Una chiave di riserva per non restare chiuso fuori dalla tua macchina (utente di emergenza)

Pensa un momento a cosa succederebbe se domani non potessi entrare in una delle tue macchine. La chiave SSH stava nel portatile di qualcuno che non c'è più; la password di Administrator l'ha cambiata un tecnico e nessuno l'ha annotata; una modifica alla configurazione di SSH è andata male e la porta si è chiusa con te fuori. La macchina continua a funzionare e il sito resta aperto, ma tu non la comandi più, e in AWS nessuno te la apre: non c'è un "ho dimenticato la password" né un supporto che entri al posto tuo. Lightsail ti toglie dai guai su Linux (la sua console web entra con una chiave temporanea), ma su Windows solo se nessuno ha mai toccato la password, e su EC2 la via ufficiale passa per fermare la macchina. Quando questo non basta, restano ore di istantanee e macchine nuove, nel momento peggiore. Questa guida ti insegna a lasciare pronta una porta di emergenza prima di averne bisogno, fatta in modo che solo tu possa usarla.

Passo dopo passo

1. Decidi come vuoi che sia la porta di emergenza

   Un utente di emergenza fatto male è peggio che non averlo: una password annotata in un documento condiviso è la prima porta che prova un attaccante. Quello che cerchiamo: che non abbia password, che accetti solo certificati firmati da te e di breve durata, e possibilmente che accetti connessioni solo da un tuo IP fisso. Così, anche se qualcuno conosce il nome dell'utente, non ha niente da provare.

2. Crea un'autorità di certificazione (una sola volta)

   Sul tuo computer, non sulla macchina:

   ssh-keygen -t ed25519 -f ca_rescate -C "CA de rescate"

   Conserva ca_rescate (la privata) in un posto sicuro: un gestore di password o un disco cifrato. Non copiarla mai sulle macchine. Il file ca_rescate.pub è quello che andrà su ogni macchina.

3. Prepara la macchina Linux

   Entra via SSH come sempre (puoi ancora) e, con sudo:

   sudo useradd -m -s /bin/bash -c "Usuario de rescate" rescate
   sudo usermod -p "*" rescate          # sin contraseña valida, sin bloquear
   echo "rescate ALL=(ALL) NOPASSWD:ALL" | sudo tee /etc/sudoers.d/90-rescate
   sudo chmod 440 /etc/sudoers.d/90-rescate
   sudo cp ca_rescate.pub /etc/ssh/ca_rescate.pub
   echo 'from="TU.IP.FIJA" rescate' | sudo tee /etc/ssh/principales_rescate

   E in /etc/ssh/sshd_config (o in un file in /etc/ssh/sshd_config.d/), all'inizio:

   TrustedUserCAKeys /etc/ssh/ca_rescate.pub
   AuthorizedPrincipalsFile /etc/ssh/principales_rescate

   Verifica e ricarica: sudo sshd -t && sudo systemctl reload ssh. L'utente rescate non ha password e accetta solo certificati della tua CA, e solo dal tuo IP se hai messo from=.

4. Prepara la macchina Windows

   Windows Server 2019 e successivi includono OpenSSH come funzionalità opzionale. In PowerShell come amministratore: Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0, avvia il servizio sshd e apri la porta 22 nel firewall di Windows e in quello di Lightsail o EC2 (solo per il tuo IP). Crea l'utente con una password casuale lunga che non annoti da nessuna parte (non crearlo senza password: Windows blocca per impostazione predefinita l'accesso via rete degli account con password vuota, e OpenSSH conta come accesso via rete), mettilo in Administrators, copia ca_rescate.pub e il file dei principal in C:\ProgramData\ssh\ e, nello sshd_config di quella stessa cartella, metti le stesse due righe di Linux (i percorsi con __PROGRAMDATA__/ssh/). Un dettaglio che fa perdere ore: OpenSSH di Windows rifiuta i file di autenticazione leggibili da altri utenti, quindi togli loro l'ereditarietà dei permessi e lascia solo Administrators e SYSTEM: icacls FICHERO /inheritance:r /grant Administrators:F /grant SYSTEM:F. Riavvia sshd. Se vuoi che entrando compaia PowerShell invece di cmd, imposta la chiave di registro HKLM:\SOFTWARE\OpenSSH\DefaultShell su powershell.exe.

5. Prova la porta prima di averne bisogno

   Genera una chiave normale e firmala con la CA per cinque minuti:

   ssh-keygen -t ed25519 -f temporal -N ""
   ssh-keygen -s ca_rescate -I "prueba" -n rescate -V +5m temporal.pub
   ssh -i temporal rescate@IP.DE.LA.MAQUINA sudo -n true && echo OK

   Se vedi OK, la porta funziona. Passati cinque minuti il certificato smette di valere da solo: non c'è niente da revocare né da cancellare.

6. Se hai già perso l'accesso: cosa fare con la porta aperta

   Entra con un certificato nuovo e sistema l'amministratore: su Linux sudo passwd ubuntu (o l'utente che sia) oppure aggiungi la tua nuova chiave pubblica al suo ~/.ssh/authorized_keys; su Windows net user Administrator NUEVA-CONTRASEÑA. Se l'account era bloccato, sudo passwd -u usuario o net user usuario /active:yes.

7. E se non avevi una porta di emergenza

   Linux su Lightsail: la console web di Lightsail entra con una chiave temporanea, quindi da lì puoi fare quanto detto nel passo precedente. Windows su Lightsail: la console ti dà la password di Administrator solo se nessuno l'ha cambiata; altrimenti tocca creare un'istantanea e una macchina nuova. EC2: la procedura ufficiale AWSSupport-ResetAccess di Systems Manager reimposta la password o la chiave fermando e riavviando la macchina.

8. E se non c'è nemmeno un'istantanea

   È la fine della catena e conviene guardarla in faccia: se non si può entrare e non esiste nessuna copia della macchina, si perde tutto quello che c'è dentro. L'applicazione, il database, i file, le configurazioni. AWS non può entrare al posto tuo né recuperare quello che non è stato copiato, e non c'è un servizio tecnico da chiamare. Per questo la porta di emergenza e le istantanee automatiche non sono due opzioni tra cui scegliere: sono le due cose che separano uno spavento di un'ora dal perdere l'attività di un cliente.

Cosa può andare storto