Panduan Keamanan Password Management dan Two-Factor Authentication (2FA) Admin

Masalah Keamanan Admin yang Harus Diatasi Sekarang

Serangan brute‑force dan pencurian kredensial masih menjadi ancaman utama bagi server produksi. Tanpa pengelolaan password yang kuat dan autentikasi dua faktor (2FA), akun admin mudah dibobol dan seluruh infrastruktur berisiko.

Rangkaian Langkah Praktis untuk Password Management & 2FA

1. Audit Kebijakan Password Saat Ini

   Gunakan script berikut untuk mengidentifikasi password yang lemah pada sistem Linux:

   #!/bin/bash
   awk -F: '($2=="!") {print $1 " memiliki password kosong"}' /etc/shadow
   

   Catat semua akun admin yang ditemukan dan rencanakan rotasi password.

2. Deploy Password Manager Self‑Hosted (Bitwarden)

   Instalasi menggunakan Docker:

   docker volume create bitwarden_data
   docker run -d \
     --name bitwarden \
     -e ROCKET_PORT=80 \
     -v bitwarden_data:/data \
     -p 8080:80 \
     bitwardenrs/server:latest

   Setelah kontainer berjalan, buat organisasi "AN Media" dan tambahkan semua admin sebagai anggota. Simpan semua password server, database, dan API key di dalam vault ini.

3. Enforce Kebijakan Kompleksitas via PAM

   Modifikasi /etc/pam.d/common-password dengan modul pam_pwquality.so:

   sudo cp /etc/pam.d/common-password /etc/pam.d/common-password.bak
   sudo sed -i 's/^#\?password\s\+requisite\s\+pam_pwquality.so.*/password requisite pam_pwquality.so retry=3 minlen=12 difok=4 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1/' /etc/pam.d/common-password

   Pengaturan di atas mewajibkan minimal 12 karakter, kombinasi huruf besar/kecil, angka, dan simbol.

4. Aktifkan 2FA untuk Login SSH (Google Authenticator)

   Instal paket:

   sudo apt-get update && sudo apt-get install libpam-google-authenticator

   Konfigurasi PAM:

   sudo bash -c 'cat >> /etc/pam.d/sshd <

   Modifikasi /etc/ssh/sshd_config:

   sudo sed -i 's/^#\?ChallengeResponseAuthentication.*/ChallengeResponseAuthentication yes/' /etc/ssh/sshd_config
   sudo sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
   sudo systemctl restart sshd

   Setiap admin jalankan google-authenticator untuk menghasilkan QR code dan secret key, lalu simpan di Bitwarden.

5. Tambahkan 2FA pada Sudo

   Ubah file /etc/pam.d/sudo:

   sudo bash -c 'cat >> /etc/pam.d/sudo <

   Dengan ini, setiap eksekusi perintah sudo memerlukan kode OTP.

6. Backup & Recovery Strategi

   Ekspor konfigurasi PAM dan SSH ke repository Git (private) dan simpan backup vault Bitwarden secara rutin:

   git init /opt/config-backup
   cp /etc/pam.d/common-password /opt/config-backup/
   cp /etc/ssh/sshd_config /opt/config-backup/
   git -C /opt/config-backup add .
   git -C /opt/config-backup commit -m "Backup PAM & SSH config $(date +%F)"
   

   Gunakan cron untuk otomatisasi:

   0 2 * * * root /usr/bin/git -C /opt/config-backup pull && /usr/bin/git -C /opt/config-backup add . && /usr/bin/git -C /opt/config-backup commit -m "Daily backup $(date +%F)" && /usr/bin/git -C /opt/config-backup push