# Sib u neħħi ċwievet SSH mhux magħrufa

> Iċċekkja authorized_keys: fejn jinsabu ċ-ċwievet SSH fuq is-server, kif tagħraf daħliet barranin, tneħħihom b'mod sigur u wara issaħħaħ l-aċċess SSH.

Sors: https://phpsos.de/mt/blog/ssh-schluessel-pruefen/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Biex issib ċwievet SSH mhux magħrufa, trid tiċċekkja l-fajls authorized_keys kollha fuq is-server, mhux biss dak ta' root. Iddetermina b'`sshd -T` liema fajls jaqra s-servizz SSH tiegħek, elenka l-marki tas-subgħajn ta' kull ċavetta u qabbilhom maċ-ċwievet magħrufa. Daħliet barranin l-ewwel salvahom, imbagħad neħħihom u wara saħħaħ l-aċċess.

## Iċ-ċavetta li tgħaddi minn kull bidla ta' password

Wara inċident ħafna operaturi l-ewwel jibdlu l-passwords kollha. Kontra waħda mill-backdoors l-inqas viżibbli dan ma jgħinx: ċavetta pubblika addizzjonali f'fajl `authorized_keys`. Min għandu ċ-ċavetta privata li taqbel jidħol mingħajr password, sakemm xi ħadd isib il-linja.

Ċwievet SSH mhux magħrufa għalhekk jappartjenu fost is-sinjali li wara eżekuzzjoni ta' kodiċi għandhom dejjem jiġu vverifikati. Għal PHP2Shell m'hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati; it-tagħrif jistrieħ fuq l-analiżi tal-imġiba. Ċavetta barranija mhijiex prova speċifika ta' PHP2Shell, imma sinjal ċar li xi ħadd ried aċċess permanenti. Sinjali oħra jiddeskrivihom [Diġà kompromess?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/).

## Fejn jinsabu ċ-ċwievet SSH fuq is-server

OpenSSH, skont id-dokumentazzjoni, bħala standard jaqra żewġ fajls fid-direttorju home ta' kull utent: `.ssh/authorized_keys` u `.ssh/authorized_keys2`. It-tieni spiss jintesa. L-issettjar jista' jinbidel, u b'`AuthorizedKeysCommand` is-server jista' anke jieħu ċwievet minn programm estern. Iċċekkja għalhekk l-ewwel x'japplika tassew fuq is-server tiegħek:

```bash
# Uri l-konfigurazzjoni SSH effettiva (jaqra biss)
sudo sshd -T | grep -iE '^(authorizedkeysfile|authorizedkeyscommand|permitrootlogin|passwordauthentication|pubkeyauthentication)'

# Fajls addizzjonali tal-konfigurazzjoni u blokki Match
ls -la /etc/ssh/sshd_config.d/ 2>/dev/null
sudo grep -rn -iE '^\s*(Match|AuthorizedKeys)' /etc/ssh/
```

Post speċjali huwa d-direttorju home tal-utent tas-server tal-web. Taħt Debian u Ubuntu għal `www-data` spiss huwa `/var/www`. Jekk dan id-direttorju jista' jinkiteb minn PHP, kodiċi introdott jista' joħloq hemmhekk `.ssh/authorized_keys`. Jekk il-login imbagħad jirnexxix jiddependi mil-login shell u mill-issettjar SSH, imma l-fajl innifsu diġà huwa sinjal ta' allarm.

Mhux kull daħla mhux magħrufa hija malizzjuża. Għodod tad-deployment, servizzi tal-backup jew fornituri preċedenti jħallu ċwievet proprji. Daħliet bħal dawn, madankollu, għandu jkollhom sid u skop magħrufin.

## Iċċekkja authorized_keys: pass pass

Il-kmandi li ġejjin ma jbiddlu xejn. Jelenkaw il-fajls taċ-ċwievet tal-utenti kollha u juru l-marka tas-subgħajn ta' kull ċavetta:

```bash
# Il-fajls authorized_keys kollha fid-direttorji home tal-utenti kollha
getent passwd | cut -d: -f1,6 | while IFS=: read -r user home; do
  for f in "$home/.ssh/authorized_keys" "$home/.ssh/authorized_keys2"; do
    [ -f "$f" ] && echo "== $user: $f" && sudo ls -la --time-style=full-iso "$f"
  done
done

# Uri l-marki tas-subgħajn u l-kummenti ta' fajl
sudo ssh-keygen -lf /root/.ssh/authorized_keys

# Fajls oħra taċ-ċwievet barra l-postijiet tas-soltu
sudo find / -xdev -name 'authorized_keys*' 2>/dev/null
```

Għaddi mir-riżultat b'din il-lista ta' kontroll:

1. **Kull ċavetta tappartjeni lil persuna jew servizz magħruf?** Qabbel il-marki tas-subgħajn, mhux biss il-kumment.
2. **Utent għandu ċwievet li ma kellu jkollu ebda?** Pereżempju l-utent tas-server tal-web, kontijiet tad-database jew tas-servizzi.
3. **Hemm għażliet qabel iċ-ċavetta?** Daħliet b'`command=` jesegwixxu kmand fiss f'kull login. Dan huwa leġittimu għall-backups, imma wkoll moħbi.
4. **Meta ġie mibdul l-aħħar il-fajl?** Data tal-bidla wara s-17.10.2026, l-ewwel tentattiv osservat ta' attakk ta' PHP2Shell skont rapporti tal-midja, jixraqlu attenzjoni partikolari. It-timestamps jistgħu jiġu falsifikati, madankollu.
5. **Is-sid u d-drittijiet jaqblu?** Fajl li jappartjeni lil utent differenti mid-direttorju home jaqbad l-għajn.

## Neħħi ċwievet barranin b'mod sigur

Qabel ma tħassar linja, salva l-fajl bit-timestamp u l-checksum barra mis-server. Innota l-marka tas-subgħajn taċ-ċavetta barranija. Aktar tard tgħin fil-mistoqsija jekk l-istess ċavetta tidhirx ukoll fuq servers oħra, pereżempju għand aġenzija b'ħafna sistemi tal-klijenti.

Iċċekkja wkoll il-protokolli tal-login. Fi `/var/log/auth.log` (Debian, Ubuntu) jew `/var/log/secure` (familja RHEL) is-servizz SSH jirreġistra logins b'suċċess bil-marka tas-subgħajn taċ-ċavetta użata. Hekk tara jekk iċ-ċavetta barranija diġà ntużatx u minn liema indirizz.

Aħseb ukoll fid-direzzjoni opposta. Jekk fuq is-server hemm ċwievet privati, pereżempju taħt `~/.ssh/id_*` għal deployments jew backups, attakkant seta' jikkopjahom. Bihom jista' jilħaq servers oħra, repositories Git jew destinazzjonijiet tal-backup. Ċwievet bħal dawn wara dħul jitqiesu użati: oħloq ċwievet ġodda u neħħi l-qodma fuq is-sistemi kollha tad-destinazzjoni.

Ċavetta barranija rari tkun l-uniku traċċa. Min poġġieha kellu drittijiet tal-kitba u forsi waqqaf modi oħra, pereżempju cronjobs jew kontijiet addizzjonali. Iċċekkja għalhekk ukoll [cronjobs moħbija](https://phpsos.de/mt/blog/cronjobs-als-hintertuer/) u [kontijiet tal-amministratur barranin](https://phpsos.de/mt/blog/fremde-admin-konten-finden/). Jekk l-attakkant kellu drittijiet ta' root, bini mill-ġdid tas-server spiss huwa iktar affidabbli minn tindif.

> **Importanti:**
> Neħħi ċwievet barranin biss meta PHP jkun fi stat rranġat (8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat) u l-workers kollha jkunu reġgħu nbdew. Inkella l-attakkant jista' jerġa' jirreġistra ċ-ċavetta minnufih permezz tal-istess vulnerabbiltà.

## Issaħħaħ l-aċċess SSH wara

Wara t-tindif jixraq tisħiħ qasir. Il-biċċa l-kbira tal-punti jitwettqu malajr, imma dejjem għandhom jiġu ttestjati b'sessjoni oħra miftuħa, biex ma tagħlaqx ruħek barra.

| Miżura | Issettjar jew proċedura |
|---|---|
| Login biss permezz taċ-ċavetta | `PasswordAuthentication no` |
| Tħallix root jidħol direttament | `PermitRootLogin no`, xogħol permezz ta' kontijiet personali b'sudo |
| Itfi t-tieni fajl taċ-ċwievet | `AuthorizedKeysFile .ssh/authorized_keys` |
| Illimita ċ-ċwievet skont l-oriġini | Għażla `from=` qabel iċ-ċavetta, pereżempju għal servers tal-backup |
| Illimita ċwievet tas-servizzi | Għażla `restrict` u `command=` fiss għall-awtomazzjoni |
| Utent tas-server tal-web mingħajr login | Login shell `nologin`, l-ebda `.ssh` fid-direttorju home |

Żomm ukoll lista taċ-ċwievet awtorizzati kollha b'sid u skop. Meta impjegat jew fornitur tas-servizzi jitlaq, iċ-ċavetta tiegħu titneħħa mis-servers kollha. Mingħajr din il-lista l-verifika li jmiss terġa' tkun xogħol ta' detective. Rekwiżiti rikonoxxuti ta' tisħiħ għal SSH fihom ukoll is-CIS Benchmarks.

## Kif tgħin PHP SOS b'mod konkret?

- Niddeterminaw liema fajls taċ-ċwievet jaqra tassew is-servizz SSH tagħkom, u niċċekkjaw kull daħla kontra s-sidien magħrufa.
- Insalvaw is-sejbiet u nevalwaw il-protokolli tal-login biex niċċaraw jekk ċavetta barranija ntużatx.
- Intnaddfu ċwievet, kontijiet u cronjobs fis-sekwenza t-tajba u l-ewwel nagħlqu l-vulnerabbiltà.
- Fil-qafas tat-[Tisħiħ tas-server](https://phpsos.de/mt/leistungen/server-haertung/) nimplimentaw l-issettjar SSH u nistabbilixxu ġestjoni taċ-ċwievet b'lista tas-sidien.


## Mistoqsijiet frekwenti

**Kif nagħraf jekk ċavetta SSH hijiex barranija?**  
Kull ċavetta għandha marka ta' subgħajh u ġeneralment kumment fit-tmiem tal-linja. Qabbel il-marki tas-subgħajn maċ-ċwievet tal-impjegati u tal-fornituri tas-servizzi tiegħek. Il-kumment waħdu ma jippruvax xejn, għax jista' jintgħażel liberament u jiġi falsifikat.

**Jgħin li nbiddel il-password ta' root?**  
Kontra ċavetta introdotta le. Il-login permezz taċ-ċavetta ma jeħtieġx password. Għalhekk il-fajls authorized_keys infushom iridu jiġu vverifikati u mnaddfa.

**Għaliex l-utent tas-server tal-web jista' jkollu ċavetta SSH?**  
L-utent tas-server tal-web għandu direttorju home proprju, taħt Debian u Ubuntu spiss /var/www. Jekk hemm .ssh/authorized_keys u l-kont għandu login shell, login bħala dan l-utent huwa possibbli. Jekk id-direttorju tal-web jista' jinkiteb, kodiċi PHP introdott jista' joħloq fajl bħal dan.

**X'inhu authorized_keys2?**  
It-tieni fajl eqdem li OpenSSH, skont l-issettjar standard, jaqra wkoll. Ħafna gwidi ta' verifika jinsewh. Iċċekkja b'sshd -T liema fajls is-server tiegħek verament jevalwa.

## Sorsi

- [BSI (Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni): Indikazzjonijiet dwar inċidenti tas-sigurtà tal-IT](https://www.bsi.bund.de/)
- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks)