Authorized_keys et accés des admins sur les serveurs dediés



  • Bonjour,

    Je viens de recevoir mon premier serveur dédié :).

    Et mon cœur s'est arrêté de battre (je suis un peu marseillais) quand j'ai vu le cheval de troie (je vous ai dis que j’étais un peu marseillais) installé par vos équipes.

    Et voici l'objet de mon courroux :

    root@srv306:~/.ssh# cat authorized_keys

    Equipe FirstHeberg

    ssh-rsa AAAAB3NzaC1yc2EAAAABJQAAAQBK4o5/vHmH9jfe+9b60CLt3tXiYMiUHxHw4UrQJbJkeRwo S/e4VIYNmmlCVzdDyE1jrl5oEPVYQNt7IIyDy9Tl/oLdNjx5AsIfbhh+fnMeq+L17j6ELvFIFzOoxBhE QUel+0re1uQminEFwmVxTVuE9+UUSzaEY6iCZzmEuE7XVxNcBfYGYD/OqzjjLP2Hu5u9r+DbFmXgVsuU Ks4tsSPF/LVql10nUg2V83bTgXkapwEy4JU8/DIzfHw0MMQgV2QUVM/ljwnwdYklnOmJOohYwfX6u77F ZMIjdtSdxVYdzgdXmmlAtVuJhOpF9QzS5/l3dj2BJW7Xv82JFGjCfjuN j.martin@freeheberg.com

    ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDbWWHhTTBcz8c+8x+v811xlgrl7UAhYLcvdrND3hy+ +AgJaqpn73T0IPqyokYyDMjKhsijHVHacs+CbLfR/IVYacmjoBGRmRxzDBLY4kxYgTvMWBAw3M0fGwS3 RYfstv60672T3O16vx2aPRdsg7vFwxKRP02RfBLWPJ5DlkF9JFWaihMkYVP8GMXKZiWmBlIlgI+ruiAX ScvmjmaCtvaFyG/w1XtC2x0BRxodUG5K6YYIjC//UR8Nys0yqsviTxXEnFTLQ+teqK5EbhwnXh1nxR0l ugaCXEQP+oRDI1L0b6JRsxos/OWHqMP/uUVu7MjqCm+Dpb92I5qDdgUBGg0P root@monitoring

    Même pas un message d’avertissement indiquant que vous pouvez vous connecter n'importe quand sur nos serveurs. Et que ce passera t il si un admin peu delicat par avec la clef, ou vous vous la faite dérobée …

    Je ne vous cache pas que cela me choque vraiment. Même si je comprend la finalité, je ne trouve pas tres fairplay de votre part de le faire. Si vraiment vous avez besoin d'un accès sur la machine, vous avez un accès physique et cela vous prends 30 s pour devenir root (mais ca laisse une trace car il faut faire un reboot).

    Dans notre cas, les 4/5 des utilisateurs ne seront pas que vous pouvez vous connecter librement sur un serveur dédié (pas mutualisé hein) et accéder à tous les données ( en effaçant les traces ensuite)

    Dedibox a tenté de faire ca au debut et c'est rendu compte de son erreur. Maintenant il demande lors de la commande si l'utilisateur est d'accord pour laisser un accès à la machine.

    Voila mon coup de gueule est passé et le fichier authorized_keys supprimé.

    Pierre


  • Administrateur

    Bonjour,

    On le fait systématiquement, comme l'ensemble de nos concurrents. Cette clé n'a pour but que de permettre à un technicien de se connecter avec votre autorisation sur la machine, pour vous aider.
    Votre réflexe a été le bon : supprimer la clé car vous la considérez comme non utile.

    Dans 99 % des cas, nos clients trouvent cette mise en place pratique, et c'est pourquoi nous laissons les template d'installation tel quel. On pourra éventuellement rajouter une option plus tard sur la réinstallation pour vous permettre d'indiquer au robot de ne pas ajouter la clé en post-install.


Log in to reply