Opoziv SSH pristupa Vašem VPS-u u slučaju bivšeg zaposlenika ili izgubljenog prijenosnog računala
Bivši zaposlenik, web developer koji je završio posao ili ukradeno prijenosno računalo: tko je imao SSH ključ na Vašem poslužitelju, i dalje se može prijaviti. Običan ključ ne istječe. Ono što ne uklonite nastavlja raditi, čak i godinama kasnije. Ovako ispravno opozivate pristup svom VPS-u.
Korak 1: provjerite sve ključeve
Ključevi se za svakog korisnika nalaze u ~/.ssh/authorized_keys, jedan ključ po retku. Provjerite kod svakog korisnika, pa i kod korisnika root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf za svaki ključ prikazuje otisak (fingerprint) i komentar, poput jan@laptop. Po tome vidite kome ili kojem uređaju ključ pripada. Zato je korisno svakom ključu pri izradi dati jasan komentar i za svaki uređaj koristiti zaseban ključ.
- Napravite kopiju:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Otvorite datoteku naredbom
sudo nanoi uklonite redak te osobe ili tog uređaja. - U drugom prozoru provjerite možete li se i sami još prijaviti, prije nego što zatvorite trenutačnu sesiju.
Postoji li ključ koji ne prepoznajete i koji niste sami postavili? To je znak za uzbunu: napadači rado postavljaju vlastiti ključ kako bi se kasnije vratili. U tom slučaju slijedite upute iz članka Hakirani ste? Prvi koraci.
Korak 2: račun te osobe
Ako je ta osoba imala vlastitog korisnika, zaključajte ga ili obrišite. Najprije naredbom who provjerite tko je trenutačno prijavljen.
| Što | Naredba (Debian i Ubuntu) |
|---|---|
| Zaključajte račun, datoteke ostaju | sudo usermod -L -e 1 jan |
| Zaustavite aktivne sesije i procese | sudo pkill -u jan |
| Uklonite korisnika iz grupe sudo | sudo gpasswd -d jan sudo |
| Obrišite račun zajedno s početnim direktorijem | sudo deluser --remove-home jan |
-L zaključava lozinku, a -e 1 postavlja račun kao istekao. Samo zaključavanje lozinke ne zaustavlja uvijek SSH ključ, ali istekli račun to čini. Unatoč tome uklonite i ključeve (korak 1). Provjerite i postoje li datoteke za tu osobu u /etc/sudoers.d/ te pokreću li se zakazani zadaci pod tim imenom: sudo crontab -l -u jan. Na AlmaLinuxu i Rocky Linuxu administratorska grupa zove se wheel, a račun brišete naredbom sudo userdel -r jan.
Korak 3: zamijenite lozinke i tajne
Uklanjanje ključa nije dovoljno ako je ta osoba vidjela i lozinke. Zamijenite sve što je ta osoba znala ili mogla pročitati:
- Root lozinku. Nju postavljate na VPS zaslonu, kartica Postavke, ili na poslužitelju naredbom
sudo passwd root. - Lozinke baza podataka i administracijskih sučelja te tokene ili API ključeve u konfiguracijskim datotekama i
.envdatotekama. Zamijenite ih i kod usluge koja ih je izdala. - Zajedničke ključeve za sigurnosne kopije, primjerice lozinku Vašeg restic repozitorija.
Korak 4: Vaš WebOké račun
Ako je ta osoba imala pristup sučelju Moj WebOké, uklonite i taj pristup. S odgovarajućim ovlastima netko tamo može, primjerice, upravljati Vašim VPS-om putem VPS zaslona. Idite na Moja administracija, kartica Korisnici, i kod te osobe odaberite Uklonite pristup. Pogledajte Dodavanje dodatnog korisnika WebOké računima: upravljanje s više WebOké računa jednim korisnikom. Ako ste ikada podijelili vlastite podatke za prijavu, promijenite lozinku, pogledajte Postavljanje, promjena ili zaboravljena lozinka.
Izgubljeno ili ukradeno prijenosno računalo
Uklonite samo ključ tog uređaja, na svakom poslužitelju na kojem se nalazio. Na novom uređaju izradite novi ključ i dodajte ga, pogledajte Postavljanje i testiranje ključa na poslužitelju. Ako privatni ključ nije imao passphrase, pretpostavite da je mogao biti zloupotrijebljen i zamijenite i lozinke iz koraka 3. Ako se više ne možete sami prijaviti, upotrijebite konzolu na VPS zaslonu, pogledajte Nemate više pristup svom VPS-u: što sada?
authorized_keys ispred njegova ključa postavite opciju expiry-time="20261231", nakon koje slijede razmak i ključ. Nakon tog datuma poslužitelj automatski odbija ključ. Osim toga, u dokumentaciji poslužitelja vodite evidenciju o tome tko ima pristup i provjeravajte je svakog tromjesečja, pogledajte Održavanje sigurnosti VPS-a: hardening, Lynis i ritam održavanja.Ako kasnije ponovno instalirate VPS, u polje SSH ključ unesite samo ključ koji i danas pripada Vama. Vaš VPS je potpuno samostalno upravljan: sami određujete tko smije pristupiti poslužitelju. Mi pomažemo s dijelom koji se odnosi na WebOké, poput VPS zaslona, konzole i snapshota.
Želite li naučiti više? Pohađajte besplatni tečaj VPS i upravljanje Linux poslužiteljima, lekcija 2.1 Izrada i korištenje SSH ključeva ili lekcija 2.3 Pametno korištenje SSH-a.