Bảo mật SSH trên macOS bằng Touch ID: Cài đặt trong 3 lệnh với Secure Enclave

Những chiếc Mac đời mới đều được trang bị Secure Enclave — một chip bảo mật chuyên dụng, nơi có thể tạo ra các "danh tính" mật mã mà gần như không thể bị đánh cắp. Các danh tính này được bảo vệ bằng Touch ID và có thể dùng trực tiếp để xác thực SSH. Bài viết dưới đây hướng dẫn cách thiết lập chỉ trong vài lệnh, đồng thời giải thích cơ chế hoạt động bên dưới.

Cảm biến Touch ID trên bàn phím MacBook

Vì sao nên dùng Secure Enclave thay cho tệp khóa truyền thống?

Cách làm quen thuộc là tạo cặp khóa SSH dạng tệp (ví dụ ~/.ssh/id_ed25519 và ~/.ssh/id_ed25519.pub). Tuy nhiên, cách này có vài điểm yếu cố hữu:

• Khóa riêng tư có thể bị sao chép hoặc đánh cắp nếu máy bị xâm nhập, sao lưu không an toàn hay vô tình chia sẻ.
• Tệp khóa nằm rải rác trên hệ thống, dễ bị xóa nhầm hoặc thất lạc khi đổi máy.
• Không có cơ chế xác nhận chủ động mỗi lần khóa được dùng.

Với Secure Enclave, vật liệu khóa riêng tư không bao giờ rời khỏi chip bảo mật, không thể trích xuất, không hiển thị và không thể sao chép. Mỗi lần xác thực, bạn được nhắc đặt vân tay, nên kể cả khi kẻ tấn công chiếm được máy, chúng vẫn không thể dùng khóa nếu không có ngón tay của bạn.

Thiết lập nhanh trong 3 bước

Bước 1: Tạo danh tính trên Secure Enclave

Chạy lệnh sau (chỉ cần một lần):

sc_auth create-ctk-identity -l ssh-key -k p-256-ne -t bio

Hệ thống sẽ yêu cầu bạn đặt ngón tay lên cảm biến Touch ID. Sau bước này, danh tính đã được tạo và lưu an toàn bên trong Secure Enclave.

Bước 2: Yêu cầu SSH sử dụng danh tính này

Mỗi lần khởi động lại máy, hãy chạy:

ssh-add -K -S /usr/lib/ssh-keychain.dylib

Khi được hỏi mã PIN, bạn chỉ cần nhấn Enter để bỏ trống. Từ thời điểm này, SSH agent sẽ biết dùng danh tính trong Secure Enclave để xác thực. Do agent không "ghi nhớ" qua lần khởi động, bạn cần chạy lại lệnh sau mỗi lần reboot.

Bước 3: Đăng ký khóa với GitHub hoặc máy chủ khác

Khi cần lấy khóa công khai để đăng ký, chạy:

ssh-add -L

Nếu có nhiều danh tính, bạn chọn dòng bắt đầu bằng sk-ecdsa-sha2-nistp256.... Đây chính là khóa SSH mà GitHub sẽ chấp nhận, bạn dán nguyên dòng đó vào phần cài đặt SSH key của GitHub.

Đăng ký khóa SSH công khai lên GitHub

Sau đó, mỗi lần thực hiện git push, bạn sẽ thấy hộp thoại yêu cầu Touch ID:

git push   # kích hoạt yêu cầu Touch ID

Điểm cần lưu ý

Bảo mật cao đi kèm một đánh đổi: nếu máy Mac hỏng hoặc bị mất, danh tính cũng mất theo vì nó gắn chặt với Secure Enclave của thiết bị đó. Bạn sẽ phải tạo danh tính mới và đăng ký lại ở mọi nơi cần dùng, chẳng hạn GitHub. Đây là hệ quả tất yếu của việc khóa không thể trích xuất — bạn thậm chí không thể chủ động "cho" ai khóa của mình.

Cơ chế hoạt động bên dưới

Quy trình xác thực SSH bằng danh tính trong Secure Enclave

Apple gọi các danh tính này là CryptoTokenKit identity (CTK identity), quản lý thông qua lệnh sc_auth (viết tắt của smart card — một cách gọi khá khó hiểu của Apple). Có thể xem danh sách bằng:

sc_auth list-ctk-identities

Khi chạy lệnh tạo danh tính, các tham số có ý nghĩa như sau:

• -k p-256-ne: chọn đường cong elliptic P-256. Hậu tố -ne nghĩa là non-extractable — khóa do chính chip sinh ra và không thể trích xuất. Đường cong p-384 không được OpenSSH hỗ trợ nên p-256-ne là lựa chọn phù hợp.
• -t bio: mỗi lần dùng khóa đều phải xác thực sinh trắc học. Nếu chọn none, khóa vẫn không thể trích xuất nhưng chương trình có thể dùng ngầm mà không hỏi bạn — tiện hơn nhưng kém an toàn hơn.
• -l: nhãn tự do, chỉ là ghi chú gắn với khóa.

SSH không hiểu trực tiếp danh tính này, nên Apple cung cấp một lớp chuyển đổi là thư viện ssh-keychain.dylib. Tham số -K cho ssh-add biết đây là xác thực kiểu FIDO (như YubiKey), còn -S chỉ định provider cụ thể là thư viện của Apple. Thư viện này cung cấp các hàm như _sk_load_resident_keys (trả về danh sách khóa công khai) và _sk_sign (ký dữ liệu bằng khóa riêng tư nằm trong Secure Enclave).

Khi kết nối tới máy chủ, SSH agent sẽ gửi danh sách khóa công khai để máy chủ chọn. Máy chủ gửi lại một thử thách, agent gọi _sk_sign để ký, Secure Enclave hiện hộp thoại Touch ID, và nếu ngón tay khớp, chữ ký được trả về máy chủ để xác nhận. Toàn bộ quá trình diễn ra mà khóa riêng tư không hề rời khỏi chip.

Lời kết

Có thể nói, một module bảo mật kiểu khoa học viễn tưởng giờ đã có sẵn trên hầu hết máy tính cá nhân phổ thông. Phần lớn cơ chế này không được tài liệu hóa đầy đủ và mới chỉ dựa trên thử nghiệm thực tế, nhưng kết quả là một thiết lập SSH an toàn hơn hẳn cách dùng tệp khóa truyền thống. Càng nhiều người dùng và yêu cầu Apple công khai tài liệu, hệ sinh thái này sẽ càng được hỗ trợ tốt hơn.