Как можно проверить есть ли у кого-то ключи для доступа к серверу?

Question

[69from]

Дабы обезопасить свой сервер от вторжения разработчиков и прочих лиц после приемки сайта, встал вопрос. Как отключить все возможные доступы? FTP аккаунты удалены, доступы в админку деактивированы. Остаются следующие дыры:
1. Ключи для авторизации по ssh. Есть стандартное месторасположение, и если там ничего опасного нет, то где может лежать еще ключик?
2. php-файлы, с помощью которых можно авторизоваться в админке под админом и получить доступ ко всем файлам?

Answer 1

[D']

Если я захочу, я оставлю себе вход на сервер, и найти его будет ой как сложно.
Нужно не доводить до таких ситуаций, так как без опыта обнаружить все лазейки нереально.

Comments

[69from]

вот и хотелось бы обзавестись опытом

[D']

69from: способов слишком много. Только специалист по ИБ сможет грамотно все вычистить.

Answer 2

[Lindon_cano]

> 1. Ключи для авторизации по ssh. Есть стандартное месторасположение, и если там ничего опасного нет, то где может лежать еще ключик?

А вдруг в коде есть кусок скачивающий ключ? При чем только в полнолуние 8 сентября и если погода над Мадагаскаром летная.
Заповедь номер один: «доверяйте исполнителю».
Если вы не доверяете исполнителю, то не работайте с ним.

Answer 3

[Александр Минеев]

Я не разработчик, поэтому порекомендовал бы более простой способ).
Ну если бы передо мной стояла такая задача, то я решил бы её так).

Если вы знаете контакты всех разработчиков у кого был доступ, можете направить им сообщение примерно следующего формата:
- Ребят спасайте, я в отпуске, связь на вытянутой руке с телефона, зайти на сервер не могу, пароли на флешке дома, ваши доступы потер. А там все пропало, в долгу не останусь. Есть идеи?
Можете даже что-нить остановить не критичное на время.

Если у кого-то будет скрытый доступ, он поможет за обещанное вознаграждение. А далее вам решать что с этим делать и как поступать.

Но лучше доверять разработчикам и не кидать их на деньги, если работы и договоренности были выполнены.
Примерно такое сообщение, как описал выше, получил мой знакомый, но ему никто доступы не закрывал, как оказалось в течении двух лет после выполнения работ, он помог и получил потом бутылку хорошего коньяка.

Comments

[69from]

Классный подход!

[Lindon_cano]

Подход идиотский, если человек оставил себе зачем-то скрытый вход, то он его не сдаст.

[Александр Минеев]

Lindon_cano: За оценку подхода, спасибо!)
В своем ответе выше, вы более чем емко все рассказали:
"Заповедь номер один:...."
Заповедь, сколько смысла в этом слове). Думаю, перед предоставлением доступа, еще освятить место надо и кошку пустить в серверную)

[Lindon_cano]

Александр Минеев: да можно и освятить кошку в серверной, кто же вам мешает.
Поймите, что тут все просто: если вы не доверяете исполнителю, то нельзя с ним работать. Вы же не можете знать, вдруг он в коде оставил кусок, который каждое полнолуние в месяц нисан(נִיסָן‎‏‎‎) сливает вашу БД в Моссад. Вы не можете провести аудит кода, ведь так?
Я на вольных хлебах работаю 7 лет, за эти годы у меня накопилось черти сколько доступов, которые никто не удалял, хотя я выходя после работ с серверов всегда напоминаю «Удалите мой ключ, он такой-то», если использовался ключ или «Поменяйте пароль», если заказчик использует пароли. При этом буквально на днях ко мне постучал заказчик с которым мы не работаем уже 5 лет со словами «Слушай, у тебя там ssh на сервер есть, тебе не сложно будет зайти и проверить, что там все нормально? А то я достучаться не могу, но у меня тут с инетом дупа», я зашел(благо старый ключ у меня в загашниках хранится), проверил и ответил «Все хорошо, только тебе бы там систему обновить».
И на мои сервера есть доступы у коллег с которыми я сотрудничал много лет назад, я сознательно доступы двух коллег не удаляю, я знаю что вредить они не станут, а вот в случае проблем могут помочь, если я сам буду занят.
Любое сотрудничество строится на доверии, без доверия не может быть работы.

[Александр Минеев]

Lindon_cano: дочитайте тогда мой ответ и совет до конца)!