Återkalla SSH-åtkomst till din VPS för en tidigare medarbetare eller en borttappad laptop

En tidigare medarbetare, en webbutvecklare som är klar eller en stulen laptop: den som hade en SSH-nyckel till din server kan fortfarande logga in. En vanlig nyckel går inte ut. Det du inte tar bort fortsätter att fungera, även flera år senare. Så här drar du in åtkomsten till din VPS på rätt sätt.

Steg 1: gå igenom alla nycklar

Nycklarna finns per användare i ~/.ssh/authorized_keys, en nyckel per rad. Kontrollera varje användare, även root:

sudo sh -c 'ls -l /root/.ssh/authorized_keys /home/*/.ssh/authorized_keys'
sudo ssh-keygen -lf /root/.ssh/authorized_keys
sudo ssh-keygen -lf /home/anna/.ssh/authorized_keys

ssh-keygen -lf visar fingeravtrycket och kommentaren för varje nyckel, till exempel jan@laptop. Där ser du vem eller vilken enhet en nyckel tillhör. Därför är det smart att ge varje nyckel en tydlig kommentar när du skapar den, och att använda en egen nyckel per enhet.

1. Gör en kopia: sudo cp /root/.ssh/authorized_keys /root/authorized_keys.bak.
2. Öppna filen med sudo nano och ta bort raden för den personen eller enheten.
3. Testa i ett andra fönster att du själv fortfarande kommer in, innan du stänger din nuvarande session.

Hittar du en nyckel som du inte känner igen och som du inte har lagt dit själv? Då är det en varningssignal: inkräktare lägger gärna in en egen nyckel för att kunna komma tillbaka senare. Följ i så fall Hackad? De första stegen.

Steg 2: personens konto

Hade personen en egen användare, lås eller ta bort den. Kontrollera först vem som är inloggad just nu med who.

-L låser lösenordet, -e 1 gör att kontot går ut. Att bara låsa lösenordet stoppar inte alltid en SSH-nyckel, men ett utgånget konto gör det. Ta ändå bort nycklarna (steg 1). Kontrollera också om det finns filer för personen i /etc/sudoers.d/, och om det körs schemalagda jobb under det namnet: sudo crontab -l -u jan. På AlmaLinux och Rocky Linux heter administratörsgruppen wheel och du tar bort ett konto med sudo userdel -r jan.

Steg 3: byt lösenord och hemligheter

Det räcker inte att ta bort en nyckel om personen också har sett lösenord. Byt ut det som personen kände till eller kunde läsa:

• Root-lösenordet. Det ställer du in i VPS-panelen, fliken Inställningar, eller på servern med sudo passwd root.
• Lösenord till databaser och administrationspaneler, samt tokens eller API-nycklar i konfigurationsfiler och .env-filer. Byt dem även hos tjänsten som har utfärdat dem.
• Delade nycklar för säkerhetskopior, till exempel lösenordet till din restic-lagring.

Steg 4: ditt WebOké-konto

Hade personen åtkomst till Mitt WebOké, ta bort den också. Med rätt behörigheter kan någon där till exempel hantera din VPS via VPS-panelen. Gå till Min administration, fliken Användare, och välj Ta bort åtkomst vid den personen. Se Lägg till en extra användare i WebOké-konton: hantera flera WebOké-konton med en användare. Har du någon gång delat dina egna inloggningsuppgifter, byt då ditt lösenord, se Ställa in, ändra eller återställa lösenord.

En borttappad eller stulen laptop

Ta bara bort nyckeln för den enheten, på varje server där den fanns. Skapa en ny nyckel på din nya enhet och lägg till den, se Lägg in din nyckel på servern och testa den. Hade den privata nyckeln ingen lösenfras, utgå då från att den kan ha använts och byt även lösenorden från steg 3. Kommer du inte in själv längre, använd konsolen i VPS-panelen, se Ingen åtkomst till din VPS längre: vad gör du nu?

Installerar du om din VPS senare, fyll då bara i en nyckel i fältet SSH-nyckel som fortfarande tillhör dig. Din VPS är helt självförvaltad: vem som får komma in på servern bestämmer du själv. Vi hjälper till med WebOké-delen, som VPS-panelen, konsolen och snapshots.

Vill du lära dig mer? Gå den kostnadsfria kursen VPS och Linux-serveradministration, lektion 2.1 Skapa och använda SSH-nycklar eller lektion 2.3 Använd SSH smart.