Odebrání SSH přístupu k Vašemu VPS bývalému zaměstnanci nebo při ztrátě notebooku
Bývalý zaměstnanec, tvůrce webu, který už svou práci dokončil, nebo odcizený notebook: kdo měl na Vašem serveru SSH klíč, se může stále přihlásit. Běžný klíč nevyprší. Co neodstraníte, bude fungovat dál, i po letech. Takto správně odeberete přístup ke svému VPS.
Krok 1: projděte všechny klíče
Klíče jsou uloženy pro každého uživatele zvlášť v ~/.ssh/authorized_keys, jeden klíč na řádek. Zkontrolujte každého uživatele, včetně uživatele root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf zobrazí u každého klíče otisk a komentář, například jan@laptop. Podle toho poznáte, komu nebo kterému zařízení klíč patří. Proto se vyplatí dát každému klíči při vytvoření srozumitelný komentář a pro každé zařízení používat samostatný klíč.
- Vytvořte si kopii:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Otevřete soubor pomocí
sudo nanoa odstraňte řádek dané osoby nebo daného zařízení. - Než zavřete aktuální relaci, ověřte ve druhém okně, že se sami stále přihlásíte.
Najdete klíč, který neznáte a který jste sami nepřidali? Pak jde o varovný signál: útočníci si rádi nahrají vlastní klíč, aby se mohli později vrátit. V takovém případě postupujte podle článku Napadený server? První kroky.
Krok 2: účet dané osoby
Pokud měla daná osoba vlastního uživatele, zablokujte ho nebo ho odstraňte. Nejprve si pomocí who ověřte, kdo je právě přihlášen.
| Co | Příkaz (Debian a Ubuntu) |
|---|---|
| Zablokovat účet a ponechat soubory | sudo usermod -L -e 1 jan |
| Ukončit běžící relace a procesy | sudo pkill -u jan |
| Odebrat ze skupiny sudo | sudo gpasswd -d jan sudo |
| Odstranit účet včetně domovského adresáře | sudo deluser --remove-home jan |
-L zablokuje heslo, -e 1 nastaví účtu vypršení platnosti. Samotné zablokování hesla SSH klíč vždy nezastaví, účet s vypršenou platností ano. Klíče proto přesto odstraňte (krok 1). Zkontrolujte také, zda pro danou osobu neexistují soubory v /etc/sudoers.d/ a zda pod jejím jménem neběží naplánované úlohy: sudo crontab -l -u jan. Na AlmaLinuxu a Rocky Linuxu se skupina správců jmenuje wheel a účet odstraníte příkazem sudo userdel -r jan.
Krok 3: změňte hesla a tajné údaje
Odstranit klíč nestačí, pokud daná osoba viděla i hesla. Změňte vše, co znala nebo mohla přečíst:
- Heslo uživatele root. To nastavíte ve správě VPS na kartě Nastavení, nebo přímo na serveru příkazem
sudo passwd root. - Hesla k databázím a administračním rozhraním a také tokeny nebo API klíče v konfiguračních souborech a souborech
.env. Změňte je i u služby, která je vydala. - Sdílené klíče pro zálohy, například heslo k Vašemu úložišti restic.
Krok 4: Váš účet WebOké
Pokud měla daná osoba přístup do Můj WebOké, odeberte jej také. Se správnými oprávněními může například spravovat Váš VPS prostřednictvím správy VPS. Přejděte do Moje administrace, na kartu Uživatelé, a u dané osoby zvolte Odebrat přístup. Viz Přidání dalšího uživatele k účtům WebOké: správa více účtů WebOké jedním uživatelem. Pokud jste někdy sdíleli své vlastní přihlašovací údaje, změňte si heslo, viz Nastavení, změna nebo zapomenuté heslo.
Ztracený nebo odcizený notebook
Odstraňte pouze klíč daného zařízení, a to na každém serveru, kde byl uložen. Na novém zařízení vytvořte nový klíč a přidejte jej, viz Nahrání klíče na server a jeho otestování. Pokud soukromý klíč neměl passphrase, počítejte s tím, že mohl být zneužit, a změňte také hesla z kroku 3. Pokud se sami nemůžete přihlásit, použijte konzoli ve správě VPS, viz Nemáte přístup ke svému VPS: co dělat?
authorized_keys před jeho klíč volbu expiry-time="20261231", za ní mezeru a klíč. Po tomto datu server klíč automaticky odmítne. Kromě toho si ve své dokumentaci k serveru veďte přehled o tom, kdo má přístup, a každé čtvrtletí jej zkontrolujte, viz Zabezpečení VPS: hardening, Lynis a pravidelná údržba.Pokud budete VPS později přeinstalovávat, zadejte do pole SSH klíč pouze klíč, který Vám v tu chvíli stále patří. Váš VPS je plně v režimu vlastní správy: kdo smí na server, si určujete sami. Pomůžeme Vám s částí, která se týká WebOké, například se správou VPS, konzolí a snapshoty.
Chcete se dozvědět více? Absolvujte bezplatný kurz Správa VPS a linuxových serverů, lekci 2.1 Vytváření a používání SSH klíčů nebo lekci 2.3 Chytré používání SSH.