SSH-käyttöoikeuden peruminen VPS:ltäsi entiseltä työntekijältä tai kadonneelta kannettavalta
Entinen työntekijä, työnsä valmiiksi saanut verkkosivujen tekijä tai varastettu kannettava: jokainen, jonka SSH-avain on palvelimellasi, pääsee yhä kirjautumaan sisään. Tavallinen avain ei vanhene. Se, mitä et poista, toimii edelleen, myös vuosien päästä. Näin poistat käyttöoikeudet VPS:ltäsi kunnolla.
Vaihe 1: käy kaikki avaimet läpi
Avaimet ovat käyttäjäkohtaisesti tiedostossa ~/.ssh/authorized_keys, yksi avain riviä kohden. Tarkista jokainen käyttäjä, myös root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf näyttää jokaisen avaimen sormenjäljen ja kommentin, esimerkiksi jan@laptop. Niistä näet, kenen tai minkä laitteen avain on kyseessä. Siksi kannattaa antaa jokaiselle avaimelle sitä luodessa selkeä kommentti ja käyttää jokaisella laitteella omaa avainta.
- Tee varmuuskopio:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Avaa tiedosto komennolla
sudo nanoja poista kyseisen henkilön tai laitteen rivi. - Testaa toisessa ikkunassa, että pääset itse yhä sisään, ennen kuin suljet nykyisen istuntosi.
Löytyykö avain, jota et tunnista etkä ole itse lisännyt? Se on hälytysmerkki: tunkeutujat lisäävät mielellään oman avaimensa, jotta pääsevät myöhemmin takaisin. Seuraa silloin ohjetta Hakkeroitu? Ensimmäiset toimenpiteet.
Vaihe 2: henkilön käyttäjätili
Jos henkilöllä oli oma käyttäjä, lukitse tai poista se. Tarkista ensin komennolla who, kuka on juuri nyt kirjautuneena.
| Mitä | Komento (Debian ja Ubuntu) |
|---|---|
| Sulje tili, säilytä tiedostot | sudo usermod -L -e 1 jan |
| Lopeta käynnissä olevat istunnot ja prosessit | sudo pkill -u jan |
| Poista sudo-ryhmästä | sudo gpasswd -d jan sudo |
| Poista tili kotihakemistoineen | sudo deluser --remove-home jan |
-L lukitsee salasanan, -e 1 asettaa tilin vanhentuneeksi. Pelkkä salasanan lukitseminen ei aina estä SSH-avaimen käyttöä, vanhentunut tili sen sijaan estää. Poista avaimet silti (vaihe 1). Tarkista myös, onko hakemistossa /etc/sudoers.d/ tiedostoja kyseiselle henkilölle ja ajetaanko hänen nimellään ajastettuja tehtäviä: sudo crontab -l -u jan. AlmaLinuxissa ja Rocky Linuxissa ylläpitäjäryhmän nimi on wheel, ja tili poistetaan komennolla sudo userdel -r jan.
Vaihe 3: vaihda salasanat ja salaisuudet
Avaimen poistaminen ei riitä, jos henkilö on nähnyt myös salasanoja. Vaihda kaikki, mitä hän tiesi tai pystyi lukemaan:
- Root-salasana. Sen voit asettaa VPS-näkymän Asetukset-välilehdellä tai palvelimella komennolla
sudo passwd root. - Tietokantojen ja hallintapaneelien salasanat sekä asetustiedostoissa ja
.env-tiedostoissa olevat tokenit tai API-avaimet. Vaihda ne myös palvelussa, joka on ne myöntänyt. - Varmuuskopioiden jaetut avaimet, esimerkiksi restic-tallennustilasi salasana.
Vaihe 4: WebOké-tilisi
Jos henkilöllä oli pääsy Oma WebOké -palveluun, poista myös se. Oikeilla oikeuksilla hän voi esimerkiksi hallita VPS:ääsi VPS-näkymän kautta. Siirry kohtaan Oma hallinta, välilehdelle Käyttäjät, ja valitse henkilön kohdalta Poista käyttöoikeus. Katso Lisäkäyttäjän lisääminen WebOké-tileille: useiden WebOké-tilien hallinta yhdellä käyttäjällä. Jos olet joskus jakanut omat kirjautumistietosi, vaihda salasanasi, katso Salasanan asettaminen, vaihtaminen tai unohtunut salasana.
Kadonnut tai varastettu kannettava
Poista vain kyseisen laitteen avain jokaiselta palvelimelta, jolla se oli. Luo uudella laitteellasi uusi avain ja lisää se, katso Avaimen lisääminen palvelimelle ja testaaminen. Jos yksityisellä avaimella ei ollut salalausetta, oleta, että sitä on voitu käyttää, ja vaihda myös vaiheen 3 salasanat. Jos et itse enää pääse sisään, käytä VPS-näkymän konsolia, katso Ei enää pääsyä VPS:lle: mitä nyt?
authorized_keys hänen avaimensa eteen valinta expiry-time="20261231", sen perään välilyönti ja avain. Päivämäärän jälkeen palvelin hylkää avaimen automaattisesti. Pidä lisäksi palvelinkansiossasi kirjaa siitä, kenellä on pääsy, ja käy se läpi joka vuosineljännes, katso VPS:n pitäminen turvallisena: koventaminen, Lynis ja ylläpitorytmi.Jos asennat VPS:n myöhemmin uudelleen, lisää SSH-avain-kenttään vain avain, joka kuuluu yhä sinulle. VPS on täysin itse hallinnoitava: sinä päätät itse, kuka palvelimelle pääsee. Me autamme WebOkén osuudessa, kuten VPS-näkymässä, konsolissa ja snapshoteissa.
Haluatko oppia lisää? Käy ilmainen kurssi VPS ja Linux-palvelimen ylläpito, oppitunti 2.1 SSH-avainten luominen ja käyttö tai oppitunti 2.3 SSH:n fiksu käyttö.