SSH-juurdepääsu tühistamine oma VPS-ile endise töötaja või kadunud sülearvuti korral
Endine töötaja, oma töö lõpetanud veebiarendaja või varastatud sülearvuti: kellel oli su serveris SSH-võti, saab endiselt sisse logida. Tavaline võti ei aegu. Mida sa ära ei eemalda, see töötab edasi, ka aastaid hiljem. Nii võtad juurdepääsu oma VPS-ile korralikult ära.
Samm 1: vaata kõik võtmed üle
Võtmed asuvad iga kasutaja failis ~/.ssh/authorized_keys, üks võti rea kohta. Kontrolli iga kasutajat, ka rooti:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf näitab iga võtme sõrmejälge ja kommentaari, näiteks jan@laptop. Selle järgi näed, kellele või millisele seadmele võti kuulub. Seepärast on kasulik anda igale võtmele loomisel selge kommentaar ja kasutada iga seadme jaoks eraldi võtit.
- Tee koopia:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Ava fail käsuga
sudo nanoja eemalda selle inimese või seadme rida. - Enne praeguse seansi sulgemist kontrolli teises aknas, et pääsed ise endiselt sisse.
Kas seal on võti, mida sa ei tunne ja mida sa ise ei lisanud? See on häiresignaal: sissetungijad lisavad meelsasti oma võtme, et hiljem tagasi tulla. Sel juhul järgi juhendit Häkitud? Esimesed sammud.
Samm 2: selle inimese konto
Kui sellel inimesel oli oma kasutaja, lukusta või kustuta see. Vaata kõigepealt käsuga who, kes on praegu sisse logitud.
| Mis | Käsk (Debian ja Ubuntu) |
|---|---|
| Konto sulgemine, failid jäävad alles | sudo usermod -L -e 1 jan |
| Käimasolevate seansside ja protsesside peatamine | sudo pkill -u jan |
| Grupist sudo eemaldamine | sudo gpasswd -d jan sudo |
| Konto kustutamine koos kodukaustaga | sudo deluser --remove-home jan |
-L lukustab parooli, -e 1 laseb kontol aeguda. Ainult parooli lukustamine ei peata SSH-võtit alati, aegunud konto aga peatab. Seepärast eemalda võtmed igal juhul (samm 1). Kontrolli ka, kas kaustas /etc/sudoers.d/ on selle inimese jaoks faile ja kas tema nime all töötab ajastatud ülesandeid: sudo crontab -l -u jan. AlmaLinuxis ja Rocky Linuxis on administraatorite grupi nimi wheel ja konto kustutad käsuga sudo userdel -r jan.
Samm 3: vaheta paroolid ja saladused
Võtme eemaldamisest ei piisa, kui see inimene on näinud ka paroole. Vaheta välja kõik, mida ta teadis või lugeda sai:
- Root-parool. Selle määrad VPS-i vaates vahekaardil Seaded või serveris käsuga
sudo passwd root. - Andmebaaside ja halduspaneelide paroolid ning tokenid või API-võtmed konfiguratsioonifailides ja
.env-failides. Vaheta need ka teenuses, mis need väljastas. - Varukoopiate jagatud võtmed, näiteks su restic-hoidla parool.
Samm 4: sinu WebOké konto
Kui sellel inimesel oli juurdepääs Minu WebOké keskkonnale, eemalda ka see. Õigete õigustega saab keegi seal näiteks VPS-i vaate kaudu su VPS-i hallata. Mine jaotisse Minu haldus, vahekaardile Kasutajad, ja vali selle inimese juures Eemalda juurdepääs. Vaata Lisakasutaja lisamine WebOké kontodele: mitme WebOké konto haldamine ühe kasutajaga. Kui oled kunagi oma sisselogimisandmeid jaganud, muuda oma parooli, vaata Parooli määramine, muutmine või unustamine.
Kadunud või varastatud sülearvuti
Eemalda ainult selle seadme võti, igast serverist, kus see oli. Loo uues seadmes uus võti ja lisa see, vaata Võtme lisamine serverisse ja testimine. Kui privaatvõtmel polnud paroolifraasi, eelda, et seda võidi kasutada, ja vaheta ka sammu 3 paroolid. Kui sa ise enam sisse ei pääse, kasuta VPS-i vaates konsooli, vaata VPS-ile pole enam juurdepääsu: mis nüüd?
authorized_keys tema võtme ette valik expiry-time="20261231", millele järgneb tühik ja võti. Pärast seda kuupäeva lükkab server võtme ise tagasi. Pea lisaks oma serveri dokumentatsioonis arvet, kellel on juurdepääs, ja vaata see iga kvartal üle, vaata VPS-i turvalisena hoidmine: turvatugevdamine, Lynis ja hooldusrütm.Kui paigaldad VPS-i hiljem uuesti, sisesta väljale SSH-võti ainult võti, mis kuulub praegu veel sulle. Sinu VPS on täielikult isehallatav: kes serverisse pääseb, otsustad ise. Meie aitame WebOké osaga, näiteks VPS-i vaate, konsooli ja hetktõmmistega.
Tahad rohkem teada? Läbi tasuta kursus VPS ja Linuxi serveri haldus, õppetund 2.1 SSH-võtmete loomine ja kasutamine või õppetund 2.3 SSH nutikas kasutamine.