SSH-toegang tot je VPS intrekken bij een oud-medewerker of verloren laptop

Een oud-medewerker, een webbouwer die klaar is, of een laptop die gestolen is: wie een SSH-sleutel op je server had, kan nog steeds inloggen. Een gewone sleutel verloopt niet. Wat je niet weghaalt, blijft werken, ook jaren later. Zo trek je toegang tot je VPS goed in.

Stap 1: alle sleutels nalopen

Sleutels staan per gebruiker in ~/.ssh/authorized_keys, één sleutel per regel. Kijk bij elke gebruiker, ook bij root:

sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys'
sudo ssh-keygen -lf /root/.ssh/authorized_keys
sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys

ssh-keygen -lf toont per sleutel de vingerafdruk en de opmerking, zoals jan@laptop. Daaraan zie je van wie of van welk apparaat een sleutel is. Daarom is het handig om elke sleutel bij het maken een duidelijke opmerking te geven, en per apparaat een eigen sleutel te gebruiken.

1. Maak een kopie: sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak.
2. Open het bestand met sudo nano en haal de regel van die persoon of dat apparaat weg.
3. Test in een tweede venster dat je zelf nog binnenkomt, voordat je je huidige sessie sluit.

Staat er een sleutel bij die je niet kent en die je zelf niet hebt gezet? Dan is dat een alarmsignaal: inbrekers zetten graag hun eigen sleutel neer om later terug te komen. Volg dan Gehackt? De eerste stappen.

Stap 2: het account van die persoon

Had die persoon een eigen gebruiker, vergrendel of verwijder die dan. Kijk eerst wie er nu is ingelogd met who.

-L vergrendelt het wachtwoord, -e 1 laat het account verlopen. Alleen het wachtwoord vergrendelen houdt een SSH-sleutel niet altijd tegen; het verlopen account wel. Haal de sleutels daarom toch weg (stap 1). Kijk ook of er bestanden voor die persoon in /etc/sudoers.d/ staan, en of er geplande taken onder die naam draaien: sudo crontab -l -u jan. Op AlmaLinux en Rocky Linux heet de beheerdersgroep wheel en verwijder je een account met sudo userdel -r jan.

Stap 3: wachtwoorden en geheimen vervangen

Een sleutel weghalen is niet genoeg als die persoon ook wachtwoorden heeft gezien. Vervang wat die persoon kende of kon lezen:

• Het root-wachtwoord. Dat zet je in het VPS-scherm, tabblad Instellingen, of op de server met sudo passwd root.
• Wachtwoorden van databases en beheerschermen, en tokens of API-sleutels in configuratiebestanden en .env-bestanden. Vervang ze ook bij de dienst die ze heeft uitgegeven.
• Gedeelde sleutels voor back-ups, bijvoorbeeld het wachtwoord van je restic-opslag.

Stap 4: je WebOké-account

Had die persoon toegang tot Mijn WebOké, haal die dan ook weg. Met de juiste rechten kan iemand daar bijvoorbeeld je VPS beheren via het VPS-scherm. Ga naar Mijn Administratie, tabblad Gebruikers, en kies bij die persoon Toegang verwijderen. Zie Extra gebruiker toevoegen aan WebOké accounts - Meerdere WebOké accounts beheren met één gebruiker. Heb je je eigen inloggegevens ooit gedeeld, wijzig dan je wachtwoord, zie Wachtwoord instellen, wijzigen of vergeten.

Een verloren of gestolen laptop

Haal alleen de sleutel van dat apparaat weg, op elke server waar hij stond. Maak op je nieuwe apparaat een nieuwe sleutel en zet die erbij, zie Je sleutel op de server zetten en testen. Had de privésleutel geen passphrase, ga er dan van uit dat hij gebruikt kan zijn en vervang ook de wachtwoorden uit stap 3. Kom je zelf niet meer binnen, gebruik dan de console in het VPS-scherm, zie Geen toegang meer tot je VPS: wat nu?

Installeer je de VPS later opnieuw, vul dan in het veld SSH-sleutel alleen een sleutel in die nu nog bij jou hoort. Je VPS is volledig zelfbeheer: wie er op de server mag, regel je zelf. Wij helpen met het WebOké-deel, zoals het VPS-scherm, de console en snapshots.

Meer leren? Volg de gratis cursus VPS en Linux-serverbeheer, les 2.1 SSH-sleutels maken en gebruiken of les 2.3 SSH slim gebruiken.