Root lozinka: gde da je nađeš i kako da je čuvaš

Root lozinka daje punu kontrolu nad mašinom: sve što se može uraditi sa sistemom, može se uraditi i sa njom. Ponašaj se u skladu s tim.

Gde je naći

Lozinka se generiše pri izdavanju mašine i dostupna je na dva mesta u panelu /hosting/vds/m/<id>:

• kartica „Pregled” — ispod maske, pored adrese i SSH komande;
• kartica „Pristup” — na istom mestu kao SSH ključevi i reinstalacija.

U oba slučaja vrednost je sakrivena i prikazuje se klikom na dugme. Lozinka se čuva šifrovano.

Lozinka se ne šalje mejlom. Ako čekaš poruku sa podacima za prijavu, ne čekaj — otvori panel.

Kako se prijaviti s njom

ssh root@203.0.113.10

Znakovi se ne prikazuju dok kucaš — to je normalno, kucaj naslepo i pritisni Enter. Prva prijava je detaljno opisana u članku prva prijava na mašinu.

Gde je čuvati

• U menadžeru lozinki: Bitwarden, KeePass, 1Password — bilo kom, samo ne u fajlu notepad-a na radnoj površini.
• Kao zaseban unos sa adresom mašine i datumom izdavanja.

Gde je ne čuvati: u četovima, u zadacima, u repozitorijumu, na snimcima ekrana panela, u fajlu passwords.txt na samoj mašini.

Snimak ekrana kartice „Pregled” sa otkrivenom lozinkom, poslat u čet „na minut”, ostaje u tom četu zauvek. Ako se to desi, promeni lozinku odmah.

Zašto lozinka ne treba da bude tvoj jedini način pristupa

Mašina je na internetu na javnoj adresi, a SSH brute-force napadi počinju već u prvim satima. Lozinka može da se provali grubom silom; ključ ne može.

Zato je redosled sledeći:

1. Dodaj SSH ključ na kartici „Pristup”. Čuvanje ključeva restartuje mašinu koja radi — uradi to pre nego što primi bilo kakvo opterećenje.
2. Proveri prijavu ključem iz novog terminala.
3. Isključi prijavu lozinkom:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Nakon toga lozinka ostaje rezerva: i dalje radi u tekstualnoj konzoli i na ekranu mašine u panelu, ali ne može više da se provali preko SSH spolja.

Ako je lozinka zaboravljena ili izgubljena

Nema problema: nalazi se u panelu — kartica „Pristup”, sekcija „Lozinka”, dugme „Prikaži lozinku”.

Ako si promenio lozinku unutar sistema komandom passwd, panel i dalje prikazuje staru vrednost i ona više ne radi. Redosled je sledeći:

1. Dugme „Promeni lozinku” na istom mestu, na kartici „Pristup”. Panel generiše novu lozinku, prikazuje je i pamti. Mašina koja radi se pritom restartuje: lozinka se primenjuje pri početnom podešavanju pri podizanju sistema, pa bez restarta neće stupiti na snagu.
2. Ako ne možeš da restartuješ mašinu odmah, ali imaš pristup preko SSH ključa, prijavi se i postavi lozinku komandom passwd iznutra. Panel za to neće znati i nastaviće da prikazuje staru vrednost.
3. Ako ni jedno ni drugo ne uspe, koristi disk za oporavak.

Znaci da je lozinka kompromitovana

• Nepoznati procesi, veliko opterećenje procesora bez razloga.
• Nepoznati ključevi u /root/.ssh/authorized_keys.
• Uspešne prijave sa nepoznatih adresa:

last -n 20
grep 'Accepted' /var/log/auth.log | tail -n 20

Ako posumnjaš u bilo šta, promeni lozinku i proveri listu ključeva u panelu i authorized_keys unutar mašine.