Revocarea accesului SSH la VPS-ul dumneavoastră pentru un fost angajat sau în cazul unui laptop pierdut
Un fost angajat, un dezvoltator web care și-a terminat lucrarea sau un laptop furat: oricine a avut o cheie SSH pe serverul dumneavoastră se poate autentifica în continuare. O cheie obișnuită nu expiră. Ceea ce nu eliminați rămâne funcțional, chiar și după ani de zile. Iată cum revocați corect accesul la VPS-ul dumneavoastră.
Pasul 1: verificați toate cheile
Cheile sunt stocate pentru fiecare utilizator în ~/.ssh/authorized_keys, câte o cheie pe rând. Verificați la fiecare utilizator, inclusiv la root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf afișează pentru fiecare cheie amprenta și comentariul, de exemplu jan@laptop. Din acestea vedeți cui sau cărui dispozitiv îi aparține o cheie. De aceea este util să dați fiecărei chei, la creare, un comentariu clar și să folosiți o cheie separată pentru fiecare dispozitiv.
- Faceți o copie:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Deschideți fișierul cu
sudo nanoși ștergeți rândul persoanei sau al dispozitivului respectiv. - Testați într-o a doua fereastră că vă puteți autentifica în continuare, înainte de a închide sesiunea curentă.
Găsiți o cheie pe care nu o recunoașteți și pe care nu ați adăugat-o dumneavoastră? Acesta este un semnal de alarmă: atacatorii își adaugă adesea propria cheie pentru a reveni mai târziu. În acest caz, urmați Ați fost atacat? Primii pași.
Pasul 2: contul persoanei respective
Dacă persoana avea un utilizator propriu, blocați-l sau ștergeți-l. Verificați mai întâi cine este autentificat în acest moment cu who.
| Acțiune | Comandă (Debian și Ubuntu) |
|---|---|
| Blocarea contului, păstrând fișierele | sudo usermod -L -e 1 jan |
| Oprirea sesiunilor și proceselor active | sudo pkill -u jan |
| Eliminarea din grupul sudo | sudo gpasswd -d jan sudo |
| Ștergerea contului împreună cu directorul personal | sudo deluser --remove-home jan |
-L blochează parola, -e 1 face contul să expire. Simpla blocare a parolei nu oprește întotdeauna o cheie SSH; contul expirat, în schimb, da. Cu toate acestea, ștergeți și cheile (pasul 1). Verificați de asemenea dacă există fișiere pentru persoana respectivă în /etc/sudoers.d/ și dacă rulează sarcini programate sub acel nume: sudo crontab -l -u jan. Pe AlmaLinux și Rocky Linux, grupul de administratori se numește wheel, iar un cont se șterge cu sudo userdel -r jan.
Pasul 3: înlocuiți parolele și datele secrete
Ștergerea unei chei nu este suficientă dacă persoana respectivă a văzut și parole. Înlocuiți tot ce cunoștea sau putea citi acea persoană:
- Parola de root. O setați în ecranul VPS, fila Setări, sau pe server cu
sudo passwd root. - Parolele bazelor de date și ale panourilor de administrare, precum și tokenurile sau cheile API din fișierele de configurare și din fișierele
.env. Înlocuiți-le și la serviciul care le-a emis. - Cheile partajate pentru backupuri, de exemplu parola depozitului dumneavoastră restic.
Pasul 4: contul dumneavoastră WebOké
Dacă persoana respectivă avea acces la Contul meu WebOké, eliminați și acest acces. Cu drepturile potrivite, cineva poate, de exemplu, să vă administreze VPS-ul prin ecranul VPS. Accesați Administrația mea, fila Utilizatori, și alegeți pentru persoana respectivă Eliminați accesul. Consultați Adăugarea unui utilizator suplimentar la conturile WebOké: administrarea mai multor conturi WebOké cu un singur utilizator. Dacă v-ați partajat vreodată propriile date de autentificare, schimbați-vă parola, consultați Setarea, schimbarea sau recuperarea parolei.
Un laptop pierdut sau furat
Ștergeți doar cheia acelui dispozitiv, de pe fiecare server pe care se afla. Creați pe noul dispozitiv o cheie nouă și adăugați-o, consultați Adăugarea cheii pe server și testarea acesteia. Dacă cheia privată nu avea passphrase, porniți de la premisa că ar fi putut fi folosită și înlocuiți și parolele de la pasul 3. Dacă nu vă mai puteți autentifica, folosiți consola din ecranul VPS, consultați Nu mai aveți acces la VPS: ce faceți acum?
authorized_keys, înaintea cheii sale, opțiunea expiry-time="20261231", urmată de un spațiu și de cheie. După această dată, serverul refuză automat cheia. În plus, țineți evidența în dosarul serverului a persoanelor care au acces și verificați-o în fiecare trimestru, consultați Menținerea securității VPS-ului: hardening, Lynis și un ritm de întreținere.Dacă reinstalați ulterior VPS-ul, completați în câmpul pentru cheia SSH doar o cheie care vă aparține în continuare. VPS-ul dumneavoastră este complet autogestionat: dumneavoastră stabiliți cine are acces la server. Noi vă ajutăm cu partea WebOké, precum ecranul VPS, consola și snapshoturile.
Doriți să aflați mai multe? Urmați cursul gratuit VPS și administrarea serverelor Linux, lecția 2.1 Crearea și utilizarea cheilor SSH sau lecția 2.3 Utilizarea inteligentă a SSH.