Nosso provedor de hospedagem de servidores solicitou nossa senha root

Question

Eu trabalho em uma empresa que desenvolve e hospeda um sistema crítico para pequenas empresas. Temos um "servidor de nuvem Elastic" de um provedor de hospedagem profissional.

Recentemente recebi um e-mail deles dizendo que eles tiveram alguns problemas com a solução de backup e que precisavam instalar um novo kernel. E eles queriam que nós enviássemos a senha do root para que pudessem fazer esse trabalho. Eu sei que o email veio deles. Não é [email protected] ou qualquer coisa assim.

Liguei para eles e perguntei sobre isso, e eles disseram "sim, precisamos da senha para fazer isso".

Parece estranho enviar a senha de root por e-mail como essa. Eu tenho algum motivo para me preocupar?

    

Answer 1

Você está certo em ser cauteloso, pois esse é um pedido incomum. Eles forneceram detalhes sobre o que a atualização do kernel implica - ela contém algum módulo específico do fornecedor? Deixando de lado o elemento de segurança por um momento, a atualização que eles estão propondo causa problemas com o software que você está executando?

Eu recomendaria descobrir o que a atualização envolve e se você pode aplicá-la. Se eles não puderem fornecer essas informações, eleve o caso para descobrir exatamente por que o suporte técnico precisa de privilégios de root no sistema.

    

Answer 2

Tendo trabalhado em vários provedores de hospedagem, posso dizer que há casos raros em que uma senha raiz é necessária de um cliente. normalmente, é quando o cliente tem uma caixa dedicada e o cliente altera as authorized_keys do root para remover o acesso do provedor.

em um VPS, ou "servidor de nuvem elástico", o provedor pode acessar um host virtual diretamente através do hipervisor, ou nó raiz subjacente, para que não haja necessidade de adquirir a senha do cliente. se o provedor admin diz que isso é necessário, é porque eles estão tentando fazer algo fora do escallation privilegiado que a empresa deu ao admin (ou seja, sem acesso ao nó raiz subjacente).

Em suma, a menos que você tenha uma caixa dedicada, não deve haver necessidade de solicitar a senha root do cliente para um servidor vps ou "virtual". apenas diga que você não permite ssh interativo, somente acesso baseado em certificado ... e então peça sua chave pública para adicioná-lo ao pki auth. como é mais fácil para eles acessar através do nó raiz, eles provavelmente farão isso.

    

Answer 3

Eu não deixaria ninguém tocar nas minhas contas de raiz, especialmente um ISP. Como você verifica a integridade da pessoa atrás do teclado na outra extremidade? A menos que você tenha trabalhado com eles por um tempo, não há como ir. Apenas meu .02.

    

Answer 4

O serviço é pago por um serviço gerenciado ou não gerenciado?

Se ele for gerenciado, eles já devem ter as informações necessárias.

Se não for gerenciado, eles não têm login de negócios, especialmente como root.