SSH prieigos prie Jūsų VPS atšaukimas buvusiam darbuotojui arba pametus nešiojamąjį kompiuterį
Buvęs darbuotojas, darbą baigęs svetainių kūrėjas ar pavogtas nešiojamasis kompiuteris: kas turėjo SSH raktą Jūsų serveryje, vis dar gali prisijungti. Įprastas raktas nenustoja galioti. Ko nepašalinsite, tas veiks ir toliau, net po daugelio metų. Štai kaip tinkamai atšaukti prieigą prie Jūsų VPS.
1 žingsnis: patikrinkite visus raktus
Raktai saugomi kiekvieno naudotojo faile ~/.ssh/authorized_keys, po vieną raktą eilutėje. Patikrinkite kiekvieną naudotoją, taip pat root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf parodo kiekvieno rakto kontrolinį kodą (fingerprint) ir komentarą, pavyzdžiui, jan@laptop. Iš jo matysite, kam ar kuriam įrenginiui raktas priklauso. Todėl naudinga kuriant kiekvieną raktą pridėti aiškų komentarą ir kiekvienam įrenginiui naudoti atskirą raktą.
- Pasidarykite kopiją:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Atidarykite failą su
sudo nanoir pašalinkite to asmens ar įrenginio eilutę. - Antrame lange patikrinkite, ar patys vis dar galite prisijungti, prieš uždarydami dabartinę sesiją.
Radote raktą, kurio nepažįstate ir kurio patys neįdėjote? Tai pavojaus signalas: įsilaužėliai mėgsta įdėti savo raktą, kad vėliau galėtų sugrįžti. Tokiu atveju vadovaukitės straipsniu Įsilaužta? Pirmieji žingsniai.
2 žingsnis: to asmens paskyra
Jei tas asmuo turėjo savo naudotoją, užrakinkite arba pašalinkite jį. Pirmiausia komanda who patikrinkite, kas šiuo metu prisijungęs.
| Ką daryti | Komanda (Debian ir Ubuntu) |
|---|---|
| Užrakinti paskyrą, failus palikti | sudo usermod -L -e 1 jan |
| Sustabdyti vykdomas sesijas ir procesus | sudo pkill -u jan |
| Pašalinti iš grupės sudo | sudo gpasswd -d jan sudo |
| Pašalinti paskyrą kartu su namų katalogu | sudo deluser --remove-home jan |
-L užrakina slaptažodį, -e 1 nustato, kad paskyros galiojimas pasibaigė. Vien slaptažodžio užrakinimas ne visada sustabdo SSH raktą, o pasibaigusio galiojimo paskyra sustabdo. Vis tiek pašalinkite raktus (1 žingsnis). Taip pat patikrinkite, ar kataloge /etc/sudoers.d/ nėra tam asmeniui skirtų failų ir ar to asmens vardu nevykdomos suplanuotos užduotys: sudo crontab -l -u jan. AlmaLinux ir Rocky Linux sistemose administratorių grupė vadinasi wheel, o paskyrą pašalinate komanda sudo userdel -r jan.
3 žingsnis: pakeiskite slaptažodžius ir slaptus duomenis
Neužtenka pašalinti rakto, jei tas asmuo matė ir slaptažodžius. Pakeiskite tai, ką tas asmuo žinojo arba galėjo perskaityti:
- Root slaptažodį. Jį nustatysite VPS lange, skirtuke Nustatymai, arba serveryje komanda
sudo passwd root. - Duomenų bazių ir administravimo skydelių slaptažodžius, taip pat žetonus (tokens) ar API raktus konfigūracijos failuose ir
.envfailuose. Pakeiskite juos ir tose paslaugose, kurios juos išdavė. - Bendrai naudojamus atsarginių kopijų raktus, pavyzdžiui, Jūsų restic saugyklos slaptažodį.
4 žingsnis: Jūsų WebOké paskyra
Jei tas asmuo turėjo prieigą prie Mano WebOké, pašalinkite ir ją. Turėdamas tinkamas teises, asmuo ten gali, pavyzdžiui, valdyti Jūsų VPS per VPS langą. Eikite į Mano administravimas, skirtuką Naudotojai, ir prie to asmens pasirinkite Pašalinti prieigą. Žr. Papildomo naudotojo pridėjimas prie WebOké paskyrų: kelių WebOké paskyrų valdymas vienu naudotoju. Jei kada nors dalijotės savo prisijungimo duomenimis, pakeiskite slaptažodį, žr. Slaptažodžio nustatymas, keitimas arba atkūrimas.
Pamestas arba pavogtas nešiojamasis kompiuteris
Pašalinkite tik to įrenginio raktą, kiekviename serveryje, kuriame jis buvo. Naujame įrenginyje sukurkite naują raktą ir pridėkite jį, žr. Rakto įdėjimas į serverį ir patikrinimas. Jei privatusis raktas neturėjo slaptafrazės (passphrase), laikykite, kad juo galėjo būti pasinaudota, ir pakeiskite ir 3 žingsnyje nurodytus slaptažodžius. Jei patys nebegalite prisijungti, naudokite konsolę VPS lange, žr. Nebėra prieigos prie Jūsų VPS: ką daryti?
authorized_keys prieš to asmens raktą įrašykite parinktį expiry-time="20261231", po jos tarpą ir raktą. Po šios datos serveris raktą atmes automatiškai. Be to, savo serverio dokumentacijoje registruokite, kas turi prieigą, ir tai tikrinkite kas ketvirtį, žr. Jūsų VPS apsauga: sistemos stiprinimas (hardening), Lynis ir reguliari priežiūra.Jei vėliau iš naujo įdiegsite VPS, lauke SSH raktas įrašykite tik tokį raktą, kuris dabar vis dar priklauso Jums. Jūsų VPS yra visiškai savarankiškai administruojamas: kas gali prisijungti prie serverio, sprendžiate patys. Mes padedame su WebOké dalimi, pavyzdžiui, VPS langu, konsole ir momentinėmis kopijomis (snapshots).
Norite sužinoti daugiau? Išklausykite nemokamo kurso VPS ir Linux serverių administravimas pamoką 2.1 SSH raktų kūrimas ir naudojimas arba pamoką 2.3 Išmanus SSH naudojimas.