Mật khẩu root: lấy ở đâu và lưu thế nào

Mật khẩu root cho bạn toàn quyền kiểm soát máy: mọi thứ có thể làm với hệ thống đều có thể làm bằng nó. Hãy đối xử với nó cho đúng mức.

Tìm nó ở đâu

Mật khẩu được tạo khi máy được cấp phát và có sẵn ở hai nơi trong bảng điều khiển /hosting/vds/m/<id>:

• tab “Tổng quan” — dưới lớp che, cạnh địa chỉ và lệnh SSH;
• tab “Truy cập” — cùng chỗ với khóa SSH và cài đặt lại.

Ở cả hai nơi, giá trị đều bị ẩn và hiện ra bằng một nút bấm. Mật khẩu được lưu dưới dạng mã hóa.

Mật khẩu không được gửi qua email. Nếu bạn đang chờ một tin nhắn chứa thông tin đăng nhập, đừng chờ nữa — hãy mở bảng điều khiển.

Cách đăng nhập bằng nó

ssh root@203.0.113.10

Ký tự không hiển thị khi bạn gõ — đó là bình thường, cứ gõ mù và nhấn Enter. Lần đăng nhập đầu tiên được trình bày chi tiết trong bài viết đăng nhập lần đầu vào máy.

Nên lưu nó ở đâu

• Trong trình quản lý mật khẩu: Bitwarden, KeePass, 1Password — bất kỳ cái nào, miễn không phải file notepad trên màn hình của bạn.
• Thành một mục riêng kèm địa chỉ máy và ngày cấp phát.

Những nơi không nên lưu: trong chat, trong task, trong repository, trong ảnh chụp bảng điều khiển, trong file passwords.txt trên chính máy đó.

Một ảnh chụp tab “Tổng quan” với mật khẩu được hiện ra, gửi vào chat “một phút thôi”, sẽ ở lại trong chat đó mãi mãi. Nếu điều đó xảy ra, hãy đổi mật khẩu ngay.

Vì sao mật khẩu không nên là cách vào duy nhất của bạn

Máy đối diện với internet qua một địa chỉ công khai, và các nỗ lực brute-force SSH bắt đầu trong những giờ đầu tiên. Mật khẩu có thể bị brute-force; khóa thì không.

Vì vậy thứ tự là:

1. Thêm một khóa SSH trong tab “Truy cập”. Lưu khóa sẽ khởi động lại máy đang chạy — hãy làm việc này trước khi máy nhận bất kỳ tải nào.
2. Kiểm tra đăng nhập bằng khóa từ một cửa sổ terminal mới.
3. Tắt đăng nhập bằng mật khẩu:

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Sau đó mật khẩu vẫn là phương án dự phòng: nó vẫn hoạt động trong console văn bản và trên màn hình máy trong bảng điều khiển, nhưng không còn có thể bị brute-force qua SSH từ bên ngoài.

Nếu quên hoặc mất mật khẩu

Không vấn đề gì: nó nằm trong bảng điều khiển — tab “Truy cập”, mục “Mật khẩu”, nút “Hiện mật khẩu”.

Nếu bạn đã đổi mật khẩu bên trong hệ thống bằng lệnh passwd, bảng điều khiển vẫn hiển thị giá trị cũ, và nó không còn hoạt động nữa. Thứ tự là:

1. Nút “Đổi mật khẩu” ở cùng chỗ đó, trong tab “Truy cập”. Bảng điều khiển tạo một mật khẩu mới, hiển thị nó và ghi nhớ nó. Máy đang chạy sẽ khởi động lại trong quá trình này: mật khẩu được áp dụng bởi bước thiết lập ban đầu lúc khởi động, nên nó sẽ không có hiệu lực nếu không khởi động lại.
2. Nếu bạn không thể khởi động lại máy ngay bây giờ nhưng vẫn có quyền truy cập bằng khóa SSH, hãy đăng nhập và đặt mật khẩu bằng lệnh passwd từ bên trong. Bảng điều khiển sẽ không biết về việc đó và vẫn hiển thị giá trị cũ.
3. Nếu cả hai cách đều không được, hãy dùng đĩa khôi phục.

Dấu hiệu mật khẩu đã bị xâm phạm

• Các tiến trình lạ, tải CPU cao mà không rõ lý do.
• Những khóa không quen thuộc trong /root/.ssh/authorized_keys.
• Những lần đăng nhập thành công từ các địa chỉ không quen thuộc:

last -n 20
grep 'Accepted' /var/log/auth.log | tail -n 20

Nếu bạn nghi ngờ bất cứ điều gì, hãy đổi mật khẩu và kiểm tra danh sách khóa trong bảng điều khiển cùng authorized_keys bên trong máy.