Root heslo: kde ho získať a ako ho skladovať

Root heslo dáva plnú kontrolu nad strojom: dá sa s ním urobiť všetko, čo so systémom. Podľa toho sa k nemu správaj.

Kde ho nájdeš

Heslo sa vygeneruje pri vydaní stroja a je dostupné na dvoch miestach v ovládacom paneli /hosting/vds/m/<id>:

• karta „Prehľad“ — pod maskou, vedľa adresy a SSH príkazu;
• karta „Prístup“ — na tom istom mieste ako SSH kľúče a reinstalácia.

V oboch prípadoch je hodnota skrytá a zobrazí sa tlačidlom. Heslo je uložené zašifrované.

Heslo sa neposiela e-mailom. Ak čakáš na správu s prihlasovacími údajmi, nečakaj — otvor ovládací panel.

Ako sa s ním prihlásiť

ssh root@203.0.113.10

Znaky sa pri písaní nezobrazujú — to je normálne, píš naslepo a stlač Enter. Prvému prihláseniu sa podrobne venuje článok prvé prihlásenie na stroj.

Kde ho skladovať

• V správcovi hesiel: Bitwarden, KeePass, 1Password — v ktoromkoľvek, len nie v súbore v poznámkovom bloku na ploche.
• Ako samostatný záznam s adresou stroja a dátumom vydania.

Kde ho neskladovať: v chatoch, v úlohách, v repozitári, na snímkach obrazovky ovládacieho panela, v súbore passwords.txt na samotnom stroji.

Snímka obrazovky karty „Prehľad“ s odhaleným heslom poslaná do chatu „na minútku“ zostane v tom chate navždy. Ak sa to stane, hneď zmeň heslo.

Prečo by heslo nemalo byť tvojou jedinou cestou dnu

Stroj čelí internetu na verejnej adrese a pokusy o SSH brute-force začínajú v priebehu prvých hodín. Heslo sa dá uhádnuť hrubou silou; kľúč nie.

Preto je poradie takéto:

1. Pridaj SSH kľúč na karte „Prístup“. Uloženie kľúčov reštartuje bežiaci stroj — urob to skôr, než na seba vezme akúkoľvek záťaž.
2. Over prihlásenie kľúčom z nového okna terminálu.
3. Vypni prihlasovanie heslom:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Potom heslo zostáva ako záložná možnosť: stále funguje v textovej konzole a na obrazovke stroja v ovládacom paneli, ale už sa nedá uhádnuť hrubou silou cez SSH zvonku.

Ak je heslo zabudnuté alebo stratené

Žiadny problém: je v ovládacom paneli — karta „Prístup“, sekcia „Heslo“, tlačidlo „Zobraziť heslo“.

Ak si heslo zmenil v systéme príkazom passwd, ovládací panel stále zobrazuje starú hodnotu a tá už nefunguje. Postup je takýto:

1. Tlačidlo „Zmeniť heslo“ na tom istom mieste, na karte „Prístup“. Ovládací panel vygeneruje nové heslo, zobrazí ho a zapamätá si ho. Bežiaci stroj sa pritom reštartuje: heslo sa aplikuje pri úvodnom nastavení pri štarte, takže bez reštartu sa neprejaví.
2. Ak teraz nemôžeš stroj reštartovať, ale máš prístup cez SSH kľúč, prihlás sa a nastav heslo príkazom passwd zvnútra. Ovládací panel o tom nebude vedieť a bude ďalej zobrazovať starú hodnotu.
3. Ak nefunguje ani jedno, použi recovery disk.

Príznaky, že heslo bolo skompromitované

• Neznáme procesy, vysoká záťaž CPU bez dôvodu.
• Neznáme kľúče v /root/.ssh/authorized_keys.
• Úspešné prihlásenia z neznámych adries:

last -n 20
grep 'Accepted' /var/log/auth.log | tail -n 20

Ak máš podozrenie, zmeň heslo a skontroluj zoznam kľúčov v ovládacom paneli a authorized_keys vnútri stroja.