Tắt đăng nhập root bằng mật khẩu

Ai cũng biết cái tên root: nó tồn tại trên mọi máy và có toàn quyền. Kẻ brute-force chỉ còn đúng một thứ để đoán — mật khẩu. Tắt đăng nhập bằng mật khẩu cho root loại bỏ cả một nhóm tấn công chỉ với một tham số.

Chuẩn bị

Đầu tiên là đường lui, sau đó mới đến lệnh cấm. Thứ tự ngược lại với điều bạn muốn làm.

1. Tạo một người dùng có sudo — người dùng và sudo.
2. Thêm khóa SSH của bạn vào đó và kiểm tra đăng nhập trong một cửa sổ terminal riêng.
3. Đảm bảo sudo -i hoạt động.
4. Chỉ đến lúc này mới đổi thiết lập.

ssh artem@<address>
sudo whoami

Nếu lệnh thứ hai trả về root, bạn đã có đường lui.

Các tùy chọn cấu hình

Trong tệp /etc/ssh/sshd_config.d/99-hardening.conf:

Kết hợp được khuyến nghị:

PermitRootLogin prohibit-password
PasswordAuthentication no

Tham số thứ hai đóng đăng nhập bằng mật khẩu cho tất cả người dùng cùng lúc, không chỉ root. Để biết thêm chi tiết, xem Tăng cường bảo mật SSH.

Áp dụng và kiểm tra

sudo sshd -t
sudo systemctl restart ssh
sudo sshd -T | grep -i permitrootlogin

Từ một cửa sổ khác, kiểm tra rằng root không còn chấp nhận mật khẩu và người dùng của bạn đăng nhập bằng khóa:

ssh root@<address>
ssh artem@<address>

Khởi động lại sshd không ngắt phiên hiện tại — hãy giữ nó mở cho đến khi bạn kiểm tra xong.

Những gì vẫn còn khả dụng

Thay đổi chỉ ảnh hưởng đến SSH. Mật khẩu root vẫn cần thiết và vẫn hoạt động:

• trong console của máy, cả hai tab — tab văn bản và “Screen”;
• khi đăng nhập qua đĩa khôi phục;
• cho lệnh su - bên trong hệ thống.

Bản thân mật khẩu được lưu ở dạng mã hóa và được hiển thị bằng một nút trên tab “Access” của bảng điều khiển tại /hosting/vds/m/<id>. Đây là đường dự phòng của bạn, và bạn không nên đánh mất nó — xem sao lưu khóa và mật khẩu.

Những lỗi thường gặp

Đừng bao giờ tắt đăng nhập root mà không kiểm tra phương thức đăng nhập thay thế trong một cửa sổ bên cạnh. Việc kiểm tra mất mười giây; việc khôi phục qua console mất lâu hơn nhiều.