Cơ chế Multi-Factor Authentication cho Admin Odoo: Chống Hack từ Brute Force bằng OTP qua SMS

Cơ chế hoạt động của MFA OTP qua SMS trên Odoo

Odoo hiện tại chỉ hỗ trợ 2FA cơ bản qua Google Authenticator, không đủ mạnh để ngăn chặn tấn công brute force theo báo cáo của Cục Thương mại điện tử và Kinh tế số (2024): 73% các vụ hack hệ thống quản trị thương mại điện tử tại Đông Nam Á xuất phát từ việc thiếu MFA đa kênh. Cơ chế OTP qua SMS bổ sung lớp bảo vệ ngăn chặn 99.8% tấn công brute force theo dữ liệu từ Google Tempo 2025.

Nguyên lý hoạt động

• Bước 1: Admin đăng nhập bằng username/password (tầng 1)
• Bước 2: Hệ thống sinh OTP 6 chữ số, gửi qua SMS (tầng 2)
• Bước 3: Xác thực OTP trong 120 giây, chặn 3 lần nhập sai liên tiếp
• Bước 4: Ghi log chi tiết vào Elasticsearch với thẻ security_level: critical

⚠️ Lưu ý: OTP phải được mã hóa AES-256 trước khi lưu vào Redis và không bao giờ xuất hiện trong log hệ thống. Đây là yêu cầu bắt buộc theo tiêu chuẩn PCI DSS 4.0 áp dụng từ 2025.

Luồng dữ liệu kỹ thuật

sequenceDiagram
    Admin->>+Odoo: POST /web/login (username/password)
    Odoo->>+Redis: Kiểm tra số lần đăng nhập sai
    alt >3 lần trong 5 phút
        Redis-->>-Odoo: Lock account (5 phút)
    else
        Odoo->>+Cloudflare: Tạo challenge (human check)
        Cloudflare-->>-Odoo: Pass
        Odoo->>+SMS Gateway: Gửi OTP (API REST)
        SMS Gateway-->>-Redis: Lưu OTP (TTL 120s)
        Odoo-->>-Admin: Redirect đến /web/otp
        Admin->>+Odoo: Submit OTP
        Odoo->>+Redis: Kiểm tra OTP
        alt Đúng
            Redis-->>-Odoo: Xóa OTP
            Odoo-->>-Admin: Truy cập dashboard
        else Sai
            Redis-->>-Odoo: Tăng số lần sai
            Odoo-->>-Admin: Thông báo lỗi
        end
    end

So sánh các giải pháp triển khai MFA OTP

Kết luận: Với hệ thống >200 admin/tháng (theo Statista 2024), AWS SNS là lựa chọn tối ưu về chi phí và độ ổn định. Nhà cung cấp Việt chỉ dùng cho hệ thống <100 admin do tỷ lệ deliver thấp.

Phân tích chi phí chi tiết 30 tháng

Ghi chú:
– Chi phí SMS tính cho 150.000 tin nhắn/tháng (500 admin x 30 lần đăng nhập) với giá $0.008/SMS
– Năm 1 bao gồm 2 tháng buffer cho audit security theo PCI DSS

Timeline triển khai dạng Mermaid Gantt

gantt
    title Timeline triển khai MFA OTP cho Odoo
    dateFormat  YYYY-MM-DD
    axisFormat  %d/%m

    section Khảo sát
    Phân tích yêu cầu               :done,    des1, 2024-06-01, 7d
    Chọn SMS Gateway                :active,  des2, 2024-06-08, 5d
    Xác định KPI                    :         des3, 2024-06-13, 3d

    section Thiết kế
    Thiết kế luồng dữ liệu         :         des4, 2024-06-16, 8d
    Thiết kế DB Redis               :         des5, 2024-06-24, 6d
    Thiết kế Cloudflare Worker      :         des6, after des5, 5d

    section Phát triển
    Xây dựng Odoo module            :         des7, 2024-07-01, 12d
    Tích hợp AWS SNS                :         des8, after des7, 8d
    Viết script rate limiting       :         des9, after des8, 5d
    Tối ưu Redis cluster            :         des10, after des9, 7d

    section Kiểm thử
    Unit test module                :         des11, 2024-07-22, 6d
    Load test (1000 RPS)            :         des12, after des11, 5d
    Penetration test                :         des13, after des12, 7d
    UAT với bộ phận IT              :         des14, after des13, 5d

    section Triển khai
    Cấu hình staging                :         des15, 2024-08-15, 4d
    Đào tạo admin                   :         des16, after des15, 3d
    Chuyển đổi sang production      :         des17, 2024-08-22, 2d
    Giám sát 72h đầu                :         des18, after des17, 3d

    section Duy trì
    Cập nhật bản vá 6 tháng         :         des19, 2025-02-01, 2d
    Report bảo mật hàng quý         :         des20, 2025-03-01, 1d

Các bước triển khai theo 7 phase

Phase 1: Khảo sát và xác định yêu cầu (Tuần 1-3)

• Mục tiêu: Hoàn thành BRD và FSD
• Công việc:
  1. Phỏng vấn 3 phòng ban: IT, Security, Operation (Người chịu trách nhiệm: BA)
  2. Đánh giá hiện trạng hệ thống Odoo (PM)
  3. Chọn SMS gateway dựa trên bảng so sánh (Solution Architect)
  4. Định nghĩa KPI đo lường (DevOps)
  5. Lập kế hoạch budget (Finance Manager)
  6. Xác nhận scope với CTO (Stakeholder)
• Thời gian: 2024-06-01 → 2024-06-14
• Dependency: Không phụ thuộc

Phase 2: Thiết kế kiến trúc (Tuần 4-7)

• Mục tiêu: Hoàn thành HLD và LLD
• Công việc:
  1. Thiết kế luồng xử lý OTP (Solution Architect)
  2. Xây dựng schema Redis (DevOps)
  3. Thiết kế Cloudflare Workers (Dev)
  4. Thiết kế cơ chế fallback (Solution Architect)
  5. Thiết kế report bảo mật (BA)
  6. Review kiến trúc với CISO (Stakeholder)
• Thời gian: 2024-06-15 → 2024-07-05
• Dependency: Hoàn thành Phase 1

Phase 3: Phát triển module Odoo (Tuần 8-14)

• Mục tiêu: Build MVP với core features
• Công việc:
  1. Cài đặt Odoo development environment (Dev)
  2. Tạo model res.users.otp (Dev)
  3. Viết controller xử lý OTP (Dev)
  4. Tích hợp AWS SNS SDK (Dev)
  5. Cấu hình Redis connection (DevOps)
  6. Xây dựng API rate limiting (Dev)
• Thời gian: 2024-07-08 → 2024-08-16
• Dependency: Hoàn thành Phase 2

Phase 4: Kiểm thử toàn diện (Tuần 15-19)

• Mục tiêu: Đạt 98% test coverage
• Công việc:
  1. Viết unit test cho module (QA)
  2. Tạo test case brute force (QA)
  3. Chạy load test với Locust (DevOps)
  4. Triển khai OWASP ZAP scan (Security)
  5. UAT với 10 admin thực tế (PM)
  6. Sửa lỗi critical (Dev)
• Thời gian: 2024-08-19 → 2024-09-13
• Dependency: Hoàn thành Phase 3

Phase 5: Triển khai staging (Tuần 20-22)

• Mục tiêu: Hệ thống chạy ổn định trên môi trường gần production
• Công việc:
  1. Cấu hình staging environment (DevOps)
  2. Migrate data từ production (DBA)
  3. Cấu hình Cloudflare rules (DevOps)
  4. Đào tạo admin về quy trình mới (Trainer)
  5. Chạy scenario failover (DevOps)
  6. Xác nhận final sign-off (CTO)
• Thời gian: 2024-09-16 → 2024-09-27
• Dependency: Hoàn thành Phase 4

Phase 6: Chuyển đổi sang production (Tuần 23-24)

• Mục tiêu: Go-live không downtime
• Công việc:
  1. Lên kế hoạch cutover (PM)
  2. Cấu hình production servers (DevOps)
  3. Áp dụng blue-green deployment (DevOps)
  4. Giám sát real-time (DevOps)
  5. Xử lý exception đầu tiên (Support)
  6. Report kết quả 24h (PM)
• Thời gian: 2024-09-30 → 2024-10-11
• Dependency: Hoàn thành Phase 5

Phase 7: Duy trì và tối ưu (Tuần 25-30)

• Mục tiêu: Duy trì SLA 99.95%
• Công việc:
  1. Cập nhật bản vá bảo mật (DevOps)
  2. Tối ưu chi phí SMS (Finance)
  3. Phân tích log hàng tháng (BA)
  4. Cải tiến UX based on feedback (UI/UX)
  5. Report KPI quý cho CISO (PM)
  6. Lên kế hoạch upgrade version (Solution Architect)
• Thời gian: 2024-10-14 → 2025-01-10
• Dependency: Hoàn thành Phase 6

Tài liệu bàn giao cuối dự án

Rủi ro và phương án xử lý

🛡️ Best Practice: Luôn có ít nhất 2 phương án dự phòng cho mọi thành phần single point of failure. Kiểm tra tính khả dụng của phương án B qua failure injection test mỗi quý.

KPI và công cụ đo lường

Cảnh báo: Nếu KPI “Số lần đăng nhập sai liên tiếp” >2.5 trung bình 24h, phải kích hoạt emergency plan theo quy trình trong Disaster Recovery Plan.

Checklist go-live 48 item

Security & Compliance (10 items)

• [ ] Xác minh SSL/TLS 1.3 trên tất cả endpoint
• [ ] Cấu hình WAF Cloudflare với rule: http.request.uri.path contains "/web/login" and (http.request.method = "POST")
• [ ] Kích hoạt audit log level: critical cho toàn hệ thống
• [ ] Xóa test account sau khi UAT hoàn thành
• [ ] Cập nhật Odoo lên version 17.0+ (yêu cầu security)
• [ ] Áp dụng PCI DSS requirement 8.3.6 cho OTP
• [ ] Cấu hình IP whitelisting cho admin dashboard
• [ ] Kích hoạt tự động block IP sau 3 lần sai
• [ ] Xác nhận Redis không expose public port
• [ ] Hoàn thành pen test report từ bên thứ 3

Performance & Scalability (10 items)

• [ ] Đạt 1200 RPS trên load test (Locust)
• [ ] Redis cluster có 3 nodes (1 primary + 2 replicas)
• [ ] Time to first byte (TTFB) ≤800ms
• [ ] Không có memory leak sau 72h running
• [ ] Cấu hình autoscaling cho EC2 (min=2, max=5)
• [ ] Kích hoạt CDN cho static assets
• [ ] Xác nhận Redis TTL = 120s cho OTP
• [ ] Áp dụng connection pooling cho Odoo
• [ ] Cấu hình Nginx timeout = 60s
• [ ] Kích hoạt HTTP/2 trên Cloudflare

Business & Data Accuracy (10 items)

• [ ] Xác nhận đúng 100% user được áp dụng MFA
• [ ] Test thành công với 3 loại role: admin, manager, staff
• [ ] Xác minh log login xuất hiện trong Kibana
• [ ] Kiểm tra tính chính xác của OTP delivery report
• [ ] Xác nhận không ảnh hưởng đến quy trình checkout
• [ ] Xác nhận đúng 100% tính năng admin sau khi cài đặt
• [ ] Hoàn thành training cho 100% admin
• [ ] Xác nhận email support có sẵn cho sự cố
• [ ] Xác minh báo cáo chi phí SMS khớp với AWS
• [ ] Xác nhận tính năng fallback hoạt động

Payment & Finance (9 items)

• [ ] Xác nhận không can thiệp vào payment flow
• [ ] Kiểm tra lại reconciliation report hàng ngày
• [ ] Xác minh không có transaction bị pending
• [ ] Cập nhật SLA với SMS gateway về chi phí
• [ ] Xác nhận báo cáo chi phí SMS tự động hàng tháng
• [ ] Kiểm tra lại các điều khoản với AWS SNS
• [ ] Xác minh không ảnh hưởng đến refund process
• [ ] Xác nhận đúng 100% tax calculation
• [ ] Xác nhận không làm chậm settlement

Monitoring & Rollback (9 items)

• [ ] Cấu hình alert qua Slack khi OTP delivery <95%
• [ ] Thiết lập dashboard Grafana cho MFA metrics
• [ ] Xác nhận backup database hàng ngày
• [ ] Kích hoạt log shipping sang S3
• [ ] Xác nhận rollback plan có thể thực thi trong 15 phút
• [ ] Test recovery từ snapshot thành công
• [ ] Cấu hình Cloudflare analytics cho traffic
• [ ] Xác nhận có runbook cho tất cả scenario lỗi
• [ ] Kích hoạt real-time monitoring (Datadog)

Đoạn code và cấu hình thực tế

Docker Compose cho Redis Cluster

version: '3.8'
services:
  redis-node1:
    image: redis:7.2
    command: redis-server --cluster-enabled yes --cluster-config-file nodes.conf --cluster-node-timeout 5000 --appendonly yes
    ports:
      - "6379:6379"
    volumes:
      - redis-data1:/data
    networks:
      - odoo-mfa-net

  redis-node2:
    image: redis:7.2
    command: redis-server --cluster-enabled yes --cluster-config-file nodes.conf --cluster-node-timeout 5000 --appendonly yes
    ports:
      - "6380:6379"
    volumes:
      - redis-data2:/data
    networks:
      - odoo-mfa-net

  redis-node3:
    image: redis:7.2
    command: redis-server --cluster-enabled yes --cluster-config-file nodes.conf --cluster-node-timeout 5000 --appendonly yes
    ports:
      - "6381:6379"
    volumes:
      - redis-data3:/data
    networks:
      - odoo-mfa-net

volumes:
  redis-data1:
  redis-data2:
  redis-data3:

networks:
  odoo-mfa-net:
    driver: bridge

Nginx config chống brute force

http {
    limit_conn_zone $binary_remote_addr zone=login:10m;
    limit_req_zone $binary_remote_addr zone=otp:10m rate=1r/s;

    server {
        location /web/login {
            limit_conn login 3;
            limit_req zone=otp nodelay;
            proxy_pass http://odoo-backend;
        }

        location /web/otp {
            limit_req zone=otp burst=2 nodelay;
            proxy_pass http://odoo-backend;
        }
    }
}

Odoo module: Xử lý OTP

# models/res_users.py
class ResUsers(models.Model):
    _inherit = 'res.users'

    def _send_otp(self):
        otp = str(random.randint(100000, 999999))
        self.otp_code = otp
        self.otp_sent_at = fields.Datetime.now()

        # Gửi qua AWS SNS
        sns = boto3.client('sns')
        sns.publish(
            PhoneNumber=f"+84{self.phone[1:]}",
            Message=f"Ma OTP Odoo cua ban: {otp}. Hieu luc 120 giay.",
            MessageAttributes={
                'AWS.SNS.SMS.SenderID': {
                    'DataType': 'String',
                    'StringValue': 'ODOO-ADMIN'
                }
            }
        )

Cloudflare Worker: Human Check

export default {
  async fetch(request, env) {
    const ip = request.headers.get('CF-Connecting-IP');
    const rateLimit = await env.MFA_RATELIMIT.get(ip);

    if (rateLimit && parseInt(rateLimit) > 3) {
      return new Response('Too many attempts', { status: 429 });
    }

    // Challenge qua Turnstile
    if (!request.headers.get('Cf-Turnstile-Result')) {
      return new Response(`
        <html>
          <body>
            <div class="cf-turnstile" data-sitekey="${env.CF_TURNSTILE_KEY}"></div>
            <script src="https://challenges.cloudflare.com/turnstile/v0/api.js"></script>
          </body>
        </html>
      `, { status: 403 });
    }

    return fetch(request);
  }
}

GitHub Actions CI/CD pipeline

name: Odoo MFA Deployment

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Install dependencies
        run: |
          sudo apt-get update
          sudo apt-get install -y python3-dev libpq-dev

      - name: Run tests
        run: |
          pip install -r requirements.txt
          pytest --junitxml=results.xml

      - name: Deploy to staging
        if: github.ref == 'refs/heads/main'
        run: |
          ansible-playbook deploy.yml -i staging
        env:
          AWS_ACCESS_KEY: ${{ secrets.AWS_ACCESS_KEY }}
          AWS_SECRET_KEY: ${{ secrets.AWS_SECRET_KEY }}

Script kiểm tra tỷ lệ deliver SMS

#!/bin/bash
# monit_sns.sh
TOTAL=$(aws sns get-sms-attributes --query "attributes['MonthlySpendLimit']" --output text)
SUCCESS=$(grep "Delivered" /var/log/sns.log | wc -l)
FAIL=$(grep "Failed" /var/log/sns.log | wc -l)
RATE=$(echo "scale=2; $SUCCESS*100/($SUCCESS+$FAIL)" | bc)

if (( $(echo "$RATE < 99.5" | bc -l) )); then
  curl -X POST -H "Content-Type: application/json" \
  -d '{"text":"ALERT: SMS delivery rate dropped to '$RATE'%"}' \
  $SLACK_WEBHOOK
fi

Odoo security rule cho OTP

<record id="rule_otp_access" model="ir.rule">
  <field name="name">OTP Access Control</field>
  <field name="model_id" ref="model_res_users_otp"/>
  <field name="domain_force">
    [('create_uid','=',user.id)]
  </field>
</record>

Kết luận

3 Key Takeaways

1. Triển khai MFA OTP qua SMS giảm 99.8% tấn công brute force, đáp ứng yêu cầu PCI DSS 4.0 có hiệu lực từ 2025.
2. AWS SNS là giải pháp tối ưu cho doanh nghiệp 200-1000 admin/tháng với chi phí $0.0075/SMS và tỷ lệ deliver 99.5%.
3. Phải có 2 phương án dự phòng cho SMS gateway và cấu hình rate limiting chặt chẽ để tránh downtime.

Câu hỏi thảo luận

Anh em đã từng gặp trường hợp SMS gateway đột ngột tăng giá 30% giữa năm chưa? Các xử lý thế nào để không bị “bắt chẹt” từ nhà cung cấp?

Kêu gọi hành động

Nếu đang cần giải pháp MFA toàn diện cho hệ thống Odoo, hãy xem lại checklist 48 item trong bài và áp dụng ngay từng bước. Chưa chắc chắn về kiến trúc? Comment ngay để mình chia sẻ template HLD chi tiết!

Anh em nào làm Content hay SEO mà muốn tự động hóa quy trình thì tham khảo bộ công cụ bên noidungso.io.vn nhé, đỡ tốn cơm gạo thuê nhân sự part-time.