Отнемане на SSH достъпа до Вашия VPS за бивш служител или при изгубен лаптоп

Бивш служител, уеб разработчик, който е приключил работата си, или откраднат лаптоп: всеки, който е имал SSH ключ за Вашия сървър, все още може да влезе. Обикновеният ключ не изтича. Това, което не премахнете, продължава да работи дори години по-късно. Ето как правилно да отнемете достъпа до Вашия VPS.

Стъпка 1: проверете всички ключове

Ключовете се намират за всеки потребител в ~/.ssh/authorized_keys, по един ключ на ред. Проверете при всеки потребител, включително при root:

sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys'
sudo ssh-keygen -lf /root/.ssh/authorized_keys
sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys

ssh-keygen -lf показва за всеки ключ отпечатъка (fingerprint) и коментара, например jan@laptop. По него виждате на кого или на кое устройство принадлежи даден ключ. Затова е удобно при създаването на всеки ключ да му зададете ясен коментар и да използвате отделен ключ за всяко устройство.

1. Направете копие: sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak.
2. Отворете файла с sudo nano и премахнете реда на съответния човек или устройство.
3. Проверете във втори прозорец, че Вие самите все още можете да влезете, преди да затворите текущата си сесия.

Има ли ключ, който не познавате и който не сте добавили Вие? Това е сигнал за тревога: нападателите често добавят собствен ключ, за да се върнат по-късно. В такъв случай следвайте Хакнати сте? Първите стъпки.

Стъпка 2: акаунтът на този човек

Ако този човек е имал собствен потребител, заключете го или го изтрийте. Първо проверете кой е влязъл в момента с who.

-L заключва паролата, -e 1 прави акаунта изтекъл. Само заключването на паролата не винаги спира SSH ключ; изтеклият акаунт го спира. Въпреки това премахнете ключовете (стъпка 1). Проверете също дали в /etc/sudoers.d/ има файлове за този човек и дали под това име се изпълняват планирани задачи: sudo crontab -l -u jan. В AlmaLinux и Rocky Linux администраторската група се казва wheel, а акаунт се изтрива с sudo userdel -r jan.

Стъпка 3: сменете паролите и тайните данни

Премахването на ключ не е достатъчно, ако този човек е виждал и пароли. Сменете всичко, което този човек е знаел или е могъл да прочете:

• Паролата на root. Задавате я в панела на VPS, раздел Настройки, или на сървъра с sudo passwd root.
• Паролите на бази данни и административни панели, както и токени или API ключове в конфигурационни файлове и .env файлове. Сменете ги и при услугата, която ги е издала.
• Споделени ключове за резервни копия, например паролата на Вашето restic хранилище.

Стъпка 4: Вашият WebOké акаунт

Ако този човек е имал достъп до Моят WebOké, премахнете и него. С подходящите права някой може например да управлява Вашия VPS през панела на VPS. Отидете в Моята администрация, раздел Потребители, и изберете при този човек Премахване на достъпа. Вижте Добавяне на допълнителен потребител към WebOké акаунти: управление на няколко WebOké акаунта с един потребител. Ако някога сте споделяли собствените си данни за вход, сменете паролата си, вижте Задаване, смяна или забравена парола.

Изгубен или откраднат лаптоп

Премахнете само ключа на това устройство, на всеки сървър, където е бил добавен. Създайте нов ключ на новото си устройство и го добавете, вижте Добавяне и тестване на Вашия ключ на сървъра. Ако частният ключ не е имал passphrase, приемете, че може да е бил използван, и сменете и паролите от стъпка 3. Ако самите Вие вече не можете да влезете, използвайте конзолата в панела на VPS, вижте Нямате достъп до Вашия VPS: какво да направите?

Ако по-късно преинсталирате VPS, в полето SSH ключ въведете само ключ, който и в момента принадлежи на Вас. Вашият VPS е изцяло самостоятелно управляван: Вие решавате кой има достъп до сървъра. Ние помагаме с частта на WebOké, като панела на VPS, конзолата и snapshots.

Искате да научите повече? Преминете безплатния курс VPS и администриране на Linux сървъри, урок 2.1 Създаване и използване на SSH ключове или урок 2.3 Умно използване на SSH.