Odobratie SSH prístupu k vášmu VPS bývalému zamestnancovi alebo pri strate notebooku
Bývalý zamestnanec, webový vývojár, ktorého práca sa skončila, alebo ukradnutý notebook: kto mal SSH kľúč na vašom serveri, sa môže stále prihlásiť. Bežný kľúč nemá dátum platnosti. Čo neodstránite, funguje ďalej, aj po rokoch. Takto správne odoberiete prístup k svojmu VPS.
Krok 1: skontrolujte všetky kľúče
Kľúče sú uložené pre každého používateľa v ~/.ssh/authorized_keys, jeden kľúč na riadok. Skontrolujte každého používateľa, aj root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf zobrazí pri každom kľúči odtlačok a komentár, napríklad jan@laptop. Podľa neho zistíte, komu alebo ktorému zariadeniu kľúč patrí. Preto sa oplatí dať každému kľúču pri vytvorení jasný komentár a pre každé zariadenie používať samostatný kľúč.
- Vytvorte si kópiu:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Otvorte súbor pomocou
sudo nanoa odstráňte riadok danej osoby alebo zariadenia. - V druhom okne otestujte, či sa stále viete prihlásiť, skôr než zatvoríte aktuálnu reláciu.
Nachádza sa tam kľúč, ktorý nepoznáte a ktorý ste sami nepridali? To je varovný signál: útočníci si radi pridajú vlastný kľúč, aby sa mohli neskôr vrátiť. V takom prípade postupujte podľa článku Hacknutie? Prvé kroky.
Krok 2: účet danej osoby
Ak mala daná osoba vlastného používateľa, zablokujte ho alebo ho odstráňte. Najprv príkazom who zistite, kto je práve prihlásený.
| Čo | Príkaz (Debian a Ubuntu) |
|---|---|
| Zablokovať účet, súbory ponechať | sudo usermod -L -e 1 jan |
| Ukončiť bežiace relácie a procesy | sudo pkill -u jan |
| Odstrániť zo skupiny sudo | sudo gpasswd -d jan sudo |
| Odstrániť účet aj s domovským priečinkom | sudo deluser --remove-home jan |
-L uzamkne heslo, -e 1 nastaví účtu vypršanie platnosti. Samotné uzamknutie hesla nie vždy zabráni prihláseniu SSH kľúčom, účet s vypršanou platnosťou áno. Kľúče preto aj tak odstráňte (krok 1). Skontrolujte tiež, či sa v /etc/sudoers.d/ nenachádzajú súbory pre danú osobu a či pod týmto menom nebežia naplánované úlohy: sudo crontab -l -u jan. Na AlmaLinux a Rocky Linux sa skupina správcov volá wheel a účet odstránite príkazom sudo userdel -r jan.
Krok 3: zmeňte heslá a tajné údaje
Odstránenie kľúča nestačí, ak daná osoba videla aj heslá. Zmeňte všetko, čo daná osoba poznala alebo mohla prečítať:
- Heslo používateľa root. Nastavíte ho v rozhraní VPS na karte Nastavenia alebo priamo na serveri príkazom
sudo passwd root. - Heslá k databázam a administračným rozhraniam, ako aj tokeny alebo API kľúče v konfiguračných súboroch a súboroch
.env. Zmeňte ich aj v službe, ktorá ich vydala. - Zdieľané kľúče pre zálohy, napríklad heslo k vášmu úložisku restic.
Krok 4: váš účet WebOké
Ak mala daná osoba prístup do Môj WebOké, odoberte ho tiež. S príslušnými oprávneniami tam môže napríklad spravovať váš VPS cez rozhranie VPS. Prejdite do Moja administrácia, na kartu Používatelia, a pri danej osobe zvoľte Odstrániť prístup. Pozrite si článok Pridanie ďalšieho používateľa k účtom WebOké: správa viacerých účtov WebOké jedným používateľom. Ak ste niekedy zdieľali svoje vlastné prihlasovacie údaje, zmeňte si heslo, pozrite si článok Nastavenie, zmena alebo zabudnuté heslo.
Stratený alebo ukradnutý notebook
Odstráňte iba kľúč daného zariadenia, a to na každom serveri, kde bol uložený. Na novom zariadení si vytvorte nový kľúč a pridajte ho, pozrite si článok Nahranie kľúča na server a jeho otestovanie. Ak súkromný kľúč nemal passphrase, počítajte s tým, že mohol byť zneužitý, a zmeňte aj heslá z kroku 3. Ak sa sami nedokážete prihlásiť, použite konzolu v rozhraní VPS, pozrite si článok Nemáte prístup k svojmu VPS: čo teraz?
authorized_keys pred kľúč tejto osoby voľbu expiry-time="20261231", za ňou medzeru a potom kľúč. Po tomto dátume server kľúč automaticky odmietne. Okrem toho si v dokumentácii servera vedte prehľad o tom, kto má prístup, a raz za štvrťrok ho skontrolujte, pozrite si článok Zabezpečenie VPS: hardening, Lynis a pravidelná údržba.Ak budete VPS neskôr preinštalovávať, do poľa SSH kľúč zadajte iba kľúč, ktorý vám stále patrí. Váš VPS je plne v samospráve: kto má prístup na server, si určujete sami. My vám pomôžeme s časťou WebOké, napríklad s rozhraním VPS, konzolou a snapshotmi.
Chcete sa dozvedieť viac? Absolvujte bezplatný kurz Správa VPS a linuxových serverov, lekciu 2.1 Vytvorenie a používanie SSH kľúčov alebo lekciu 2.3 Efektívne používanie SSH.