Vypnutie prihlásenia root heslom
Prečo je prihlásenie root heslom nebezpečné, čím sa líšia možnosti PermitRootLogin a ako ho vypnúť bez straty prístupu k stroju.
Aktualizované 23. augusta 2026
Každý pozná meno root: existuje na každom stroji a má všetky oprávnenia. Útočníkovi so skúšaním hesiel tak zostáva hádať už len jedno — heslo. Vypnutie prihlasovania heslom pre root odstráni celú triedu útokov jediným parametrom.
Príprava
Najprv záložná cesta, potom zákaz. Poradie je opačné, než aké by si mal chuť urobiť.
- Vytvor používateľa so sudo — používatelia a sudo.
- Pridaj mu svoj SSH kľúč a over prihlásenie v samostatnom okne terminálu.
- Uisti sa, že funguje
sudo -i. - Až teraz zmeň nastavenie.
ssh artem@<address>
sudo whoami
Ak druhý príkaz vrátil root, máš záložnú cestu.
Možnosti konfigurácie
V súbore /etc/ssh/sshd_config.d/99-hardening.conf:
| Hodnota | Čo znamená |
|---|---|
PermitRootLogin yes | Je dovolené všetko, vrátane hesla. Nikto to takto nenecháva |
PermitRootLogin prohibit-password | Kľúč funguje, heslo sa odmietne. Rozumné minimum |
PermitRootLogin forced-commands-only | Iba vopred definované príkazy, pre automatizáciu |
PermitRootLogin no | Root sa cez SSH neprihlási vôbec. Najprísnejšia možnosť |
Odporúčaná kombinácia:
PermitRootLogin prohibit-password
PasswordAuthentication no
Druhý parameter zatvára prihlasovanie heslom pre všetkých používateľov naraz, nielen pre root. Viac podrobností nájdeš v Zabezpečenie SSH.
Použitie a overenie
sudo sshd -t
sudo systemctl restart ssh
sudo sshd -T | grep -i permitrootlogin
Z iného okna over, že root už neprijíma heslo a že sa tvoj používateľ prihlási kľúčom:
ssh root@<address>
ssh artem@<address>
Reštart sshd nezruší aktuálnu reláciu — nechaj ju otvorenú, kým neskončíš s overovaním.
Čo zostáva dostupné
Zmena sa týka iba SSH. Heslo roota je stále potrebné a stále funguje:
- v konzole stroja, v oboch kartách — textovej aj „Screen“;
- pri prihlásení cez záchranný disk;
- pre príkaz
su -vnútri systému.
Samotné heslo je uložené zašifrované a odhalí ho tlačidlo na karte „Access“ v paneli na /hosting/vds/m/<id>. Toto je tvoja núdzová cesta a nemal by si ju stratiť — pozri záložné kľúče a heslá.
Časté chyby
| Chyba | Následok | Riešenie |
|---|---|---|
| Vypol si root, ale nikdy si nevytvoril používateľa so sudo | Stroj nemá kto spravovať | Použi konzolu v paneli a vytvor používateľa |
| Kľúč existuje iba pre root | Nový používateľ sa neprihlási | Skopíruj authorized_keys a oprav oprávnenia |
| Nastavenie prepisuje iný súbor | Pravidlo nemá žiadny účinok | Skontroluj sshd -T, nie súbor |
| Očakávanie, že zákaz platí aj pre konzolu | Falošný pocit úplného uzamknutia | Konzola funguje vždy, a to zámerne |
Nikdy nevypínaj prihlasovanie roota bez overenia alternatívneho prihlásenia v susednom okne. Kontrola trvá desať sekúnd; obnova cez konzolu trvá oveľa dlhšie.