Kterak jsem zvyšoval zabezpečení (diskuse)

[polymorf]

pri boote init=/bin/bash, potom spustit passwd, 5 minut roboty

[Mercuriuz]

ehm....taky řešení, mě šlo hlavně o to nevypínat server, ale kdybych si na tohle vzpomněl tak to udělám no...

[Firzen]

Úplně stačí vytvořit na jakémkoli liveCD uživatele s nějakým heslem, kouknout do /etc/shadow na jeho hash a tím pak přepsat hash v souboru shadow na skutečném systému.

[Woky]

Netusil jsem, ze jako beznej uzivatel muzes primo editovat /etc/shadow ;o/

[ahoj]

Proč by nemohl editovat /etc/shadow cizího kořenu/systému?

[Woky]

Pokud jsi dobre cetl, tak se chtel vyhnout restartu systemu. To uz muzes rovnou bootnout server v single modu a heslo si znovu nastavit a nepotrebujes pouzivat zadne CD.

[Kvakor]

To uz muzes rovnou bootnout server v single modu a heslo si znovu nastavit a nepotrebujes pouzivat zadne CD.

Jenže single-user mód (runlevel 1) ve většině distribucí také potřebuje rootovské heslo.

[Woky]

Nevim cemu tedy rikas vetsina, nicmene tvrdit neco takoveho je dost zavadejici (predpokladam, ze mluvis o Ubuntu, nebo jeho klonu, coz nereprezentuje vetsinu Tebou zminovanych distribuci). A propo, pokud by i single mod chtel zadat heslo, mas jeste moznost pouzit init=/bin/bash a opet se obejdes bez liveCD i nejakeho editovani /etc/passwd.

[trekker.dk]

To už je jednodušší ten přístup s init=

[miro]

IMHO je to drbání se levou nohou za pravým uchem. V live distribucích, se kterými jsem se setkal, je nějaká jednoduchá možnost, jak získat roota (minimálně u KNOPPIXu a SystemRescueCD). Pak stačí namountovat příslušný oddíl na HDD a chrootnout se do něj. Příkaz passwd se pak provede na shadow chrootnutého oddílu. Zkoušel jsem pouze na systémech, které měly vše kromě /home na jednom oddílu, nevím, jak by to fungovalo v případě složitěji rozděleného disku.

[Salamek]

a co tak u SSH zacit pouzivat klice misto hesla ? myslim ze sme to tehdy taky resili, nebo alespon zrusit prihlasovani pod rootem a prilasovat se jen pod userem a z neho se pak prepnout prez SU

[Jan]

roota zakazuju hned po instalaci SSH pokud není zakázanej rovnou, to je snad základ :)

[Radek Hladik]

No a já ho zase například povoluju Ale jen s klíčem. Samozřejmě už se to tu všude tolíkrát řešilo, různé pro a proti, nechtěl bych se do toho znova pouštět. Jen bych rád uvedl jedno pro, které se tak často neobjevuje. Pokud máte přístup přes SSH přímo na roota, máte ho i přes SFTP. Pro windows existuje několik pěkných editorů, které podporují SFTP, takže je poměrně jendoduché pracovat s konfiguráky na dálku...

Jinak k tomu root heslu, opravdu ideální varianta je s tím init=/bin/bash

[Radek Hladik]

Tak to já mám zkušenost přesně opačnou. Z firmy A jsem dostal server, z firmy B hardisky, měl jsem to dát dohromady a odvézt na hosting a až to tam bude, tak si to měli z firmy A nastavit. Netušil jsem, že aby si to "zjednodušili", tak si tam dali root s heslem toor. No server jsem nainstaloval a než jsem se za 30 minut vrátil do kanceláře a řek jim, že už mužou, tak už nemohli A to ten server neměl ani žádné doménové jméno, jen IP.

[Radek Hladik]

Ooops, patří o příspěvek níže

[edois]

Proboha proc? :) Vzdyt to je uplne jedno, pokud nedam na roota heslo "root" apod, tak absolutne nic nehrozi... Dokonce jsem mel (ciste z testovacich duvodu) na netu server, ze kteryho uz jsem vsechno prestehoval pryc a bylo mi uplne jedno, co tam kdo bude delat (chtel jsem to pozorovat), tak jsem nastavil SSH, aby se slo prihlasovat jako root bez hesla... Hadejte kolikrat se tam nekdo uspesne za ty dva tydny prihlasil :))

[Mercuriuz]

no já nevím, na serveru kterej k něčemu je a jsou na něm osobní data apod. bych si asi nelajznul nemít heslo typu "d5Uy8Q2h6ls9d5T1"

[Sten]

Hádej, kolikrát se tam někdo úspěšně přihlásil a následně smazal všechny záznamy, že to udělal, a pro větší zábavu tam ještě nainstaloval rootkit?

[trekker.dk]

nebo alespon zrusit prihlasovani pod rootem a prilasovat se jen pod userem a z neho se pak prepnout prez SU

To tu dlouho nebylo...

[Salamek]

furt je to bezpecnejsi nez povolene prihlasovani na root ucet, zkouset DDOS pouze na heslo je jednodusi nez typovat login a heslo a pak jeste typovat ono root heslo, pro lidi co nechteji pouzivat klice ale hesla je to celkem jednoduche reseni,nwm s cim mas problem

[Radek Hladik]

No já bych měl minimálně problém se slovem "typovat" Nejsem nějakej jazykovej puritán, ale některé věci mě prostě praští mezi voči

Ale k tématu, ono to zní rozumně, že se musí nejdříve tipovat login+heslo a pak ještě další heslo. Ovšem je tu několik ovšem...

1) stejné bezpečnosti dosáhneme jedním dlouhým heslem

2) dokonce i heslem o něco kratším, protože ho nelámeme na dvakrát (tedy nemáme mezivýsledek)

3) taháme do zabezpečení něco, co není dostatečně bezpečné. Jinak řečeno, udržujete ten login ve stejném bezpečí, jako to heslo? Nepíše se na každém xtermu, není součástí /etc/passwd v plaintextu, nechodí vám na něj mail? Nepíše se do mailů, které odesíláte? Nemáte stejný login na jiných serverech? Nejdená se o login, který by mohl být ve slovníku? Je možné správnost toho loginu ověřit opravdu pouze správným přihlášením (tedy v kombinaci s heslem)...

4) už v případě prolomení toho prvního loginu je systém kompromitován na dostatečné úrovni k provedení spousty neplech.

Ono je potřeba se nad věcmi nejprve pořádně zamyslet. Některé věci totiž zní rozumně, ale ve skutečnosti je to jen Security through obscurity. A to sice může bezpečnost zvyšovat, ale většinou pouze v malých řádech a ještě třeba jen za určitých podmínek.

[miro]

Typovat = psát, to je snad jasné, ne?

[trekker.dk]

Ne, není. Mnohem bezpečnější a méně otravné je prodloužit heslo roota o jeden znak. Ostatní v #21

[miro]

Pokud chci na cílový stroj zkoušet DDOS, je mi úplně jedno, jakou kombinaci jména a hesla použiju. A ta vážnější připomínka - přijde mi, že se na to koukáte z pozice člověka, který si není příliš jist silou svého rootovského hesla. Pak je IMHO na místě jedině používání klíčů a hesla zakázat úplně. U sebe to tak mám, přestože si neskromně myslím, že moje rootovské heslo by nějaký ten pátek vydrželo.

[Mercuriuz]

přihlašuju se z hodně míst a ne vždycky mám u sebe všechny věci co potřebuju...

[dnes]

To mi připomíná bezpečný sex.