Пароль root: де його взяти і як зберігати

Кореневий пароль дає повний контроль над машиною: з ним можна зробити з системою будь-що. Ставтеся до нього відповідно.

Де його знайти

Пароль генерується під час видачі машини й доступний у двох місцях панелі /hosting/vds/m/<id>:

• вкладка «Огляд» — під маскою, поруч з адресою та командою SSH;
• вкладка «Доступ» — там само, де SSH-ключі та перевстановлення.

В обох випадках значення приховане й показується кнопкою. Пароль зберігається зашифрованим.

Пароль не надсилається електронною поштою. Якщо ви чекаєте на лист з обліковими даними, не чекайте — відкрийте панель.

Як увійти з ним

ssh root@203.0.113.10

Символи не відображаються під час введення — це нормально, вводьте наосліп і натискайте Enter. Перший вхід докладно описано в статті перший вхід до машини.

Де його зберігати

• У менеджері паролів: Bitwarden, KeePass, 1Password — будь-якому, аби не у файлі-нотатнику на робочому столі.
• Окремим записом з адресою машини та датою видачі.

Де не зберігати: у чатах, у задачах, у репозиторії, на скриншотах панелі, у файлі passwords.txt на самій машині.

Скриншот вкладки «Огляд» із розкритим паролем, надісланий у чат «на хвилинку», залишається в тому чаті назавжди. Якщо так сталося, змініть пароль негайно.

Чому пароль не має бути вашим єдиним способом входу

Машина дивиться в інтернет за публічною адресою, і спроби брутфорсу SSH починаються вже за перші години. Пароль можна підібрати; ключ — ні.

Тож порядок такий:

1. Додайте SSH-ключ на вкладці «Доступ». Збереження ключів перезавантажує запущену машину — зробіть це до того, як вона візьме на себе будь-яке навантаження.
2. Перевірте вхід за ключем з нового вікна термінала.
3. Вимкніть вхід за паролем:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Після цього пароль залишається запасним варіантом: він усе ще працює в текстовій консолі та на екрані машини у панелі, але його більше не можна підібрати через SSH ззовні.

Якщо пароль забуто або втрачено

Не проблема: він у панелі — вкладка «Доступ», розділ «Пароль», кнопка «Показати пароль».

Якщо ви змінили пароль усередині системи командою passwd, панель усе одно показує старе значення, і воно більше не працює. Порядок такий:

1. Кнопка «Змінити пароль» там само, на вкладці «Доступ». Панель генерує новий пароль, показує його й запам'ятовує. Запущена машина при цьому перезавантажується: пароль застосовується початковим налаштуванням під час завантаження, тож без перезапуску він не набуде чинності.
2. Якщо ви не можете перезавантажити машину зараз, але маєте доступ за SSH-ключем, увійдіть і встановіть пароль командою passwd зсередини. Панель про це не знатиме й показуватиме старе значення.
3. Якщо не працює ні те, ні інше, скористайтеся диском відновлення.

Ознаки того, що пароль скомпрометовано

• Незнайомі процеси, високе навантаження CPU без причини.
• Невідомі ключі в /root/.ssh/authorized_keys.
• Успішні входи з незнайомих адрес:

last -n 20
grep 'Accepted' /var/log/auth.log | tail -n 20

Якщо щось викликає підозру, змініть пароль і перевірте список ключів у панелі та authorized_keys усередині машини.