Alterar a palavra-passe de root e de utilizadores num VPS Linux

Uma palavra-passe forte e renovada regularmente é a primeira linha de defesa do seu VPS Linux Infrawire. Na sua área de cliente encontra o IP e a palavra-passe de root do VPS, e deve alterá-la após o primeiro acesso. Este guia cobre a alteração de palavras-passe, a validade e a política, o bloqueio de contas e a recuperação de uma palavra-passe de root perdida.

📋 Pré-requisitos

Um VPS Linux (Ubuntu 24.04, Debian 12, AlmaLinux 9 ou Rocky Linux 9)
Acesso SSH como root ou como utilizador com sudo
Para a recuperação: acesso à consola (VNC) do VPS ou a um modo de recuperação

1. Alterar a palavra-passe de root

Ligado como root:

Bash
1passwd

Com sudo:

Bash
1sudo passwd root

Introduza a nova palavra-passe duas vezes; nada é apresentado enquanto escreve. Use pelo menos 14 caracteres ou, melhor, uma frase-passe de um gestor de palavras-passe.

2. Alterar a palavra-passe de outro utilizador

Bash
1sudo passwd USER

Um utilizador normal altera a sua própria palavra-passe com passwd simples, que pede primeiro a palavra-passe atual. Para obrigar um utilizador a escolher uma nova no próximo início de sessão:

Bash
1sudo passwd -e USER

3. Definir palavras-passe num script com chpasswd

O chpasswd lê linhas utilizador:palavra-passe da entrada padrão, o que é útil para automatizar:

Bash
1read -r -s -p "Nova palavra-passe: " PW; echo
2echo "USER:$PW" | sudo chpasswd
3unset PW

Evite escrever a palavra-passe diretamente no comando: ficaria em ~/.bash_history e visível na lista de processos.

4. Validade e política de palavras-passe

Consulte e defina as regras de envelhecimento com chage:

Bash
1sudo chage -l USER                  # mostrar a política atual
2sudo chage -M 90 -W 7 USER          # idade máxima 90 dias, aviso 7 dias antes

Para exigir complexidade, instale o módulo de qualidade:

Bash
1# Ubuntu / Debian
2sudo apt install -y libpam-pwquality
3
4# AlmaLinux / Rocky
5sudo dnf install -y libpwquality

Depois edite /etc/security/pwquality.conf:

INI
minlen = 12
minclass = 3
retry = 3

As regras aplicam-se aos utilizadores normais. O root pode contorná-las, por isso seja disciplinado.

5. Bloquear e desbloquear uma conta

Bash
1sudo passwd -l USER       # bloquear a palavra-passe
2sudo passwd -u USER       # desbloqueá-la
3sudo chage -E 0 USER      # fazer expirar a conta imediatamente
4sudo chage -E -1 USER     # remover a data de expiração

Bloquear a palavra-passe não impede o acesso por chave SSH. Para desativar totalmente o acesso, defina também a shell como /usr/sbin/nologin com sudo usermod -s /usr/sbin/nologin USER.

6. Recuperar uma palavra-passe de root esquecida

Abra a consola VNC do VPS (ou arranque o modo de recuperação) e reinicie. No menu do GRUB prima e, localize a linha que começa por linux e acrescente no fim:

Bash
1init=/bin/bash

Prima Ctrl+X para arrancar e depois:

Bash
1mount -o remount,rw /
2passwd root
3sync
4exec /sbin/init

No AlmaLinux e Rocky, acrescente antes rd.break, execute mount -o remount,rw /sysroot, chroot /sysroot, passwd root, touch /.autorelabel e saia duas vezes. No modo de recuperação, monte o disco do sistema, execute chroot /mnt e depois passwd root.

7. Verificar

Bash
1sudo passwd -S USER
2sudo chage -l USER

P indica uma palavra-passe utilizável e L uma conta bloqueada. Abra uma segunda sessão SSH para confirmar que a nova palavra-passe funciona antes de fechar a primeira.

🔧 Resolução de problemas

«Authentication token manipulation error»
O sistema de ficheiros está só de leitura, típico do modo de recuperação. Execute mount -o remount,rw / e tente de novo.

«BAD PASSWORD: The password fails the dictionary check»
A política rejeita uma palavra-passe fraca. Escolha uma mais longa, com vários tipos de caracteres.

O SSH continua a recusar a nova palavra-passe de root
Verifique sudo grep -E 'PermitRootLogin|PasswordAuthentication' /etc/ssh/sshd_config e os ficheiros em /etc/ssh/sshd_config.d/. O acesso por palavra-passe pode estar desativado em favor das chaves.

Sem acesso após uma recuperação com SELinux
No AlmaLinux ou Rocky, esquecer o touch /.autorelabel faz o início de sessão falhar. Repita a recuperação e crie o ficheiro.

🔒 As suas contas ficam protegidas com palavras-passe fortes, validade sensata e um caminho de recuperação que já sabe usar.