được mật khẩu hoặc khóa riêng của bạn, chúng vẫn không thể đăng nhập nếu không có yếu tố thứ hai (thường là mã OTP từ thiết bị di động của bạn). Hướng dẫn này sẽ chỉ cho bạn cách thiết lập 2FA bằng Google Authenticator cho SSH trên máy chủ Linux.

📋 Thời gian: ~20 phút | Độ khó: Trung bình

Yêu Cầu​

Để thực hiện hướng dẫn này, bạn cần có:

  • Một máy chủ Linux đang chạy (ví dụ: Ubuntu, Debian, CentOS, RHEL) với quyền truy cập SSH.
  • Quyền truy cập sudo hoặc root trên máy chủ.
  • Kết nối Internet trên máy chủ để cài đặt các gói cần thiết.
  • Một điện thoại thông minh đã cài đặt ứng dụng xác thực như Google Authenticator, Authy hoặc FreeOTP.
  • Kiến thức cơ bản về dòng lệnh Linux.

Các Bước Thực Hiện​

Bước 1: Cài đặt Google Authenticator PAM module​

Đầu tiên, chúng ta cần cài đặt mô-đun PAM (Pluggable Authentication Modules) của Google Authenticator trên máy chủ của bạn.

Đối với Debian/Ubuntu:

sudo apt update
sudo apt install libpam-google-authenticator

Đối với CentOS/RHEL/Fedora:

sudo yum install epel-release # Cài đặt kho EPEL nếu chưa có
sudo yum install google-authenticator
# Hoặc với Fedora: sudo dnf install google-authenticator

Bước 2: Chạy google-authenticator cho người dùng​

Sau khi cài đặt module, bạn cần chạy lệnh google-authenticator cho mỗi người dùng mà bạn muốn bật 2FA. Đảm bảo bạn đang đăng nhập với tư cách người dùng đó (hoặc su sang người dùng đó).

google-authenticator

Lệnh này sẽ đưa ra một loạt câu hỏi:

  1. Do you want authentication tokens to be time-based (y/n): Nhập y. Điều này sẽ tạo mã OTP dựa trên thời gian (TOTP), tương thích với Google Authenticator.
  2. Tiếp theo, bạn sẽ thấy một mã QR, một khóa bí mật (secret key) và một số mã dự phòng (scratch codes).
    • Mã QR: Dùng ứng dụng Google Authenticator trên điện thoại của bạn để quét mã này. Nếu không quét được, bạn có thể nhập thủ công khóa bí mật.
    • Khóa bí mật: Là một chuỗi ký tự, bạn có thể nhập thủ công vào ứng dụng xác thực nếu không quét được mã QR.
    • Mã dự phòng (scratch codes): ⚠️ Lưu ý cực kỳ quan trọng! Hãy ghi lại các mã này và lưu trữ chúng ở một nơi an toàn, ngoài máy chủ của bạn. Mỗi mã chỉ có thể sử dụng một lần để đăng nhập nếu bạn mất điện thoại hoặc không truy cập được ứng dụng xác thực.
  3. Do you want to update the "~/.google_authenticator" file?: Nhập y. Thao tác này sẽ lưu cấu hình vào tệp .google_authenticator trong thư mục chính của người dùng.
  4. Do you want to disallow multiple uses of the same authentication token?: Nhập y. Điều này tăng cường bảo mật bằng cách ngăn chặn việc sử dụng lại mã OTP.
  5. Do you want to enable rate-limiting?: Nhập y. Điều này giúp bảo vệ chống lại các cuộc tấn công thử nghiệm mã OTP liên tục.

✅ Sau khi hoàn thành, bạn sẽ có một mục mới trong ứng dụng xác thực của mình cho máy chủ này.

Bước 3: Cấu hình PAM cho SSH​

Bây giờ, chúng ta cần cho SSH biết để sử dụng mô-đun Google Authenticator PAM. Chỉnh sửa tệp cấu hình PAM cho SSH:

sudo nano /etc/pam.d/sshd

Thêm dòng sau vào đầu tệp, hoặc sau dòng auth required pam_unix.so nếu bạn muốn mật khẩu được kiểm tra trước:

auth required pam_google_authenticator.so

💡 Mẹo: Nếu bạn muốn yêu cầu cả mật khẩu và mã 2FA, hãy để dòng auth required pam_unix.so (xác thực mật khẩu) nguyên vẹn và thêm dòng pam_google_authenticator.so sau đó. Thứ tự quan trọng.

Lưu và đóng tệp.

Bước 4: Cấu hình OpenSSH Daemon​

Tiếp theo, chúng ta cần cấu hình daemon SSH để hỗ trợ xác thực thử thách/phản hồi (challenge/response authentication), điều cần thiết cho 2FA.

Chỉnh sửa tệp cấu hình SSH daemon:

sudo nano /etc/ssh/sshd_config

Tìm và sửa đổi hoặc thêm các dòng sau:

ChallengeResponseAuthentication yes
# Nếu bạn sử dụng xác thực bằng khóa SSH, hãy thêm keyboard-interactive vào đây:
AuthenticationMethods publickey,keyboard-interactive
# Nếu bạn chỉ sử dụng mật khẩu và 2FA:
# AuthenticationMethods password,keyboard-interactive
UsePAM yes # Đảm bảo dòng này đã được đặt là 'yes'
PasswordAuthentication yes # Đảm bảo dòng này là 'yes' nếu bạn dùng mật khẩu làm yếu tố đầu tiên

⚠️ Cảnh báo: Nếu bạn sử dụng AuthenticationMethods, hãy chắc chắn rằng bạn hiểu rõ nó. Dòng này xác định trình tự các phương thức xác thực. publickey,keyboard-interactive có nghĩa là người dùng phải xác thực bằng khóa công khai (public key) trước, sau đó là keyboard-interactive (được PAM xử lý cho 2FA).

Lưu và đóng tệp.

Cuối cùng, khởi động lại dịch vụ SSH để áp dụng các thay đổi:

sudo systemctl restart sshd
# Hoặc trên các hệ thống cũ hơn:
# sudo service sshd restart

Bước 5: Kiểm tra 2FA​

✅ Bây giờ là lúc kiểm tra thiết lập của bạn! Đừng đóng phiên SSH hiện tại của bạn cho đến khi bạn xác nhận rằng 2FA hoạt động. Nếu có lỗi, bạn vẫn có thể truy cập máy chủ qua phiên cũ.

Mở một cửa sổ terminal mới và thử đăng nhập vào máy chủ của bạn:

ssh ten_nguoi_dung@dia_chi_ip_may_chu_cua_ban

Bạn sẽ được nhắc nhập mật khẩu (nếu bạn sử dụng nó) hoặc nó sẽ thử xác thực bằng khóa SSH, sau đó bạn sẽ được yêu cầu nhập "Verification code" (mã xác minh).

Password:
Verification code:

Nhập mã OTP hiện tại từ ứng dụng Google Authenticator trên điện thoại của bạn. Nếu đăng nhập thành công, bạn đã thiết lập 2FA cho SSH!

Troubleshooting​

  • Không thể đăng nhập sau khi cấu hình:
    • Kiểm tra nhật ký xác thực: sudo tail -f /var/log/auth.log hoặc journalctl -u sshd -f để xem lỗi cụ thể.
    • Đảm bảo dòng auth required pam_google_authenticator.so được đặt đúng trong /etc/pam.d/sshd.
    • Kiểm tra lại /etc/ssh/sshd_config để đảm bảo ChallengeResponseAuthentication yes và AuthenticationMethods được cấu hình chính xác.
    • Nếu bạn bị khóa hoàn toàn, hãy truy cập máy chủ qua console vật lý (nếu có) hoặc một phiên SSH khác chưa đóng để hoàn tác các thay đổi.
  • Lỗi "Permission denied (keyboard-interactive)":
    • Thường xảy ra khi AuthenticationMethods không được cấu hình đúng hoặc ChallengeResponseAuthentication không phải là yes.
    • Đảm bảo UsePAM yes trong sshd_config.
  • Mã OTP không hoạt động (Invalid authentication token):
    • Kiểm tra xem thời gian trên máy chủ của bạn có được đồng bộ chính xác với NTP không. Độ lệch thời gian (time drift) là nguyên nhân phổ biến nhất. 
      sudo apt install ntpdate # hoặc chrony
      sudo ntpdate pool.ntp.org
    • Đảm bảo bạn đã quét đúng mã QR hoặc nhập đúng khóa bí mật vào ứng dụng xác thực.
  • Mất điện thoại/ứng dụng xác thực:
    • Sử dụng một trong các mã dự phòng (scratch codes) mà bạn đã lưu lại ở Bước 2. Mỗi mã chỉ dùng được một lần.
    • Nếu bạn không có mã dự phòng, bạn sẽ cần truy cập máy chủ qua console vật lý để xóa hoặc chỉnh sửa tệp .google_authenticator của người dùng hoặc chỉnh sửa /etc/pam.d/sshd.

Kết Luận​

Bằng cách triển khai Xác thực Hai Yếu Tố (2FA) cho SSH, bạn đã thêm một lớp bảo mật quan trọng, làm cho việc truy cập trái phép vào máy chủ của bạn trở nên khó khăn hơn đáng kể. 2FA là một biện pháp phòng ngừa hiệu quả chống lại các cuộc tấn công brute-force và đánh cắp thông tin đăng nhập.

Best practices:

  • Lưu trữ mã dự phòng an toàn: Luôn giữ các mã dự phòng (scratch codes) ở một nơi bí mật và an toàn, tách biệt với máy chủ và điện thoại của bạn.
  • Đồng bộ thời gian: Đảm bảo máy chủ của bạn luôn được đồng bộ hóa thời gian chính xác để tránh các vấn đề với mã OTP dựa trên thời gian.
  • Kết hợp với khóa SSH: Để có bảo mật tối đa, hãy sử dụng khóa SSH làm yếu từ đầu tiên, sau đó là 2FA. Điều này yêu cầu kẻ tấn công phải có khóa riêng của bạn VÀ mã OTP của bạn.
  • Kiểm tra thường xuyên: Thường xuyên kiểm tra nhật ký xác thực (/var/log/auth.log hoặc journalctl -u sshd) để phát hiện bất kỳ hoạt động đáng ngờ nào.
  • Không chủ quan: 2FA là một lớp bảo mật mạnh mẽ, nhưng nó không phải là giải pháp bạc. Hãy luôn áp dụng các biện pháp bảo mật tốt khác như cập nhật hệ thống, sử dụng mật khẩu mạnh (ngay cả khi có 2FA) và giảm thiểu số lượng cổng mở.