Двухфакторная аутентификация (2FA) — это вход в аккаунт по двум проверкам вместо одной: сначала пароль, а затем одноразовый код (обычно из приложения на телефоне). Даже если пароль украли, без второго фактора злоумышленник не войдёт. Ниже простыми словами: как 2FA работает, какие бывают виды второго фактора, зачем её включать и как это сделать. Пароль — это то, что вы знаете. Второй фактор — то, что у вас есть (телефон, ключ). Украсть одновременно и знание, и предмет намного сложнее — на этом и держится вся защита...

Украденный пароль или один приватный ключ больше не должны открывать SSH-доступ к серверу. Двухфакторная аутентификация SSH по TOTP добавляет второй шаг: после ключа или пароля администратор вводит одноразовый код из приложения-аутентификатора. Схема работает локально. PAM-модуль pam_google_authenticator проверяет код на сервере, а секрет пользователя лежит в файле .google_authenticator в домашнем каталоге. Важно, чтобы файл принадлежал самому пользователю и был закрыт правами 0600, иначе модуль может отказаться его читать...