firstvds - взлом всех серверов от техподдержки

Да, ключ устанавливается и это общеизвестная информация. Тут пару лет назад уже был срачик по этому поводу. И я хочу обратить внимание - нет ниодного факта подтверждающего компрометацию ключа.

Тут -> /ru/forum/922618

---------- Добавлено 09.01.2018 в 15:27 ----------

treshnyuk:
Отлично, техподдержка не видела, а я видел. Вот в соседней теме оно реально работало и я не китайский хакер и не Ваш сотрудник, и VPN не использовал.
Теперь я знаю, что кроме ваших специалистов доступ ещё и у руководства. Ну это просто офигенно, покупаешь ВПС, а за тобой с ВПН вся компания следит включая руководство, удаленно, не с офиса....
У меня от каждого вашего нового сообщения глаз дергаться начинает.

И что тут, видите на скрине рутовые пароли? Наше руководство высококвалификированные инженеры, нет причин для беспокойства.

Ок, база ФИО, тел, почты - не повод для беспокойства (с)

На данный момент я не Ваш клиент, но почему-то мои данные благодаря Вам ходят по сети и меня крайне печалит, что для Вас это не повод беспокойства, верно, это повод моего беспокойства, а не Вашего.

Я согласен - это неприятно, я бы даже сказал, да мы накосячили. Этот "баг" оперативно исправили.

Желаю, чтобы товарищ майор поставил IP камеры в квартиры всем тем сотрудникам, которые добавляют такие закладки в VPS и сервера. Для их же безопасности.

Вообще одурели.😡

По моему мнению хостер должен ставить чистый минимальный образ того или иного дистрибутива. Без своих модификаций. Но как говориться, я не эксперт. Мне не виднее.

Это общеизвестная информация относительно ключа поддержки и необходимая мера для поддержки большинства наших пользователей. Если пользователь знает, что такое authorized_keys он почистит, а нет - так возможно ключ стоит оставить?!

ststitov, общеизвестная для кого? Где вы на своей странице с выд. серверами пишете, что оставляете закладку для техподдержки?

т.е. это нормально? А где еще вы закладку оставили?

Необходимая мера, это спросить у клиента пароль. И если он его давать не хочет, это уже его проблемы. Но по умолчанию, клиент не хочет, чтобы в его пространство кто-то вторгался. Пример с IP камерой и товарищем участковым.

Я как сисадмин с вами согласен, как сотрудник компании нет, на то были причины. Относительно передачи пароля в открытом виде или через биллинг с почтой - я против. Все это не имеет отношения к сабжу, иных бэкдоров и троянов нет - потому что в этом нет необходимости.

Ага, заставьте хостера vzctl с ноды выпилить на ОВЗ. Через него же тоже поддержка на сервер клиента ходит.

Мы тоже рассматривали ставить ключи, но отказались как-раз из-за возможной паранои клиентов.

smart2web, да тут паранойя оправдана. Завтра сотруднику технической поддержки не понравятся условия работы или с начальством разругается, он зальет скрипт, который будет уничтожать файлы через пол года. И попробуй докажи, что это он сделал.

От этого никто не застрахован.