SSH-hozzáférés visszavonása a VPS-éhez volt munkatárs vagy elveszett laptop esetén
Egy volt munkatárs, egy webfejlesztő, aki befejezte a munkát, vagy egy ellopott laptop: aki rendelkezett SSH-kulccsal a szerveréhez, továbbra is be tud jelentkezni. Egy hagyományos kulcs nem jár le. Amit nem távolít el, az továbbra is működik, akár évekkel később is. Így vonhatja vissza megfelelően a VPS-éhez való hozzáférést.
1. lépés: az összes kulcs átnézése
A kulcsok felhasználónként a ~/.ssh/authorized_keys fájlban találhatók, soronként egy kulcs. Ellenőrizze minden felhasználónál, a root felhasználónál is:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
Az ssh-keygen -lf kulcsonként megjeleníti az ujjlenyomatot és a megjegyzést, például jan@laptop. Ebből látható, hogy a kulcs kihez vagy melyik eszközhöz tartozik. Ezért érdemes minden kulcsnak létrehozáskor egyértelmű megjegyzést adni, és eszközönként külön kulcsot használni.
- Készítsen másolatot:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Nyissa meg a fájlt a
sudo nanoparanccsal, és törölje az adott személy vagy eszköz sorát. - Egy második ablakban ellenőrizze, hogy Ön még be tud jelentkezni, mielőtt bezárja a jelenlegi munkamenetet.
Olyan kulcsot talál, amelyet nem ismer, és nem Ön helyezett el? Ez vészjel: a behatolók előszeretettel helyezik el a saját kulcsukat, hogy később visszatérhessenek. Ilyenkor kövesse a Feltörték? Az első lépések útmutatót.
2. lépés: az adott személy fiókja
Ha az adott személynek saját felhasználója volt, zárolja vagy törölje azt. Előbb nézze meg a who paranccsal, hogy ki van éppen bejelentkezve.
| Mit | Parancs (Debian és Ubuntu) |
|---|---|
| Fiók zárolása, a fájlok megtartásával | sudo usermod -L -e 1 jan |
| Futó munkamenetek és folyamatok leállítása | sudo pkill -u jan |
| Eltávolítás a sudo csoportból | sudo gpasswd -d jan sudo |
| Fiók törlése a saját könyvtárral együtt | sudo deluser --remove-home jan |
A -L zárolja a jelszót, a -e 1 lejárttá teszi a fiókot. Csak a jelszó zárolása nem mindig akadályozza meg az SSH-kulccsal történő belépést, a lejárt fiók viszont igen. Ezért a kulcsokat ettől függetlenül távolítsa el (1. lépés). Ellenőrizze azt is, hogy vannak-e az adott személyhez tartozó fájlok a /etc/sudoers.d/ könyvtárban, és futnak-e ütemezett feladatok az ő nevében: sudo crontab -l -u jan. AlmaLinux és Rocky Linux rendszeren a rendszergazdai csoport neve wheel, a fiókot pedig a sudo userdel -r jan paranccsal törölheti.
3. lépés: jelszavak és titkos adatok cseréje
A kulcs eltávolítása nem elegendő, ha az adott személy jelszavakat is látott. Cserélje le mindazt, amit ismert vagy el tudott olvasni:
- A root jelszót. Ezt a VPS-felület Beállítások lapján, vagy a szerveren a
sudo passwd rootparanccsal állíthatja be. - Az adatbázisok és kezelőfelületek jelszavait, valamint a konfigurációs fájlokban és
.env-fájlokban található tokeneket vagy API-kulcsokat. Ezeket a kibocsátó szolgáltatásnál is cserélje le. - A biztonsági mentésekhez használt közös kulcsokat, például a restic-tároló jelszavát.
4. lépés: az Ön WebOké-fiókja
Ha az adott személynek hozzáférése volt a Fiókom felülethez, azt is vonja vissza. Megfelelő jogosultságokkal ott például a VPS-felületen keresztül kezelheti az Ön VPS-ét. Lépjen a Saját adminisztráció menübe, nyissa meg a Felhasználók lapot, és az adott személynél válassza a Hozzáférés eltávolítása lehetőséget. Lásd: További felhasználó hozzáadása WebOké-fiókokhoz: több WebOké-fiók kezelése egyetlen felhasználóval. Ha valaha megosztotta a saját bejelentkezési adatait, változtassa meg a jelszavát, lásd: Jelszó beállítása, módosítása vagy elfelejtett jelszó.
Elveszett vagy ellopott laptop
Csak az adott eszköz kulcsát távolítsa el, minden olyan szerverről, ahol szerepelt. Az új eszközén hozzon létre új kulcsot, és adja hozzá, lásd: A kulcs elhelyezése a szerveren és tesztelése. Ha a privát kulcsnak nem volt jelmondata, feltételezze, hogy felhasználhatták, és cserélje le a 3. lépésben említett jelszavakat is. Ha Ön sem tud belépni, használja a VPS-felület konzolját, lásd: Nincs hozzáférése a VPS-éhez: mi a teendő?
authorized_keys fájlban a kulcsa elé írja be az expiry-time="20261231" opciót, majd egy szóközt és a kulcsot. Ezt a dátumot követően a szerver automatikusan elutasítja a kulcsot. Emellett vezesse a szerverdokumentációjában, kinek van hozzáférése, és ezt negyedévente tekintse át, lásd: A VPS biztonságban tartása: hardening, Lynis és rendszeres karbantartás.Ha később újratelepíti a VPS-t, az SSH-kulcs mezőben csak olyan kulcsot adjon meg, amely jelenleg is Önhöz tartozik. A VPS teljes mértékben saját üzemeltetésű: Ön dönti el, ki férhet hozzá a szerverhez. Mi a WebOké oldali részekben segítünk, például a VPS-felülettel, a konzollal és a pillanatképekkel.
Szeretne többet megtudni? Végezze el az ingyenes VPS és Linux-szerverüzemeltetés tanfolyamot, ezen belül a 2.1 SSH-kulcsok létrehozása és használata vagy a 2.3 Az SSH okos használata leckét.