Como adicionar authetntication de dois fatores ao ssh?

Question

Eu estou tentando adicionar 2FA ao sshd usando o PAM do pacote oathtool. Eu quero duas maneiras de acessar o servidor:

• publickey e 2FA ou
• senha e 2FA

Até o momento, consegui adicionar 2FA à autenticação de chave pública, mas não sei como ingressar a senha com 2FA.

Meu sshd_config (OpenSSH_6.6p1, OpenSSL 1.0.1g 7 de abril de 2014):

AuthenticationMethods publickey,keyboard-interactive:pam password,keyboard-interactive:pam
ChallengeResponseAuthentication yes
PasswordAuthentication yes
UsePAM yes

PAM sshd:

auth required pam_oath.so usersfile=/etc/users.oath window=30

Mas esta configuração não faz sentido: quando eu estou tentando fazer o login usando a senha + 2FA eu perguntei duas vezes para F2A (uma vez como senha, segundo como OATH.