تعطيل تسجيل دخول root بكلمة المرور

يعرف الجميع اسم root: فهو موجود على كل جهاز ويمتلك صلاحيات كاملة. لم يبقَ أمام من يحاول التخمين سوى شيء واحد ليخمّنه — كلمة المرور. تعطيل تسجيل الدخول بكلمة المرور لحساب root يزيل فئة كاملة من الهجمات بمعامل واحد.

التحضير

أولًا خطة الاحتياط، ثم الحظر. الترتيب معاكس لما تميل إليه.

1. أنشئ مستخدمًا يمتلك sudo — المستخدمون و sudo.
2. أضف مفتاح SSH الخاص بك إليه وتحقق من تسجيل الدخول في نافذة طرفية منفصلة.
3. تأكد من أن sudo -i يعمل.
4. الآن فقط غيّر الإعداد.

ssh artem@<address>
sudo whoami

إذا أعاد الأمر الثاني root، فلديك خطة احتياط.

خيارات الإعداد

في الملف /etc/ssh/sshd_config.d/99-hardening.conf:

التوليفة الموصى بها:

PermitRootLogin prohibit-password
PasswordAuthentication no

المعامل الثاني يغلق تسجيل الدخول بكلمة المرور لجميع المستخدمين دفعة واحدة، وليس لـ root فقط. لمزيد من التفاصيل، راجع تقوية SSH.

التطبيق والتحقق

sudo sshd -t
sudo systemctl restart ssh
sudo sshd -T | grep -i permitrootlogin

من نافذة أخرى، تحقق من أن root لم يعد يقبل كلمة المرور وأن مستخدمك يسجّل الدخول بالمفتاح:

ssh root@<address>
ssh artem@<address>

إعادة تشغيل sshd لا تُسقط الجلسة الحالية — أبقها مفتوحة حتى تنتهي من التحقق.

ما يبقى متاحًا

يؤثر التغيير على SSH فقط. كلمة مرور root لا تزال مطلوبة ولا تزال تعمل:

• في وحدة تحكم الجهاز، في كلا التبويبين — النصي و«Screen»؛
• عند تسجيل الدخول عبر قرص الاستعادة؛
• للأمر su - داخل النظام.

كلمة المرور نفسها مخزّنة مشفّرة ويُكشف عنها بزر في تبويب «الوصول» في لوحة التحكم على /hosting/vds/m/<id>. هذا مسارك الطارئ، ولا ينبغي أن تفقده — راجع نسخ مفاتيح وكلمات المرور احتياطيًا.

الأخطاء الشائعة

لا تعطّل تسجيل دخول root دون التحقق من تسجيل الدخول البديل في نافذة مجاورة. يستغرق التحقق عشر ثوانٍ؛ أما الاستعادة عبر وحدة التحكم فتستغرق وقتًا أطول بكثير.