Jak získat rootovská práva v Ubuntu 10.04 (diskuse)

[Zdeněk Burda]

Na většině instalací OS je tohle nebo jiný podobný způsob naprosto běžný. Jakmile má někdo fyzický přístup k počítači, tak je to prostě v háji... Stačí když je možné ručně změnit proces bootování a každý schopnější uživatel ti nabootuje linux do singlu nebo použije bash místo initu...

[kotyz]

to neni chyba ale vlastnost, to tam bylo snad vzdycky. navic v ubuntu nema root nastaveny heslo a ani se na nej neda normalne prihlasit, misto toho se vsude pouziva sudo a heslo uzivatele. a tohle je bud dusledek toho a nebo to tam je pro to, aby to uzivateli usetrilo psani hesla kdyz uz mu to ubuntu kleklo a musi do rescue modu ...

[kralyk z abclinuxu]

Pokud vím, tak u distribucí, kde není root kastrován, se při vstupu do singlu objeví něco jako "give root pasword or hit <cosi> to reboot"... jestli se dobře pamatuju...

[Jendа]

Ano, ale je to takové „bezpečnostní“ opatření, které bezpečnost v podstatě nezvyšuje - pořád můžeš připojit disk ke svému systému a zmiňovanou hlášku prostě odstranit nebo si root heslo změnit.

[kralyk z abclinuxu]

Jasný, to samozřejmě chápu. Jen oceňuju, že to alespoň trochu těžší...

[Grunt]

init=/bin/bash…asi tak těžké jako posrat se při sračce.

[pavlix]

A po zaheslování bootloaderu bootování z USB apod...

A po zaheslování BIOSu vytažení disku...

Ukazuju to na školení jako folklór (tahle tradice vznika tak, že mi v některých školicích střediskách nainstalovali učebnu a zapomněli sdělit hesla).

[frdrx]

Tohle není žádná chyba. Celý zápisek postrádá odůvodnění.

[Ondrej]

Tohle neni chyba ale docela uzitecna vlastnost. A bezpecny to je - vzdalene to totiz nespustis a pokud nekomu das fyzickej pristup k pocitaci, muze mnohem vic nez jenom s rootem projit disk (treba projit disk s hrebikem a velkym kladivem).

Podobnou vec najdes ve FAQ k pidginu (nebo to tam aspon bylo, volny preklad, doslova si to nepamatuju): Q: Proc ukladate hesla k uctum v .pidgin nesifrovane? Vzdyt mi je nekdo muze ukrast A: Aby vam je ukradl, musi mit pristup primo do Vaseho uzivatelskeho uctu. A pak mate mnohem vetsi problem nez nejaky hesla do IM.

[rADOn]

…Aby vam je ukradl, musi mit pristup primo do Vaseho uzivatelskeho uctu. A pak mate mnohem vetsi problem nez nejaky hesla do IM.

Coz je sice pravda, ale zaroven taky pekne hloupa odpoved. Co kdyz mam heslo do IM stejny jako do banky?

[Jirka]

Pak mate mnohem vetsi problem nez nejaky hesla do IM.

[MartinK]

Co kdyz mam heslo do IM stejny jako do banky?

Tak jste s prominutím vůl?

[xkucf03]

+1

Na druhou stranu od programu by bylo hezké, kdyby používal šifrovanou klíčenku (nejlépe tu poskytovanou desktopovým prostředím). Sice ani to není žádný zázrak*, ale spolehlivě ochrání to před „náhodnými kolemjdoucími“ – ukradený/prodaný/reklamovaný disk, nezamčená obrazovka a majitel mimo dohled atd.

*) když má někdo přístup k mému počítači, tak může nainstalovat odposlech stisknutých kláves nebo třeba podvrhnout binárku klíčenky tak, aby hlavní heslo někam posílala.

[pavlix]

Šifrovaná klíčenka poskytovaná desktopovým prostředím může nabízet velmi zajímavé služby a i docela dobrou úroveň bezpečnosti. Zvlášť když umožní použití šifrovacích klíčů a HW tokenů jako backend.

když má někdo přístup k mému počítači, tak může...

Právě proto, je potřeba přemýšlet dál (ano přiznávám, výše uvedené řešení nechává jiné problémy neřešené, ale tak už to s bezpečností bývá).

[xkucf03]

To by ten HW token musel mít vlastní neodposlechnutelnou klávesnici nebo alespoň tlačítko, kterým bys potvrzoval, že se smí přistoupit k heslům. Ale to už se dostáváme na úroveň zabezpečení, které nedosáhly ani mnohé banky.

[pavlix]

Zbytečně překombinováváš, lepší je, když na ní žádná hesla uložena nejsou a klíče nevydává.

[rADOn]

To jsem si kdysi myslel taky. Ale kdyz se dnes podivam kolem jaky kraviny si drzi vlastni heslo, nemyslim ze by neparanoidni BFU mel sanci si pamatovat pro kazdou unikatni heslo.

[Jirka]

Nemusí být pro každou službu jiné. Stačí mít jedno heslo pro odpad a pak složitější heslo pro služby, které jsou důležité.

[rADOn]

Takhle to delam ja, jenze jak pribyva "dulezitych" sluzeb tak to prestava byt unosny. BFU ani nepozna co je odpad.

[Jendа]

Kdo říká, že si je musíš pamatovat? Já si také všechna svá hesla nepamatuji.

[Jirka]

Když už nic, tak u toho e-bankingu by mělo být zcela zřejmé, že odpad není.

[rADOn]

Problem neni co odpad neni, ale co odpad je. Spousta sluzeb se da zneuzit zpusoby o kterych uzivatele nemusi vedet. Zvlast kdyz takovou sluzbu moc nepouzivaji, budou mit tendenci hodnotit ji jako odpad podle svych potreb a ne podle skutecny zneuzitelnosti. Napriklad email je spuste lidi putna, protoze "nic zajimavyho mi nechodi", ale co kdyz ho nejaka dulezitejsi sluzba pouziva k resetovani hesla?

[pavlix]

Pak už je to jenom o (sebe)vzdělávání na jedné straně a na bezpečností politice služby na druhé. (Která banka ti doručí na e-mail plnou informaci k přihlášení?)

[pavlix]

nemyslim ze by neparanoidni BFU mel sanci si pamatovat pro kazdou unikatni heslo.

Proto se v prostředích, kde se myslí vážně aspoň určitá netriviální úroveň bezpečnosti, hesla (sama o sobě) nepovažují za řešení.

[JS]

Co si to dovolujete, takhle si brat do ust moji matku. Ta ma vsude stejne heslo, 123456.

[pavlix]

Co kdyz mam heslo do IM stejny jako do banky?

Jasně :). A ještě o tom napíšeš na Abclinuxu :). Nechtěj mě rozbečet :D.

[Jirka P]

Sice to zní logicky, ale dost proti tomu mluví např. nedávná kauza s ukradenými hesly z TC.

[Jendа]

A jak to souvisí s uloženými hesly? Pokud mám k počítači přístup, tak si to heslo poslechnu při příštím přihlašování.

[pavlix]

Aktivní útoky přes fyzický HW už jsou aspoň další level :). Už se musíš aspoň na minutu-dvě chovat podezřele.

Mimochodem, kolikrát jste někde zadávali heslo do příkazu passwd (nebo obdoby) puštěného za roota a dotyčný byl otočený (ze slušnosti, aby bylo vidět, že neokoukává heslo), případně za ním zrovna někdo přišel a něco spolu nějakou chvíli řešili?

[Jendа]

Aktivní útoky přes fyzický HW už jsou aspoň další level :).

Jaký fyzický HW zase? Ty útoky „přes TC“ probíhaly tak, že útočník získal na počítači roota admina (ano, správně, červík pro Windows) a prostě si stáhl databázi hesel TC. A snad v každé diskuzi, kde se o tom psalo, se někdo pokoušel svalovat vinu na TC - že má mít hesla na disku zašifrovaná.

Já se otáčím pokaždé.

[pavlix]

Jaký fyzický HW zase?

Asi jsem utekl z kontextu vlákna.

Já se otáčím pokaždé.

Dát roota a otočit se zády mi přijde jako zajímavá bezpečností technika.

[rADOn]

Tehoz jde dosahnout v jakemkoliv distru predanim parametru do kernelu pri bootu… To neni vada, ale vlastnost, jinak by neslo opravit rozbity filesystem a podobne radosti.

Pokud mas na masine tajne dokumenty, jedina skutecna kontrola pristupu je dobre udelany sifrovani.

[pushkin]

Tohle je odpověď vlastně pro všechny výše:

Mě hlavně překvapilo, jak je to snadné. Ubuntu nepoužívám, tudíž tuto "fíčuru" neznám (a pokud si uvedomuji dobře, na openSUSE podobná není ... SNAD, doma to vyzkouším).

Jenom dotaz zpět na tebe - o jaký parametr při bootu jde?

[helb]

init=/bin/bash

[helb]

A nebo single, obojí už zmínil p. Burda v prvním komentáři.

[pushkin]

OK, díky.

[Jendа]

A pokud je zaheslovaný bootloader (aby nešly měnit parametry), tak boot z externího média. A pokud je v BIOS zaheslovaná boot sekvence, tak vyndání disku a připojení do vlastního počítače…

[Ruža Becelin]

...a pokud je zaheslovany disk, tak jsi v pr..., pokud se ti nechce menit elektroniku. A pokud je disk jeste navic sifrovany, tak jsi podruhe v pr...

[Jendа]

Za předpokladu, že si jádro a initramdisk nosí s sebou na externím médiu. Zanedbávám modifikace HW (keylogger…).

[Ruža Becelin]

To jo. Jenze nakonec bude stejne jednodussi ty hesla z cloveka vymlatit nez patrat, kolik jich tam ma a snazit se je prolomit

[pavlix]

To nošení na externím médiu samo o sobě problém jenom zmenšuje (přesněji zmenšuje hmotnost a objem zařízení, které je potřeba fyzicky chránit).

[pavlix]

A nebo single, obojí už zmínil p. Burda v prvním komentáři.

Single by se měl ptát na rootovské heslo, pokud je nastavené (na Ubuntu ho instalační program nenastaví, takže záleží na administrátorovi).

[pavlix]

Mě hlavně překvapilo, jak je to snadné. Ubuntu nepoužívám, tudíž tuto "fíčuru" neznám

Bývala popsaná na Ubuntu wiki a jiných běžně dostupných zdrojích. Něčeho podobného bys měl umět dosáhnout na každém operačním systému, kde se nepoužívá nějaká fyzická ochrana. Pro vyloučení běžných dvouminutových útoků (plus čekání) je potřeba ta fyzická ochrana i v případě šifrování.

[Grunt]

Jo jo, toto je užitečná vlastnost a už jsem ji párkrát využil když nám např. ve škole zakázali USB porty (snad si nemyslíte, že tady ve vyučovací době budete hrát Q3A, ne?) nebo když jsem trčel na střeše s kolegovým notesem, kolega kilometry daleko a baterka mobilu hlásila stávku. A pro jistotu si sebou ještě na klíčence nosím bootovatelný GRUB na opravdové skilly co si heslují i GRUBa. Bohudík, za to že jsou lidi tacoví idioti. Jinak nevím co bych dělal.

[Grunt]

Ještě mě napadlo, že bych si na tu flashku mohl přihrát i nějaké jádro kdyby se mi náhodou poštěstilo někdy potkat opravdového haxor sklillera.

[Stevko]

No, ja si na flashke nosím System Rescue CD a už sa to oplatilo niekoľkokrát.

[elenril]

na opravdové skilly co si heslují i GRUBa.

Pche, amatéři. 1337 h4x0rz mají zaheslovaný BIOS a zašifrovaný disk

[Zdeněk Burda]

Co když bios ani disk nemám?

[kralyk z abclinuxu]

... 1337 h4x0rz mají zaheslovaný BIOS ...

1337 haxor ti vytáhne baterku, co udržuje nastavení BIOSU

[Jendа]

1337

Co bys čekal od člověka, který chodí do

Gymnázium
Přípotoční 1337
Praha 10 – Vršovice
PSČ: 10130

[pavlix]

O tom čísle baráku tady v přípotoční jsem ani nevěděl :).

[Grunt]

zaheslovaný BIOS

F12 pro Muli-boot většinou funguje i tak.

zašifrovaný disk

Jo no. To je asi tak jediná spolehlivá ochrana. To už bych asi s levou rukou v nose nedal. Teda to bych spíš nedal vůbec.

[pavlix]

F12 pro Muli-boot většinou funguje i tak.

Ono pokud člověk neni hodně velká lama, tak nehesluje bios bez blokování vlastností, které se mu z hlediska bezpečnosti nehodí.

To je asi tak jediná spolehlivá ochrana.

Čistě softwarově to stejně nevyřešíš, aneb defective by design.

[Grunt]

Ono pokud člověk neni hodně velká lama, tak nehesluje bios bez blokování vlastností, které se mu z hlediska bezpečnosti nehodí.

Já už viděl všelijak příšerné lidi.

[pavlix]

Já už viděl všelijak příšerné lidi.

viz

pokud člověk neni hodně velká lama