Вопросы про безопасность

Машина выдаётся с полным root-доступом, и это значит, что её безопасность — ваша зона ответственности. Мы отвечаем за то, чтобы машина существовала и была доступна; за то, что внутри, отвечаете вы.

Доступ к машине

Где взять пароль root?

Во вкладке «Доступ» на /hosting/vds/<id>. Он хранится зашифрованным и показывается по кнопке. Тот же пароль под маской виден во вкладке «Обзор».

Стоит ли менять выданный пароль?

Да, сразу после первого входа:

passwd

После смены панель продолжит показывать старый пароль — он больше не действует, ориентируйтесь на свой.

Как добавить ключ SSH?

Во вкладке «Доступ» есть список ключей. Важная деталь: список заменяется целиком, а не дополняется. Вставляйте все нужные ключи разом, иначе потеряете доступ с других машин.

Можно ли отключить вход по паролю?

Да, и это разумно, когда ключи настроены и проверены:

sed -i 's/^#\?PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sshd -t && systemctl restart ssh

Сначала убедитесь, что вход по ключу работает в отдельном окне. Если закроете себе доступ, вернуть его можно через консоль — она работает всегда.

Что делать, если потерял доступ по SSH?

Заходите через консоль во вкладке «Консоль», она подключена к машине напрямую. Оттуда поправьте настройки или задайте пароль заново.

Защита машины

Кто отвечает за обновления безопасности?

Вы. Обновления системы и софта внутри машины не устанавливаются автоматически с нашей стороны:

apt update && apt upgrade
dnf upgrade

Нужен ли межсетевой экран?

Да, если на машине больше, чем один сайт. Правило простое: сначала разрешите SSH, потом всё остальное закрывайте.

ufw allow 22/tcp
ufw allow 80,443/tcp
ufw enable

Порядок важен: включённый экран без разрешённого 22-го порта отрезает вас от машины.

Как понять, что машину взломали?

Признаки: процессор в полке круглосуточно, незнакомые процессы от нестандартных пользователей, высокая исходящая полоса, новые ключи в /root/.ssh/authorized_keys, задания в cron, которых вы не создавали. Проверить попытки входа:

last -20
journalctl -u ssh | grep -i "accepted"
crontab -l

Что делать при взломе?

Считать машину скомпрометированной целиком. Чистка отдельных файлов ненадёжна: заберите данные, отзовите все ключи и токены, которые лежали на машине, и переустановите систему из вкладки «Доступ». Затем поднимайте заново с нормальным паролем и ключами.

Почему в журнале тысячи попыток подбора пароля?

Это фоновый шум интернета: любой публичный адрес перебирают автоматически. Опасен он только при слабом пароле. Отключите вход по паролю, и попытки станут бессмысленными.

Данные

Как хранится пароль root в панели?

В зашифрованном виде, показывается только по вашей кнопке во вкладке «Доступ».

Есть ли резервные копии на случай шифровальщика?

Нет. Автоматических резервных копий машины и снимков состояния у нас нет — копии делаете и храните вы, обязательно за пределами машины. Иначе шифровальщик уничтожит и данные, и «копию» рядом с ними.

Кто ещё имеет доступ к моей машине?

Root-доступ ваш. Соблюдайте правила использования — что на машине запрещено, разобрано в статье Что можно и чего нельзя на машине.