Uma chave suplente para não ficar fora da sua máquina (utilizador de emergência)

Pense um momento no que aconteceria se amanhã não pudesse entrar numa das suas máquinas. A chave SSH estava no portátil de alguém que já cá não está; a palavra-passe de Administrator foi mudada por um técnico e ninguém a anotou; uma alteração na configuração do SSH correu mal e a porta fechou-se consigo do lado de fora. A máquina continua a funcionar e o site continua aberto, mas já não manda nela, e na AWS ninguém lha abre: não há um "esqueci-me da palavra-passe" nem um suporte que entre por si. O Lightsail tira-o do aperto em Linux (a sua consola web entra com uma chave temporária), mas em Windows só se ninguém tiver alguma vez tocado na palavra-passe, e no EC2 o caminho oficial passa por parar a máquina. Quando isso não serve, restam horas de instantâneos e máquinas novas, no pior momento. Este guia ensina-o a deixar preparada uma porta de emergência antes de precisar dela, feita para que só você a possa usar.

Passo a passo

1. Decida como quer que seja a porta de emergência

   Um utilizador de emergência mal feito é pior do que não o ter: uma palavra-passe anotada num documento partilhado é a primeira porta que um atacante experimenta. O que procuramos: que não tenha palavra-passe, que só admita certificados assinados por si e de curta duração, e se possível que só aceite ligações a partir de um IP fixo seu. Assim, mesmo que alguém conheça o nome do utilizador, não tem nada para experimentar.

2. Crie uma autoridade de certificação (uma só vez)

   No seu computador, não na máquina:

   ssh-keygen -t ed25519 -f ca_rescate -C "CA de rescate"

   Guarde ca_rescate (a privada) num sítio seguro: um gestor de palavras-passe ou um disco cifrado. Nunca a copie para as máquinas. O ficheiro ca_rescate.pub é o que irá para cada máquina.

3. Prepare a máquina Linux

   Entre por SSH como sempre (ainda pode) e, com sudo:

   sudo useradd -m -s /bin/bash -c "Usuario de rescate" rescate
   sudo usermod -p "*" rescate          # sin contraseña valida, sin bloquear
   echo "rescate ALL=(ALL) NOPASSWD:ALL" | sudo tee /etc/sudoers.d/90-rescate
   sudo chmod 440 /etc/sudoers.d/90-rescate
   sudo cp ca_rescate.pub /etc/ssh/ca_rescate.pub
   echo 'from="TU.IP.FIJA" rescate' | sudo tee /etc/ssh/principales_rescate

   E em /etc/ssh/sshd_config (ou num ficheiro em /etc/ssh/sshd_config.d/), no início:

   TrustedUserCAKeys /etc/ssh/ca_rescate.pub
   AuthorizedPrincipalsFile /etc/ssh/principales_rescate

   Verifique e recarregue: sudo sshd -t && sudo systemctl reload ssh. O utilizador rescate não tem palavra-passe e só aceita certificados da sua CA, e só a partir do seu IP se pôs from=.

4. Prepare a máquina Windows

   O Windows Server 2019 e posteriores trazem o OpenSSH como funcionalidade opcional. No PowerShell como administrador: Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0, arranque o serviço sshd e abra a porta 22 na firewall do Windows e na do Lightsail ou EC2 (só para o seu IP). Crie o utilizador com uma palavra-passe aleatória longa que não anote em lado nenhum (não o crie sem palavra-passe: o Windows bloqueia por defeito o acesso por rede das contas com palavra-passe em branco, e o OpenSSH conta como acesso por rede), meta-o em Administrators, copie ca_rescate.pub e o ficheiro de principais para C:\ProgramData\ssh\ e, no sshd_config dessa mesma pasta, ponha as mesmas duas linhas que em Linux (os caminhos com __PROGRAMDATA__/ssh/). Um detalhe que faz perder horas: o OpenSSH do Windows rejeita os ficheiros de autenticação que outros utilizadores possam ler, por isso retire-lhes a herança de permissões e deixe só Administrators e SYSTEM: icacls FICHERO /inheritance:r /grant Administrators:F /grant SYSTEM:F. Reinicie o sshd. Se quiser que ao entrar apareça o PowerShell em vez do cmd, defina a chave de registo HKLM:\SOFTWARE\OpenSSH\DefaultShell para powershell.exe.

5. Teste a porta antes de precisar dela

   Gere uma chave normal e assine-a com a CA por cinco minutos:

   ssh-keygen -t ed25519 -f temporal -N ""
   ssh-keygen -s ca_rescate -I "prueba" -n rescate -V +5m temporal.pub
   ssh -i temporal rescate@IP.DE.LA.MAQUINA sudo -n true && echo OK

   Se vir OK, a porta funciona. Passados cinco minutos o certificado deixa de valer sozinho: não há nada para revogar nem apagar.

6. Se já perdeu o acesso: o que fazer com a porta aberta

   Entre com um certificado novo e arranje o administrador: em Linux sudo passwd ubuntu (ou o utilizador que for) ou acrescente a sua chave pública nova ao seu ~/.ssh/authorized_keys; em Windows net user Administrator NUEVA-CONTRASEÑA. Se a conta estava bloqueada, sudo passwd -u usuario ou net user usuario /active:yes.

7. E se não tinha porta de emergência

   Linux no Lightsail: a consola web do Lightsail entra com uma chave temporária, por isso a partir daí pode fazer o do passo anterior. Windows no Lightsail: a consola dá-lhe a palavra-passe de Administrator só se ninguém a mudou; senão, há que criar um instantâneo e uma máquina nova. EC2: o procedimento oficial AWSSupport-ResetAccess do Systems Manager repõe a palavra-passe ou a chave parando e arrancando a máquina.

8. E se também não há instantâneo

   É o fim da cadeia e convém olhá-lo de frente: se não se pode entrar e não existe nenhuma cópia da máquina, perde-se tudo o que há lá dentro. A aplicação, a base de dados, os ficheiros, as configurações. A AWS não pode entrar por si nem recuperar o que não foi copiado, e não há um serviço técnico a quem ligar. Por isso a porta de emergência e os instantâneos automáticos não são duas opções entre as quais escolher: são as duas coisas que separam um susto de uma hora de perder o negócio de um cliente.

O que pode correr mal