Preklic dostopa SSH do Vašega VPS-ja nekdanjemu zaposlenemu ali ob izgubi prenosnika
Nekdanji zaposleni, izdelovalec spletnih strani, ki je zaključil delo, ali ukraden prenosnik: kdor je imel ključ SSH na Vašem strežniku, se še vedno lahko prijavi. Običajen ključ ne poteče. Kar ne odstranite, deluje naprej, tudi leta pozneje. Tako pravilno odvzamete dostop do svojega VPS-ja.
Korak 1: preglejte vse ključe
Ključi so za vsakega uporabnika shranjeni v ~/.ssh/authorized_keys, en ključ na vrstico. Preverite pri vsakem uporabniku, tudi pri root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf za vsak ključ prikaže prstni odtis in komentar, na primer jan@laptop. Po tem vidite, komu ali kateri napravi ključ pripada. Zato je priporočljivo, da vsakemu ključu ob ustvarjanju dodate jasen komentar in za vsako napravo uporabljate ločen ključ.
- Naredite kopijo:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Odprite datoteko z
sudo nanoin odstranite vrstico te osebe ali naprave. - V drugem oknu preizkusite, ali se sami še lahko prijavite, preden zaprete trenutno sejo.
Je med njimi ključ, ki ga ne poznate in ga niste dodali sami? To je opozorilni znak: vsiljivci radi dodajo svoj ključ, da se lahko pozneje vrnejo. V tem primeru sledite navodilom Vdor? Prvi koraki.
Korak 2: račun te osebe
Če je imela ta oseba svojega uporabnika, ga zaklenite ali izbrišite. Najprej z ukazom who preverite, kdo je trenutno prijavljen.
| Kaj | Ukaz (Debian in Ubuntu) |
|---|---|
| Zaklenite račun, datoteke ostanejo | sudo usermod -L -e 1 jan |
| Ustavite tekoče seje in procese | sudo pkill -u jan |
| Odstranite iz skupine sudo | sudo gpasswd -d jan sudo |
| Izbrišite račun skupaj z domačo mapo | sudo deluser --remove-home jan |
-L zaklene geslo, -e 1 pa nastavi potek računa. Zgolj zaklenjeno geslo ključa SSH ne ustavi vedno, potekel račun pa ga. Zato ključe vseeno odstranite (korak 1). Preverite tudi, ali so v /etc/sudoers.d/ datoteke za to osebo in ali pod tem imenom tečejo načrtovana opravila: sudo crontab -l -u jan. V AlmaLinux in Rocky Linux se skupina skrbnikov imenuje wheel, račun pa izbrišete z sudo userdel -r jan.
Korak 3: zamenjajte gesla in skrivnosti
Odstranitev ključa ni dovolj, če je ta oseba videla tudi gesla. Zamenjajte vse, kar je ta oseba poznala ali lahko prebrala:
- Geslo za root. Nastavite ga v zaslonu VPS, zavihek Nastavitve, ali na strežniku z
sudo passwd root. - Gesla za podatkovne baze in skrbniške vmesnike ter žetone ali ključe API v konfiguracijskih datotekah in datotekah
.env. Zamenjajte jih tudi pri storitvi, ki jih je izdala. - Skupne ključe za varnostne kopije, na primer geslo Vašega repozitorija restic.
Korak 4: Vaš račun WebOké
Če je imela ta oseba dostop do Moj WebOké, ga prav tako odstranite. Z ustreznimi pravicami lahko nekdo tam na primer upravlja Vaš VPS prek zaslona VPS. Pojdite v Moja administracija, zavihek Uporabniki, in pri tej osebi izberite Odstrani dostop. Glejte Dodajanje dodatnega uporabnika v račune WebOké: upravljanje več računov WebOké z enim uporabnikom. Če ste kdaj delili svoje podatke za prijavo, spremenite geslo, glejte Nastavitev, sprememba ali pozabljeno geslo.
Izgubljen ali ukraden prenosnik
Odstranite samo ključ te naprave, in sicer na vsakem strežniku, kjer je bil. Na novi napravi ustvarite nov ključ in ga dodajte, glejte Namestitev ključa na strežnik in preizkus. Če zasebni ključ ni bil zaščiten z geslom (passphrase), predpostavite, da je bil morda zlorabljen, in zamenjajte tudi gesla iz koraka 3. Če se sami ne morete več prijaviti, uporabite konzolo v zaslonu VPS, glejte Ni več dostopa do Vašega VPS-ja: kaj zdaj?
authorized_keys pred njegov ključ dodajte možnost expiry-time="20261231", ki ji sledita presledek in ključ. Po tem datumu strežnik ključ samodejno zavrne. Poleg tega v dokumentaciji strežnika vodite evidenco, kdo ima dostop, in jo preglejte vsako četrtletje, glejte Varnost Vašega VPS-ja: utrjevanje, Lynis in ritem vzdrževanja.Če boste VPS pozneje znova namestili, v polje Ključ SSH vnesite le ključ, ki trenutno še pripada Vam. Vaš VPS je v celoti v samostojnem upravljanju: kdo sme dostopati do strežnika, urejate sami. Pomagamo Vam pri delu WebOké, kot so zaslon VPS, konzola in posnetki (snapshots).
Želite izvedeti več? Sledite brezplačnemu tečaju VPS in upravljanje strežnikov Linux, lekcija 2.1 Ustvarjanje in uporaba ključev SSH ali lekcija 2.3 Pametna uporaba SSH.