Fjern SSH-adgang til din VPS for en tidligere medarbejder eller en bortkommet bærbar
En tidligere medarbejder, en webudvikler, der er færdig, eller en stjålet bærbar: Den, der havde en SSH-nøgle på din server, kan stadig logge ind. En almindelig nøgle udløber ikke. Det, du ikke fjerner, bliver ved med at virke, også mange år senere. Sådan trækker du adgangen til din VPS tilbage på den rigtige måde.
Trin 1: Gennemgå alle nøgler
Nøglerne ligger for hver bruger i ~/.ssh/authorized_keys, én nøgle pr. linje. Tjek hver bruger, også root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf viser fingeraftrykket og kommentaren for hver nøgle, f.eks. jan@laptop. Ud fra det kan du se, hvem eller hvilken enhed en nøgle tilhører. Derfor er det smart at give hver nøgle en tydelig kommentar, når du opretter den, og at bruge en separat nøgle til hver enhed.
- Lav en kopi:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Åbn filen med
sudo nano, og fjern linjen for den pågældende person eller enhed. - Test i et andet vindue, at du selv stadig kan komme ind, før du lukker din nuværende session.
Er der en nøgle, du ikke kender, og som du ikke selv har lagt ind? Så er det et alarmsignal: Indtrængere lægger gerne deres egen nøgle ind for at kunne komme tilbage senere. Følg i så fald Hacket? De første skridt.
Trin 2: Personens konto
Havde personen sin egen bruger, så lås eller slet den. Tjek først med who, hvem der er logget ind lige nu.
| Hvad | Kommando (Debian og Ubuntu) |
|---|---|
| Luk kontoen, behold filerne | sudo usermod -L -e 1 jan |
| Stop igangværende sessioner og processer | sudo pkill -u jan |
| Fjern fra gruppen sudo | sudo gpasswd -d jan sudo |
| Slet kontoen med hjemmemappe | sudo deluser --remove-home jan |
-L låser adgangskoden, -e 1 får kontoen til at udløbe. At låse adgangskoden stopper ikke altid en SSH-nøgle, men det gør den udløbne konto. Fjern alligevel nøglerne (trin 1). Tjek også, om der ligger filer til personen i /etc/sudoers.d/, og om der kører planlagte opgaver under det navn: sudo crontab -l -u jan. På AlmaLinux og Rocky Linux hedder administratorgruppen wheel, og du sletter en konto med sudo userdel -r jan.
Trin 3: Skift adgangskoder og hemmeligheder
Det er ikke nok at fjerne en nøgle, hvis personen også har set adgangskoder. Skift det, som personen kendte eller kunne læse:
- Root-adgangskoden. Den indstiller du i VPS-skærmen under fanen Indstillinger eller på serveren med
sudo passwd root. - Adgangskoder til databaser og administrationspaneler samt tokens eller API-nøgler i konfigurationsfiler og
.env-filer. Skift dem også hos den tjeneste, der har udstedt dem. - Delte nøgler til backup, f.eks. adgangskoden til dit restic-lager.
Trin 4: Din WebOké-konto
Havde personen adgang til Mit WebOké, så fjern også den. Med de rette rettigheder kan man derfra f.eks. administrere din VPS via VPS-skærmen. Gå til Min administration, fanen Brugere, og vælg Fjern adgang ud for personen. Se Tilføj en ekstra bruger til WebOké-konti: Administrer flere WebOké-konti med én bruger. Har du nogensinde delt dine egne loginoplysninger, så skift din adgangskode, se Opret, skift eller nulstil din adgangskode.
En mistet eller stjålet bærbar
Fjern kun nøglen fra den enhed, på alle servere hvor den lå. Opret en ny nøgle på din nye enhed, og tilføj den, se Læg din nøgle på serveren, og test den. Havde den private nøgle ingen passphrase, så gå ud fra, at den kan være blevet brugt, og skift også adgangskoderne fra trin 3. Kan du ikke selv komme ind længere, så brug konsollen i VPS-skærmen, se Ingen adgang til din VPS længere: Hvad nu?
expiry-time="20261231" foran personens nøgle i authorized_keys, efterfulgt af et mellemrum og nøglen. Efter den dato afviser serveren automatisk nøglen. Før desuden i din serverlog over, hvem der har adgang, og gennemgå den hvert kvartal, se Hold din VPS sikker: hardening, Lynis og en vedligeholdelsesrytme.Geninstallerer du din VPS senere, så indtast kun en nøgle i feltet SSH-nøgle, som stadig tilhører dig. Din VPS er fuldt selvadministreret: Hvem der må komme ind på serveren, styrer du selv. Vi hjælper med WebOké-delen, såsom VPS-skærmen, konsollen og snapshots.
Vil du lære mere? Tag det gratis kursus VPS og Linux-serveradministration, lektion 2.1 Opret og brug SSH-nøgler eller lektion 2.3 Brug SSH smart.