Revocare l'accesso SSH al Suo VPS in caso di ex collaboratore o laptop smarrito
Un ex collaboratore, un web developer che ha terminato il suo lavoro o un portatile rubato: chi aveva una chiave SSH sul Suo server può ancora accedere. Una normale chiave non scade. Ciò che non rimuove continua a funzionare, anche anni dopo. Ecco come revocare correttamente l'accesso alla Sua VPS.
Passo 1: controllare tutte le chiavi
Le chiavi si trovano, per ogni utente, in ~/.ssh/authorized_keys, una chiave per riga. Controlli ogni utente, anche root:
sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys' sudo ssh-keygen -lf /root/.ssh/authorized_keys sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys
ssh-keygen -lf mostra per ogni chiave l'impronta digitale e il commento, ad esempio jan@laptop. Da questo capisce a chi o a quale dispositivo appartiene una chiave. Per questo è utile assegnare a ogni chiave, al momento della creazione, un commento chiaro e usare una chiave distinta per ogni dispositivo.
- Faccia una copia:
sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak. - Apra il file con
sudo nanoe rimuova la riga di quella persona o di quel dispositivo. - Verifichi in una seconda finestra di poter ancora accedere, prima di chiudere la sessione attuale.
Trova una chiave che non conosce e che non ha inserito Lei? Si tratta di un campanello d'allarme: gli intrusi amano inserire una propria chiave per poter tornare in seguito. In tal caso segua Hackerato? I primi passi.
Passo 2: l'account di quella persona
Se quella persona aveva un proprio utente, lo blocchi o lo elimini. Verifichi prima chi è attualmente connesso con who.
| Cosa | Comando (Debian e Ubuntu) |
|---|---|
| Bloccare l'account, mantenendo i file | sudo usermod -L -e 1 jan |
| Terminare sessioni e processi in corso | sudo pkill -u jan |
| Rimuovere dal gruppo sudo | sudo gpasswd -d jan sudo |
| Eliminare l'account con la cartella home | sudo deluser --remove-home jan |
-L blocca la password, -e 1 fa scadere l'account. Bloccare solo la password non sempre ferma una chiave SSH; un account scaduto invece sì. Rimuova comunque le chiavi (passo 1). Controlli anche se in /etc/sudoers.d/ ci sono file relativi a quella persona e se sono in esecuzione attività pianificate a suo nome: sudo crontab -l -u jan. Su AlmaLinux e Rocky Linux il gruppo degli amministratori si chiama wheel e si elimina un account con sudo userdel -r jan.
Passo 3: sostituire password e segreti
Rimuovere una chiave non basta se quella persona ha visto anche delle password. Sostituisca ciò che quella persona conosceva o poteva leggere:
- La password di root. La imposta nella schermata VPS, scheda Impostazioni, oppure sul server con
sudo passwd root. - Le password di database e pannelli di amministrazione, nonché token o chiavi API presenti nei file di configurazione e nei file
.env. Le sostituisca anche presso il servizio che le ha emesse. - Le chiavi condivise per i backup, ad esempio la password del Suo repository restic.
Passo 4: il Suo account WebOké
Se quella persona aveva accesso a Mio WebOké, rimuova anche quello. Con i permessi adeguati, una persona può ad esempio gestire la Sua VPS tramite la schermata VPS. Vada su La mia amministrazione, scheda Utenti, e scelga per quella persona Rimuovere accesso. Consulti Aggiungere un utente aggiuntivo agli account WebOké: gestire più account WebOké con un solo utente. Se ha mai condiviso le Sue credenziali di accesso, modifichi la Sua password, consulti Impostare, modificare o recuperare la password.
Un portatile smarrito o rubato
Rimuova solo la chiave di quel dispositivo, su ogni server in cui era presente. Crei una nuova chiave sul nuovo dispositivo e la aggiunga, consulti Inserire la chiave sul server e verificarla. Se la chiave privata non aveva una passphrase, consideri che possa essere stata utilizzata e sostituisca anche le password del passo 3. Se Lei stesso non riesce più ad accedere, utilizzi la console nella schermata VPS, consulti Nessun accesso alla Sua VPS: cosa fare?
authorized_keys, davanti alla sua chiave, l'opzione expiry-time="20261231", seguita da uno spazio e dalla chiave. Dopo tale data il server rifiuterà automaticamente la chiave. Tenga inoltre traccia, nella documentazione del server, di chi ha accesso e la verifichi ogni trimestre, consulti Mantenere sicura la Sua VPS: hardening, Lynis e un ritmo di manutenzione.Se in seguito reinstalla la VPS, inserisca nel campo Chiave SSH solo una chiave che appartiene ancora a Lei. La Sua VPS è completamente autogestita: chi può accedere al server lo decide Lei. Noi La aiutiamo con la parte WebOké, come la schermata VPS, la console e gli snapshot.
Desidera approfondire? Segua il corso gratuito VPS e gestione di server Linux, lezione 2.1 Creare e usare chiavi SSH o lezione 2.3 Usare SSH in modo intelligente.