Ein Ersatzschlüssel, damit Sie nicht aus Ihrer Maschine ausgesperrt werden (Rettungsbenutzer)

Überlegen Sie kurz, was passieren würde, wenn Sie morgen nicht mehr in eine Ihrer Maschinen hineinkämen. Der SSH-Schlüssel lag auf dem Laptop von jemandem, der nicht mehr da ist; das Administrator-Passwort hat ein Techniker geändert und niemand hat es notiert; eine Änderung an der SSH-Konfiguration ging schief, und die Tür fiel zu, mit Ihnen draußen. Die Maschine läuft weiter und die Website ist weiter erreichbar, aber Sie haben nichts mehr zu sagen, und in AWS öffnet Ihnen niemand: Es gibt kein „Passwort vergessen“ und keinen Support, der für Sie hineingeht. Lightsail hilft Ihnen unter Linux aus der Klemme (seine Web-Konsole meldet sich mit einem temporären Schlüssel an), unter Windows aber nur, wenn niemand je das Passwort angefasst hat, und in EC2 führt der offizielle Weg über das Stoppen der Maschine. Wenn das nicht hilft, bleiben Stunden mit Snapshots und neuen Maschinen, im ungünstigsten Moment. Diese Anleitung zeigt Ihnen, wie Sie eine Notfalltür vorbereiten, bevor Sie sie brauchen, so gebaut, dass nur Sie sie benutzen können.

Schritt für Schritt

1. Entscheiden Sie, wie die Notfalltür aussehen soll

   Ein schlecht gemachter Rettungsbenutzer ist schlimmer als keiner: Ein in einem geteilten Dokument notiertes Passwort ist die erste Tür, die ein Angreifer ausprobiert. Was wir wollen: dass er kein Passwort hat, dass er nur von Ihnen signierte Zertifikate mit kurzer Gültigkeit akzeptiert, und möglichst, dass er Verbindungen nur von einer festen IP von Ihnen annimmt. So hat jemand, selbst wenn er den Benutzernamen kennt, nichts, was er ausprobieren könnte.

2. Legen Sie eine Zertifizierungsstelle an (nur einmal)

   Auf Ihrem Rechner, nicht auf der Maschine:

   ssh-keygen -t ed25519 -f ca_rescate -C "CA de rescate"

   Bewahren Sie ca_rescate (den privaten) an einem sicheren Ort auf: in einem Passwort-Manager oder auf einer verschlüsselten Festplatte. Kopieren Sie ihn niemals auf die Maschinen. Die Datei ca_rescate.pub ist die, die auf jede Maschine kommt.

3. Bereiten Sie die Linux-Maschine vor

   Melden Sie sich wie immer per SSH an (noch können Sie) und, mit sudo:

   sudo useradd -m -s /bin/bash -c "Usuario de rescate" rescate
   sudo usermod -p "*" rescate          # sin contraseña valida, sin bloquear
   echo "rescate ALL=(ALL) NOPASSWD:ALL" | sudo tee /etc/sudoers.d/90-rescate
   sudo chmod 440 /etc/sudoers.d/90-rescate
   sudo cp ca_rescate.pub /etc/ssh/ca_rescate.pub
   echo 'from="TU.IP.FIJA" rescate' | sudo tee /etc/ssh/principales_rescate

   Und in /etc/ssh/sshd_config (oder einer Datei in /etc/ssh/sshd_config.d/), am Anfang:

   TrustedUserCAKeys /etc/ssh/ca_rescate.pub
   AuthorizedPrincipalsFile /etc/ssh/principales_rescate

   Prüfen und neu laden: sudo sshd -t && sudo systemctl reload ssh. Der Benutzer rescate hat kein Passwort und akzeptiert nur Zertifikate Ihrer CA, und nur von Ihrer IP, wenn Sie from= gesetzt haben.

4. Bereiten Sie die Windows-Maschine vor

   Windows Server 2019 und neuer bringen OpenSSH als optionales Feature mit. In PowerShell als Administrator: Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0, starten Sie den Dienst sshd und öffnen Sie Port 22 in der Windows-Firewall und in der von Lightsail oder EC2 (nur für Ihre IP). Legen Sie den Benutzer mit einem langen zufälligen Passwort an, das Sie nirgends notieren (legen Sie ihn nicht ohne Passwort an: Windows blockiert standardmäßig den Netzwerkzugriff von Konten mit leerem Passwort, und OpenSSH zählt als Netzwerkzugriff), nehmen Sie ihn in Administrators auf, kopieren Sie ca_rescate.pub und die Principals-Datei nach C:\ProgramData\ssh\ und setzen Sie in der sshd_config desselben Ordners dieselben zwei Zeilen wie unter Linux (die Pfade mit __PROGRAMDATA__/ssh/). Ein Detail, das Stunden kostet: OpenSSH unter Windows lehnt Authentifizierungsdateien ab, die andere Benutzer lesen können, also entfernen Sie die Vererbung der Berechtigungen und lassen Sie nur Administrators und SYSTEM: icacls FICHERO /inheritance:r /grant Administrators:F /grant SYSTEM:F. Starten Sie sshd neu. Wenn beim Anmelden PowerShell statt cmd erscheinen soll, setzen Sie den Registrierungsschlüssel HKLM:\SOFTWARE\OpenSSH\DefaultShell auf powershell.exe.

5. Testen Sie die Tür, bevor Sie sie brauchen

   Erzeugen Sie einen normalen Schlüssel und signieren Sie ihn mit der CA für fünf Minuten:

   ssh-keygen -t ed25519 -f temporal -N ""
   ssh-keygen -s ca_rescate -I "prueba" -n rescate -V +5m temporal.pub
   ssh -i temporal rescate@IP.DE.LA.MAQUINA sudo -n true && echo OK

   Wenn Sie OK sehen, funktioniert die Tür. Nach fünf Minuten verliert das Zertifikat von selbst seine Gültigkeit: Es gibt nichts zu widerrufen oder zu löschen.

6. Wenn Sie den Zugang schon verloren haben: was Sie mit der offenen Tür tun

   Melden Sie sich mit einem neuen Zertifikat an und reparieren Sie den Administrator: unter Linux sudo passwd ubuntu (oder der jeweilige Benutzer) oder fügen Sie Ihren neuen öffentlichen Schlüssel seiner ~/.ssh/authorized_keys hinzu; unter Windows net user Administrator NUEVA-CONTRASEÑA. Wenn das Konto gesperrt war, sudo passwd -u usuario oder net user usuario /active:yes.

7. Und wenn Sie keine Notfalltür hatten

   Linux in Lightsail: Die Web-Konsole von Lightsail meldet sich mit einem temporären Schlüssel an, also können Sie von dort aus das aus dem vorherigen Schritt tun. Windows in Lightsail: Die Konsole gibt Ihnen das Administrator-Passwort nur, wenn niemand es geändert hat; sonst müssen Sie einen Snapshot und eine neue Maschine anlegen. EC2: Das offizielle Verfahren AWSSupport-ResetAccess von Systems Manager setzt Passwort oder Schlüssel zurück, indem es die Maschine stoppt und startet.

8. Und wenn es auch keinen Snapshot gibt

   Das ist das Ende der Kette, und man sollte es nüchtern betrachten: Wenn man nicht hineinkommt und keine Kopie der Maschine existiert, geht alles verloren, was darin ist. Die Anwendung, die Datenbank, die Dateien, die Konfigurationen. AWS kann nicht für Sie hineingehen und nicht wiederherstellen, was nicht kopiert wurde, und es gibt keinen technischen Dienst, den man anrufen könnte. Deshalb sind die Notfalltür und die automatischen Snapshots keine zwei Optionen, zwischen denen man wählt: Es sind die beiden Dinge, die einen einstündigen Schreck vom Verlust des Geschäfts eines Kunden trennen.

Was schiefgehen kann