Cách thiết lập xác thực hai yếu tố (2FA) cho SSH trên Ubuntu 14.04 bằng Google Authenticator

• Bước 1: Điều kiện tiên quyết
• Bước 2: Cài đặt Thư viện Google Authenticator
• Bước 3: Định cấu hình Google Authenticator cho mỗi người dùng
• Bước 4: Định cấu hình SSH để sử dụng Google Authenticator
• Ghi chú
• Phần kết luận

Có một số cách đăng nhập vào máy chủ qua SSH. Các phương pháp bao gồm đăng nhập mật khẩu, đăng nhập dựa trên khóa và xác thực hai yếu tố.

Xác thực hai yếu tố là một loại bảo vệ tốt hơn nhiều. Trong trường hợp máy tính của bạn bị xâm nhập, kẻ tấn công vẫn sẽ cần mã truy cập để đăng nhập.

Trong hướng dẫn này, bạn sẽ tìm hiểu cách thiết lập xác thực hai yếu tố trên máy chủ Ubuntu bằng Google Authenticator và SSH.

Bước 1: Điều kiện tiên quyết

• Một máy chủ Ubuntu 14.04 (hoặc mới hơn).
• Một người dùng không root với quyền truy cập sudo.
• Một điện thoại thông minh (Android hoặc iOS) được cài đặt Ứng dụng Google Authenticator. Bạn cũng có thể sử dụng Authy hoặc bất kỳ ứng dụng nào khác hỗ trợ đăng nhập dựa trên TOTP.

Bước 2: Cài đặt Thư viện Google Authenticator

Chúng tôi cần cài đặt mô-đun Thư viện Google Authenticator có sẵn cho Ubuntu, điều này sẽ cho phép máy chủ đọc và xác thực mã. Chạy các lệnh sau.

sudo apt-get update
sudo apt-get install libpam-google-authenticator

Bước 3: Định cấu hình Google Authenticator cho mỗi người dùng

Để cấu hình mô-đun, chỉ cần chạy lệnh sau.

google-authenticator

Khi bạn chạy lệnh, bạn sẽ được hỏi một số câu hỏi nhất định. Câu hỏi đầu tiên sẽ là:

Do you want authentication tokens to be time-based (y/n)

Nhấn yvà bạn sẽ nhận được mã QR, khóa bí mật, mã xác minh và mã dự phòng khẩn cấp.

Lấy điện thoại ra và mở ứng dụng Google Authenticator. Bạn có thể quét mã QR hoặc thêm khóa bí mật để thêm mục mới. Một khi bạn đã làm điều đó, ghi lại các mã dự phòng và giữ chúng an toàn ở đâu đó. Trong trường hợp điện thoại của bạn bị đặt sai vị trí hoặc bị hỏng, bạn có thể sử dụng các mã đó để đăng nhập.

Đối với các câu hỏi còn lại, hãy nhấn ykhi được yêu cầu cập nhật .google_authenticatortệp, yvì không cho phép sử dụng nhiều mã thông báo, nđể tăng thời gian và yđể kích hoạt giới hạn tỷ lệ.

Bạn sẽ phải lặp lại Bước 3 cho tất cả người dùng trên máy của mình, nếu không họ sẽ không thể đăng nhập khi bạn hoàn thành hướng dẫn này.

Bước 4: Định cấu hình SSH để sử dụng Google Authenticator

Giờ đây, tất cả người dùng trên máy của bạn đã thiết lập ứng dụng Google xác thực của họ, đã đến lúc cấu hình SSH để sử dụng phương thức xác thực này so với phương thức hiện tại.

Nhập lệnh sau để chỉnh sửa sshdtệp.

sudo nano /etc/pam.d/sshd

Tìm dòng @include common-authvà nhận xét nó như dưới đây.

# Standard Un*x authentication.
#@include common-auth

Thêm dòng sau vào dưới cùng của tập tin này.

auth required pam_google_authenticator.so

Nhấn Ctrl + Xđể lưu và thoát.

Tiếp theo, nhập lệnh sau để chỉnh sửa sshd_configtệp.

sudo nano /etc/ssh/sshd_config

Tìm thuật ngữ ChallengeResponseAuthenticationvà đặt giá trị của nó thành yes. Cũng tìm thuật ngữ PasswordAuthentication, bỏ ghi chú và thay đổi giá trị của nó thành no.

# Change to no to disable tunnelled clear text passwords
PasswordAuthentication no

Bước tiếp theo là thêm dòng sau vào dưới cùng của tệp.

AuthenticationMethods publickey,keyboard-interactive

Lưu và đóng tệp bằng cách nhấn Ctrl + X. Bây giờ chúng tôi đã định cấu hình máy chủ SSH để sử dụng Google Authenticator, đã đến lúc khởi động lại nó.

sudo service ssh restart

Hãy thử đăng nhập lại vào máy chủ. Lần này bạn sẽ được yêu cầu mã Authenticator của bạn.

ssh user@serverip

Authenticated with partial success.
Verification code:

Nhập mã mà ứng dụng của bạn tạo và bạn sẽ đăng nhập thành công.

Ghi chú

Trong trường hợp bạn bị mất điện thoại, hãy sử dụng mã dự phòng từ Bước 2. Nếu bạn bị mất mã dự phòng, bạn luôn có thể tìm thấy chúng trong .google_authenticatortệp trong thư mục nhà của người dùng sau khi bạn đăng nhập qua bảng điều khiển Vultr.

Phần kết luận

Việc xác thực nhiều yếu tố giúp cải thiện đáng kể bảo mật máy chủ của bạn và cho phép bạn giúp ngăn chặn các cuộc tấn công vũ phu thông thường.

Các phiên bản khác

• Ubuntu
• CentOS