Revogar o acesso SSH ao seu VPS de um antigo colaborador ou de um portátil perdido
Um antigo colaborador, um programador web que terminou o trabalho ou um portátil roubado: quem tinha uma chave SSH no seu servidor continua a conseguir iniciar sessão. Uma chave comum não expira. O que não remover continua a funcionar, mesmo anos depois. Veja aqui como revogar corretamente o acesso ao seu VPS.
Passo 1: verificar todas as chaves
As chaves encontram-se, por utilizador, em ~/.ssh/authorized_keys, uma chave por linha. Verifique cada utilizador, incluindo o root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf mostra, para cada chave, a impressão digital e o comentário, como jan@laptop. Assim percebe a quem ou a que dispositivo pertence uma chave. Por isso, é útil atribuir a cada chave um comentário claro no momento da sua criação e utilizar uma chave própria para cada dispositivo.
- Faça uma cópia:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Abra o ficheiro com
sudo nanoe remova a linha dessa pessoa ou desse dispositivo. - Teste numa segunda janela que continua a conseguir entrar, antes de fechar a sessão atual.
Encontrou uma chave que não reconhece e que não foi colocada por si? Trata-se de um sinal de alarme: os intrusos gostam de colocar a sua própria chave para poderem voltar mais tarde. Nesse caso, siga Foi pirateado? Os primeiros passos.
Passo 2: a conta dessa pessoa
Se essa pessoa tinha um utilizador próprio, bloqueie-o ou elimine-o. Verifique primeiro quem tem sessão iniciada neste momento com who.
| O quê | Comando (Debian e Ubuntu) |
|---|---|
| Bloquear a conta, mantendo os ficheiros | sudo usermod -L -e 1 jan |
| Terminar sessões e processos em curso | sudo pkill -u jan |
| Remover do grupo sudo | sudo gpasswd -d jan sudo |
| Eliminar a conta com a pasta pessoal | sudo deluser --remove-home jan |
-L bloqueia a palavra-passe, -e 1 faz a conta expirar. Bloquear apenas a palavra-passe nem sempre impede o acesso com uma chave SSH; uma conta expirada impede. Ainda assim, remova as chaves (passo 1). Verifique também se existem ficheiros para essa pessoa em /etc/sudoers.d/ e se há tarefas agendadas a correr com esse nome: sudo crontab -l -u jan. No AlmaLinux e no Rocky Linux, o grupo de administradores chama-se wheel e elimina uma conta com sudo userdel -r jan.
Passo 3: substituir palavras-passe e segredos
Remover uma chave não é suficiente se essa pessoa também viu palavras-passe. Substitua tudo o que essa pessoa conhecia ou podia ler:
- A palavra-passe de root. Pode defini-la no ecrã do VPS, separador Definições, ou no servidor com
sudo passwd root. - Palavras-passe de bases de dados e painéis de gestão, bem como tokens ou chaves de API em ficheiros de configuração e ficheiros
.env. Substitua-os também junto do serviço que os emitiu. - Chaves partilhadas para cópias de segurança, por exemplo a palavra-passe do seu repositório restic.
Passo 4: a sua conta WebOké
Se essa pessoa tinha acesso a O meu WebOké, remova-o também. Com as permissões adequadas, alguém pode, por exemplo, gerir o seu VPS através do ecrã do VPS. Aceda a A minha Administração, separador Utilizadores, e escolha Remover acesso junto dessa pessoa. Consulte Adicionar um utilizador extra a contas WebOké: gerir várias contas WebOké com um único utilizador. Se alguma vez partilhou os seus próprios dados de acesso, altere a sua palavra-passe; consulte Definir, alterar ou recuperar a palavra-passe.
Um portátil perdido ou roubado
Remova apenas a chave desse dispositivo, em todos os servidores onde se encontrava. Crie uma nova chave no seu novo dispositivo e adicione-a; consulte Colocar e testar a sua chave no servidor. Se a chave privada não tinha passphrase, parta do princípio de que pode ter sido utilizada e substitua também as palavras-passe do passo 3. Se já não conseguir entrar, utilize a consola no ecrã do VPS; consulte Sem acesso ao seu VPS: e agora?
authorized_keys a opção expiry-time="20261231", seguida de um espaço e da chave. Após essa data, o servidor recusa a chave automaticamente. Além disso, registe no dossiê do seu servidor quem tem acesso e reveja-o todos os trimestres; consulte Manter o seu VPS seguro: hardening, Lynis e uma rotina de manutenção.Se reinstalar o VPS mais tarde, preencha no campo Chave SSH apenas uma chave que ainda lhe pertença. O seu VPS é totalmente autogerido: é o próprio utilizador que decide quem pode aceder ao servidor. Nós ajudamos com a parte WebOké, como o ecrã do VPS, a consola e os snapshots.
Quer aprender mais? Siga o curso gratuito de VPS e administração de servidores Linux, lição 2.1 Criar e utilizar chaves SSH ou lição 2.3 Utilizar o SSH de forma inteligente.