Vlákno názorů k článku Postřehy z bezpečnosti: linuxový trojan spouští proxy server od Sadam - "Administrátorům Linuxu se doporučuje zcela zakázat přístup na...
-
j (neregistrovaný)
Proc? Muzes mit v siti stovky krabek ktery konfigurujes treba tak, ze na to sshcko pod rootem pustis vzdalene rovnou script. Nevidim pak zadnej rozdil mezi tim, jestli nekdo dostane toho roota hned, nebo si pocka, az se prihlasi user, a to heslo mu o sesnu vedle praskne sam. O tom ze na 99% dotycnej user stejne bude mit sudo bez hesel ani nemluve.
-
. . (neregistrovaný)
třeba už jen kvůli tomu, abys věděl, kdo se ti tam přihlásil, mohl mít více uživatelů a mohl jim odebírat práva. Nechat otevřeného roota znamená, že v logu budeš mít haldů pokusů o přihlášení (i v interní síti) a dělat toho audit je na hlavu.
Další drobnost je už jen, že můžeš pro uživatele postupně zpřísňovat možnosti (např. přes sudo) a optimalizovat zabezpečení, naproti tomu přihlášení přes root je naprosto nehlídatelné.
-
V zásadě nic proti těmto opatřením, minimálně pro uživatele s omezeným oprávněním je to way-to-go. Pro plné adminy – ti si stejně mohou log přespat.
Každopádně neříkám, že je špatně zakázat roota. Spíš jsem chtěl upozornit, že rada „zakažte roota“ bez dalších detailů může snadno vést k opatření, která bezpečnost podkopávají. Neříkám, že to nelze udělat dobře. Ale bez dalšího vysvětlení to u neznalých adminů (na které tato rada zřejmě míří) napáchá spíše více škody než užitku.
-
. . (neregistrovaný)
o tom se nepřeme, zakázání roota nezlepší přímo zabezpečení, ale zlepší hygienu stanice a ta vede ke snadnější údržbě...
Neznalý admin nemá být adminem a nepomůže mu ani svěcená voda, ssh nebývá tím hlavním problémem, děravé běžící služby pod rootem jsou častější průšvih. Ono se ale stačí podívat na haldy tutoriálů jak vypadají.
U nás je třeba doteď největší problém náš oblíbený WeDoS, který posílá root hesla emailem a ty rádi unikají, z českých útočících adres tenhle poskytovatel prostě dominuje.
-
> ale zlepší hygienu stanice
Může. Anebo taky budu před skoro každým příkazem psát sudo. Což nemusí být diletantství, ale prostý fakt, že administruju.
> Neznalý admin nemá být adminem
Jenže kdo je cílovou skupinou na doporučení typu „zakažte roota“? Ti, kdo znají rizika sudo s heslem přes SSH? Pochybuju.
-
. . (neregistrovaný)
to doporučení vlastně nevím pro koho je, spíš bych upřednostňoval vypnout přihlašování heslem a mít pouze certifikát, když už bych chtěl něco neznalým doporučit.
Osobně se nerad přihlašuji na roota a raději mám všude sudo, a to jenom z důvodu, že takové příkazy chci jasně odlišit, to je ale moje věc.
-
j (neregistrovaný)
Abych rek pravdu, od dob skolske dochazky sem nikdy nikde nevidel viceuzivatelskej system na tuxovi (mineno takovej, kam by shell mel vic nez prave admin(i) + pripadne jeden beznej uzivatel). A haldu pokusu o prihlaseni tam budu mit at uz ten root povolenej je nebo ne, to je uplne sumak. Nevidim zadnej rozdil mezi tim, jestli se admin prihlasuje jako pepa nebo jako root. Leda ze bys sel do "security through obscurity" a generoval si pro kazdej system login na tema sh5623asd32asdvbtr ... preju prijemny administrovani.
Akce pod rootem samo hlidatelny sou, ale vyzaduje to pomerne zasadni zasahy do celyho systemu, a pro 99,99999% pripadu je to naprosta kravovina.
-
hefo (neregistrovaný)
Tak to si zjavne nebol v žiadnej väčšej firme s rozumnou správou IT. Nie je problém vidieť stroj, kde má root prístup (pomocou variácie na "su", bez potreby hesla používateľa "root", každý má vlastné heslo pre prepnutie na rootove práva) kľudne aj 100 ľudí. Ak by sa všetci prihlasovali priamo pod root používateľom - tak to prajem veľa úspechov!
-
Filip JirsákStříbrný podporovatelPokud vám vadí pokusy o přihlášení v logu, tak to nelogujte. Tím, že zakážete přihlášení na roota, ty pokusy nepřestanou. Měnit kvůli podrobnosti logování konfiguraci aplikace je dost zvláštní postup a s auditem to nemá nic společného.
-
SB (neregistrovaný)
1. Místní znalí by mohli zmínit, jak se to řeší u krabek, co mají pouze root, třeba Openwrt. Vím, že tam jde další uživatel narvat ručně editací několika souborů, ale zda to stojí za to.
2. Dodnes jsem nepochopil, proč je přihlašování klíčem, který leží na nějakém počítači a je tím ukradnutelný, bezpečnější, než dostatečné heslo, které si pamatuju. Rád bych to věděl.Toto jsou vážně míněné dotazy, ve kterých bych měl rád už jasno.
-
Filip JirsákStříbrný podporovatel
Ad 2 – klíč leží na počítači zašifrovaný heslem. A dokonce ani nemusí ležet na počítači, může být třeba na čipové kartě.
-
Filip JirsákStříbrný podporovatel
Nevím, zda píšete o oprávněném uživateli nebo útočníkovi.
Oprávněný uživatel musí znát heslo ke klíči. Pokud ho má někde zapsané, musí ho hledat. Nevidím v tom rozdíl oproti situaci, kdy si musí pamatovat nebo hledat heslo k uživatelskému účtu. Nicméně podstatný rozdíl je při používání – klíč načte do SSH agenta a heslo zadá jednou při načtení klíče. Když se přihlašuje heslem, musí zadávat heslo při každém připojení znova.
Pokud jste to myslel z hlediska útočníka – ano, pokud útočník získá soubor s klíčem, může se pokusit uhodnout heslo ke klíči. Úplně stejně, jako by hádal uživatelské heslo. Vymyslí heslo, dešifruje jím soubor a zkusí se připojit k serveru aby vyzkoušel, zda výsledek dešifrování je platný klíč nebo náhodné smetí. A tak může pokračovat stejně dlouho, jako kdyby zkoušel heslo uživatele. Drobný rozdíl je v tom, že ho malinko zdržuje to dešifrování, ale to nestojí za řeč.
Čipové karty moc časté nejsou, ale je to způsob, jak zvýšit bezpečnost. Když se přihlašujete heslem, máte smůlu.
Mimochodem, rozdíl oproti přihlašování heslem je jenom v tom ne moc pravděpodobném případě, kdy útočník může získat soubor s klíčem, ale nedokáže vám na systému nic změnit. Pokud může na disk i zapisovat, změní vám používaného SSH klienta, a heslo k účtu nebo ke klíči mu prozradíte sám.
-
Přihlašování klíčem vs. přihlašování heslem: Ono v obou případech záleží. Kloním se ale k tomu, že se stejným úsilím bude bezpečnější spíše klíč (volitelně šifrovaný heslem).
* S heslem je dost kritické password reuse. S klíčem méně.
* Jak bylo zmíněno, pokud se útočník dostane k počítači, může zksit i různě poslouchat heslo, alias ssh apod. Ano, přes některé zranitelnosti (například path traversal) může přečíst soubor, ale už ne Přihlašování klíčem vs. přihlašování heslem: Ono v obou případech záleží. Kloním se ale k tomu, že se stejným úsilím bude bezpečnější spíše klíč (volitelně šifrovaný heslem).* S heslem je dost kritické password reuse. S klíčem méně.
* Jak bylo zmíněno, pokud se útočník dostane k počítači, může zksit i různě poslouchat heslo, alias ssh apod. Ano, přes některé zranitelnosti (například path traversal) může přečíst soubor, ale už ne Přihlašování klíčem vs. přihlašování heslem: Ono v obou případech záleží. Kloním se ale k tomu, že se stejným úsilím bude bezpečnější spíše klíč (volitelně šifrovaný heslem).* S heslem je dost kritické password reuse. S klíčem méně.
* Jak bylo zmíněno, pokud se útočník dostane k počítači, může zksit i různě poslouchat heslo, alias ssh apod. Ano, přes některé zranitelnosti (například path traversal) může přečíst soubor, ale už ne provádět komplikovanější útoky.
* Heslo ke klíči se v případě SSH agenta nezadává tak často. To podpoří použití kvalitnějšího hesla.
* Pokud se útočník dostane do k souboru s klíčem, může útočit na jeho heslo offline, beze stop na serveru. Ale prvně se k tomu souboru musí dostat, což je dost zásadní podmínka. A taky to heslo musí být dostatečně slabé.
* Bez souboru s klíčem je jeho bruteforce mimo realitu. U hesel záleží.
ČLÁNKY DO MAILU