Bezpečnostní aspekty "sudo" v ubuntu server

6.1.2009 09:25 | Přečteno: 2018× | poslední úprava: 6.1.2009 09:31

Než mě někdo pošle RTFM, dopředu předestrírám, že jsem to už mnohokrát udělal. Rád bych se ovšem dozvěděl něco, co mi wiki neřekne, respektive wiki tvrdí pravý opak logického závěru! Na ubuntu wiki je stránka o root/sudo. Píše s tam:

Every cracker trying to brute-force their way into your box will know it has an account named root and will try that first. What they don't know is what the usernames of your other users are. Since the root account password is locked, this attack becomes essentially meaningless, since there is no password to crack or guess in the first place.

Upřímně řečeno, tomu příliš nerozumím, protože můj laický pohled říká, že tato situace bezpečnost naopak snižuje. Řekněme, že se chci přihlásit vzdáleně na cizí server. V případě ubuntu musím:

1. získat jméno lokálního uživatele

2. získat heslo lokálního uživatele

Jenže, v případě standardní linuxové distribuce musím:

1. získat jméno lokálního uživatele

2. získat heslo lokálního uživatele

3. získat heslo roota

Bez standardního uživatele se totiž nepřihlásím. Jako root to přímo nejde. To mě vede k domněnce, že sudo tak jak je ve výchozím nastavení značně snižuje bezpečnost mého serveru. Jaké je řešení? Je dobré zakázat vzdálené přihlášení všem co jsou v sudoers? V tom případě by naopak bezpečnost Ubuntu serveru oproti standardním nastavením s rootem vzrostla.        

Komentáře

[Yama]

neco jako skupina sudoers, ktery sudo muzou pouzivat -> samozrejme sudo nemuze delat kazdy. Jestli jsem to spravne pochopil.

[wire.64]

jestliže ten co je v sudoers se může přihlásit, stačí k ovládnutí jeho jméno a heslo. Když ale funguje místo toho účet root, a nelze se por ním zalogovat, potřebuju jméno a heslo uživatele a navíc heslo roota.

[Yama]

No ja to chapu tak ze but mas roota pod userem delas a pripadne vetsi zasahy das su pracujes pod rootem. Nebo pouzivas sudo a "root" je ten kdo je  "sudoer" tzn. na to aby ses nalogoval do tohoto stroje jako "root" musis nejdrive zjistit jak se ten "root" jmenuje a pak teprv heslo.

[Yama]

Nadruhou stranu pokud tam mas usera ktery neni "root" - sudoer, tak neni tezke udelat #cat /etc/passwd

[alfonz]

Ty jsi asi trubka...

řeknu to jednoduše, vzhledem k tomu, že na většina ostatních dister je root jako takový povolený, obvykle se jde přihlásit přímo jako root, což u ubuntu nejde

nehledě na to, že hodně lidí se přímo na některý servry hlásí jako root

[wire.64]

Nevím o distribuci, ke které se lze přihlásit jako root. Ty které používám vyžadují přihlášení jako lokální uživatel a následně můžeš switch user na okoho chceš. login jako root je nemožný!

[Aleš Kapica]

Všechny normální distribuce, které ti nekecají do toho jak si máš stroj zabezpečit.

[wire.64]

To je teda argument k popukání. Nějaké "výchozí" nastavení má každá distribuce. Takže všechny distribuce jsou dementní protože ti do toho kecají

[Aleš Kapica]

Já bych řekl která distribuce je podle mě dementní, ale nerad bych se dotknul některých, jinak vcelku sympatických osob.

[belisarivs]

OpenSUSE a SLE, Debian a urcite i dalsi.

Ano, muzes si nastavit ze se jako root muzes dostat pouze z lokalniho uzivatele, ale proste ve vychozim nastaveni to neni pravidlem.

[Kvakor]

V Debianu se to da instalaci nastavit, defaultne je root povolen (minimalne v expert modu).

[Heron]

RHEL třeba. Spíš by mě zajímalo distro (teda kromě Ubuntu), kde se jako root nemohu přihlásit přímo. Přesně tak jak píše Aleš, nastavení bezpečnosti je na adminovi a nevidím až tak moc rozdíl v přihlášení se za usera a přepnutí na roota vs. přímé přihlášení za roota. Útočník stejně musí získat nějaký klíč a k němu heslo, aby se na ten stroj vůbec dostal (hovoříme-li o ssh). Zakazovat roota lokálně je šílenost. Co se stane, když se nenamountuje /home oddíl a nemáš vlastně možnost se přihlásit (jasně, dá se pořád rebootnout do single)?

[Jardík]

Tak třeba MacOS má naprosto schodný systém jako Ubuntu ve výchozí instalaci, ale chápu, že to není linuxové distro

[Hobit]

treba i ten debian, od etche ma moznost nemit roota, navolis to behem instalace, defaultne ale je. asi jen ten single. ;o)

[miro]

Vyzkoušejte Fedoru nebo openSUSE. Já měl až doteď za to, že to naopak je možné +- všude krom *buntu. Popravdě řečeno mi to u toho *buntu na desktopu až tak nevadí, ale proč stejnou "vymoženost" mají i u serverové verze, to mi hlava nebere.

[VRtulnikk]

"login jako root je nemožný!" ...tomu říkám odvážné tvrzení ;)

[Käyttäjä 11133]

Ty nepoužíváš SUSE?

[wire.64]

Na mém desktopu mám v /etc/ssh/ssh_conf řádek:

PermitRootLogin no

Ale je fakt, že jsem si to možná zeditoval a není to defaultní nastavení. Už jsem to zapoměl.

[miro]

I kdyby to byla výchozí volba (myslím, že není), jaksi to pořád není dostatečný důkaz pro tvrzení "login jako root je nemožný"

[wire.64]

někde níže jsem to upřesnil. moje chyba. Měl jsem na mysli vzdálený login přes ssh.

[Käyttäjä 11133]

BTW třeba u počítačů mých rodíčů a sestry je to přesně naopak... přihlasíš se (vzdáleně) jen na roota a na nikoho jiného... Řekněte někdo mé sestře, že křestní jméno jejího bývalého přítele není bezpečné heslo... Já už na to nemám sílu

[xkucf03]

Proč by nebylo? Pokud tam nebude možný vzdálený přístup a heslo bude sloužit jen k ověření uživatele sedícího u počítače, tak mi to přijde jako dostačující heslo*. V takovém případě bych dal svůj účet do AllowUsers u SSH a ostatním včetně roota bych zakázal vzdálený přístup.

*) pokud se bojí hackování ze strany rodinných příslušníků, tak nechť si heslo změní.

[Käyttäjä 11133]

Vždyť to v tom komentáři uvádím, že se jedná o vzdálený přistup a že je povolený přístup jen a pouze na roota.

[xkucf03]

No vidíš a já bych radši zakázal i toho roota a přihlašoval se pod svým jménem. Což sice neznamená, že bych mohl používat slabší heslo, ale čím víc klacků naházíš potencionálním útočníkům pod nohy, tím líp, ne? + firewall s vyjmenováním povolených IP adres nebo ssh klíče.

BTW: pak bych se ale nepohoršoval nad jednoduchostí jejího hesla – když se stejně nedá vzdáleně zneužít

[Käyttäjä 11133]

Třeba mi vadí to, že právě kvůli jejímu heslu jsem musel editovat konfigurák toho SSHd? A na co by mi byl bežný uživatelský účet na notebooku mojí sestry? Já mám svůj vlastní notebook, nepotřebuju sestřin

[xkucf03]

Třeba na sdílení souborů (fotek, mp3, filmů…) – nastaví ti k nim práva na čtení a ty si je stáhneš Tohle je zbytečné dělat pod rootem.

[Filip Jirsák]

To už se tady řešilo několikrát. Když si prodloužíte heslo o jeden znak, naházel jste útočníkovi mnohem víc klacků pod nohy, než když se musí přihlásit ještě na jeden účet. Pokud se tedy nebavíme o případu, kdy si útočník heslo prostě přečte z lístečku přilepeného na monitoru

[xkucf03]

Vzhledem k tomu, že na tom počítači mám obyčejný uživatelský účet tak jako tak, mi to přijde lepší. Resp. není stroj, kde bych měl roota a neměl obyčejného uživatele* -- prostě proto, že ne všechno je potřeba dělat pod rootem a pod ním by se mělo spouštět jen to nejnutnější.

Hesla si tedy pamatuji pořád stejná (počet, složitost), ale bezpečnost to o něco málo zvýší (pohodlí by to snížilo, ale jen kdybych se chtěl přihlašovat rovnou na roota).

*) dokonce ani OpenMoko

[Filip Jirsák]

Já mám tedy heslo roota asi 32místné, nikam ho nepíšu, nepamatuju si ho a je pouze uložené na bezpečném místě. Pokud mám náhodou na daném stroji i jiný účet, přes který se přihlašuji do konzole, nemám z něj povolené su na roota bez hesla roota (a jak už jsem psal, to heslo si nepamatuju). Na roota se totiž přihlašuju jedině přes ssh klíčem. Takže mám povolené vzdálené přihlášení přímo na roota a nehlásím se na něj přes jiného uživatel, což tady mnozí považují za základní zabezpečení, přesto si myslím, že mám přístup řádově lépe zabezpečený.

[wire.64]

Jestli se jmenoval:

 Abdul-imbn-am-chálif-al-shuman-von-trautmberk

 Tak to nemusí být zas tak špatné heslo

[xkucf03]

• tři skupiny znaků – OK
• délka dobrá – OK
• ale pokud bys použíl nějaký arabský a krakonošský slovník, tak by heslo brzy padlo

[wire.64]

Třeba měl štěstí a tatínek v opilosti křtil nesmyslama, tak by bývalý přítel mohl splňovat i třetí podmínku

[frEon]

hehe, ted koukam, ze te napadlo to samy co me

[frEon]

jestli se sestry byvaly pritel jmenuje takhle: 8%qEb_N97.PNytu4, tak to neni vylozene spatny napad

[miro]

Ještě pořád by zbývalo sociální inženýrství

[frEon]

pravdu díš

[rainy]

sudo passwd root

a uz se jako root prihlasis

nebo

 

sudo su -

prihlaseni jako klasicky root v pripade ze chces byt skutecne root

nebo

sudo su

pokud chces mit jen prava roota

dale pak sudoers muzou mit ocesana prava takze to neni pravda ze by to byla dira.

jaky si to udelas takovy to mas ze. pokud chces bezpecnost udelej si druheho usera co nebude sudoer, tomu co sudoer je dej dlouhe heslo a mas klid ( ano humor )

 

[Ritchie]

nehledě na to, že hodně lidí se přímo na některý servry hlásí jako root

A na tom je něco apriori špatného?

[Aleš Kapica]

Apriori nic, jen že se můžeš zapomenout a nechtěně v historii shellu tak zkompromitovat rootovské heslo. Pokud máš zakázáno u roota vzdálené přihlašování, tak tím snížíš (mimo jiné) počet pokusů o nabourání do systému. Jakmile u mých strojů leze někdo na roota - tak šup s ním na blacklist

[Jirka]

Teda já jsem ještě neviděl, že by se nějaký z těch script kiddie, co to zkouší na můj stroj, zkoušel přihlásit přímo na účet root. Většinou to jsou běžná anglická jména, nebo "admin", "administrator", "superuser".

[Aleš Kapica]

Přiznám se, že nějakými statistikami nedisponuji, protože každý kdo se pokusí o nějaké unfair přihlášení dostává na pět dnů dištanc. Takže momentálně mám cca 55 blokovaných IP.

[Jirka]

Také to řeším blacklistem. Ale zároveň mám povoleno přihlášení heslem, takže pro neplatné uživatelské účty mám vyhrazeny 3 pokusy o přihlášení, stejně tak u platných uživatelských účtů. U roota mám 2 pokusy. Blok dávám na 7 dní.

Naštěstí mám jenom pár uživatelů, takže za den mi v hosts.deny uváznou zhruba 2-3 zoufalci.

To o čem jsem mluvil, jsem vypozoroval z dob, kdy jsem blacklist ještě nepoužíval.

[Aleš Kapica]

Většinou to také nějak zvlášť nedramatizuji. Ovšem stroj, který mi hostuje virtuály jsem si posichroval trochu víc. Těm co se pokusí nabourat nezakazuji jen ssh, ale veškerý přístup a na furt. Výjimky mám nastavené pouze pro své stroje.

[petr_p]

Většinou to také nějak zvlášť nedramatizuji. Ovšem stroj, který mi hostuje virtuály jsem si posichroval trochu víc.

Nedá mi to a musím se podělit o cizí neštěstí ;) Tuhle neděli mě obdařil útokem stroj, jehož reverzní záznam začínal „nagios“. Varování „Chraňte před dětmi!“ by se mělo asi dávat nejen na sirky.

[Ondrej 'SanTiago' Zajicek]

> Ale zároveň mám povoleno přihlášení heslem, takže pro neplatné uživatelské účty mám vyhrazeny 3 pokusy o přihlášení,

Tak tomu rikam buzerace. Proti automatickym snaham o crack uplne stejne staci omezit to treba na 30 pokusu, i to je z hlediska prostoru hesel smesne malo a uzivatelum to neudela problemy. Oproti tomu trikrat po sobe zadat spatne heslo se mi stava ne az tak vyjimecne.

[Jirka]

Uživatelé tak alespoň pocítí vůli svého pána a pak nemají roupy. >-)

Přímo na ssh se naštěstí připojuje málokdo, ale účty jsou v LDAP, takže uživatelé přistupují většinou k jiným službám, kde takové "buzerační" politiky nejsou. A mě to alespoň trkne si podruhé dát pozor.

Má to tu výhodu, že ušetřím prohlížení x*30 hlášek o nepovedeném přihlášení v logu.

[Heron]

Jo, na mě útočí i na roota. Vtipné ale je, že ty jejich skripty ani neřeší to, že mám přihlašování heslem zakázkané a zkouší a zkouší....

[changeit]

u mna ano, a dokonca heslo udadli a co som nechapal zacal si stahovat SP3 pre Win2000 :).

[Filip Jirsák]

To bych rootovské heslo nejprve musel znát, abych ho mohl omylem napsat do shellu. Od vynalezení ssh klíčů už není potřeba se hlásit jen heslem...

[alfonz]

a jinak samo sebou, že ne všichni uživatelé mohou používat sudo

[wire.64]

na to jsem se přece neptal. Navíc v článku hovořím o tom, zda nezakázat login těch,co jsou v sudoers, takže tahle poznámka je úplně mimo.

[Ritchie]

Již se to zde několikrát probíralo, ale na přímém přihlašování jako root (s dostatečně silným heslem) není nic nebezpečného. Bezpečnosti mnohem více prospěje volba silnějšího hesla než zakázání přihlášení jako root. Zdůvodnění na wikipedii Ubuntu je přinejmenším pochybné. (Mimochodem toto rádobyzdůvodnění se nevypořádává ani s tím, že účet s uid 0 se nemusí nutně jmenovat root.) Samozřejmě nejlepší je používat k autentizaci klíče a přihlašování heslem zakázat.

Jinak SSH a PAM se chová přesně tak, jak si jej nastavím. Bezpečnost je v tomto ohledu tedy plně v rukou administrátora.

[Aleš Kapica]

Důvod proč se v Ubuntu nelze přihlásit jako root je zcela prozaický. Root tam totiž nemá nastavené heslo. Pokud si pro roota nastavíte v Ubuntu heslo, tak funguje přihlášení jako u každé jiné normální distribuce.

[belisarivs]

To jo, ale kdesu gksu jakozto symlinky na sudo verze budou chtit porad heslo usera.

Muj pokus, Ubuntu takto usmetnit selhal. Sudo je pohodlnejsi, ale tim to hasne.

[Aleš Kapica]

Podle mě to je otázkou konfigurace. Mě se stačí zadat přes sudo heslo jen jednou a pak si to po nějaký časový interval pamatuje. Ovšem já používám Debian a ne Ubuntu.

[Stevko]

Ak si dobre spomínam, tak niečim ako "Defaults rootpw" s /etc/sudoers sa sudo nastaví tak, aby chcelo rootovské heslo.

[CET]

Mimochodem toto rádobyzdůvodnění se nevypořádává ani s tím, že účet s uid 0 se nemusí nutně jmenovat root.

Jednou jsem to zkusil, rootovi dat jiny UID a adminovi dat UID 0. A rychle jsem to vratil zpet, protoze cast veci prestala fungovat, protoze proste pouzivali username root.

[pht]

Muzete mit vic uzivatelu s UID 0, pricemz se budete prihlasovat na toho sveho a na jmeno 'root' se nebudete moct nijak prihlasit.

[pht]

Bezpečnosti mnohem více prospěje volba silnějšího hesla než zakázání přihlášení jako root.

Souhlasim. Bezpecnost pri pouziti hesla zavisi na entropii hesla. Ma-li Vase heslo entropii n bitu, pak je potreba teoreticky vycerpat az 2ⁿ pokusu nez ho uhodnete. Mate-li dve hesla o entropiich n a m bitu, je to totez jako byste mel jedno heslo o entropii n+m bitu (a je uz jedno jestli je na roota nebo uzivatele + sudo).

Samozřejmě nejlepší je používat k autentizaci klíče a přihlašování heslem zakázat.

Pak to zalezi na ochrane pristupu k privatnimu klici a opet jeho hesle.

[Ondrej 'SanTiago' Zajicek]

> Mate-li dve hesla o entropiich n a m bitu, je to totez jako byste mel jedno heslo o entropii n+m bitu

To neni pravda - pri dvou heslech totiz zjistis chybu v prvnim uz po zadani prvniho hesla a neni tedy treba zkouset vsechna mozna druha hesla. Tedy v nejhorsim pripade je pocet pokusu 2^n + 2^m, namisto 2^(n+m).

[pht]

No vidite, to je pravda. Takze ve skutecnosti je to jedno heslo n+m silnejsi.

[vaše jméno]

Asi jenom neumíš anglicky, v citovaném textu je to napsané jasně a srozumitelně. Naprosto běžně ve výchozím nastavení ssh dovoluje přihlášení roota. Dalším naprosto běžným nastavením je, že pokud je vůbec nastaveno zamykání uživatelských účtů po opakovaném neúspěšném pokusu o pihlášení (což ale bežné není), je root z tohoto pravidla vyjmut. To se netýká jen Linuxových distribucí, takové výchozí nastavení je časté na všech Unixech.

Takže zatímco pro uživatele vendelin platí Tebou stanovené 2 kroky, pro uživatele root je první krok splněn, stačí jenom hádat heslo a to je mnohdy paradoxně ta lehčí část.

Před tímto nebezpečím Tě Ubuntu velmi jednoduše a elegantně chrání tak, že uživatel root je zamčený. Geniální.

[wire.64]

a nebylo by jednodušší zakázat například vzdálené přímé příhlášení rootovi?

 

PermitRootLogin no

[Kvakor]

To si take myslim - u vdaleneho pristupu to ma smysl, u lokalniho ne. Obecne nevidim duvod, proc u bezneho uzivatelskeho desktopu zakazovat lokalni prihlaseni jako root, mimo duvodu "ochrana uzivatele pred sebou samym". I kdyz osobne bych to povolil jen pro textove konzole (/dev/tty...), cimz by se vyresila i ona "ochrana", protoze BFU se na textove konzole neoprihlasuji .

[wire.64]

To je moje chyba. Já měl na mysli vzdálené přihlášení. Tak nějak jsem vůbec neuvažoval, že se na serveru přihlásím lokálně. Bohužel, špatně jsem se vyjádřil a možná proto je půlka diskuze jiná než jsem čekal.

[vaše jméno]

To není default openssh (PermitRootLogin no) a distribuce to přebírají. To by buď museli mít vlastní balíček, protlačit to do Debianu, nebo to ideálně protlačit do openssh. Ve srovnání s tím je zamčení roota výrazně jednodušší. Navíc se takto vyřeší i další věci, třeba nová Fedora teď relativně složitě (úpravou pam) brání rootovi v přihlášení do grafické konzole, prý je to dobrý nápad. Řešení Fedory ovšem není ani jednoduché ani geniální (tak jako to od Ubuntu), pam je nastavený jenom pro gdm, kdm (a další) roota přihlásit nechají. Kdoví, jestli to tak hoši z Fedory chtěli....

Zákaz přihlášení se jako root je vždycky dobrý nápad, ať už pro desktop nebo server a Ubuntu to dělá moc chytře. Zvláště významné to je v případě, že existuje více adminů, sdílené účty jsou zlo, sdíleného roota nevyjímaje. "Pravý" Admin ani nikdy nespustí root shell a dobře ví, proč tak činí.

[petr_p]

pam_securetty(8) je složitě?

[xkucf03]

 

sdílené účty jsou zlo, sdíleného roota nevyjímaje.

Tomu se stejně nevyhneš – stačí spustit sudo bash a je to .

 

[belisarivs]

Genialni?

Houbeles. Security by obscurity. Login slouzi k identifikaci, heslo pro zabezpeceni. Chces lepsi bezpecnost, pouzij silnejsi heslo.

Nehlede na fakt, ze jiz zminene povoleni prihlaseni na roota pouze lokalnimu uzivateli je radove bezpecnejsi, protoze nejdriv se musi prolomit heslo uzivatele a pak heslo roota.

[CET]

 Je to celkem logicky. Podivej se na nejakym serveru s otevrenym ssh do logu autentizace. Uvidis tam spoustu pokusu o prihlaseni. No a hacker muze se 100% zkouset roota, protoze ten je v systemu vzdycky. No a kdyz jsou pak "admini", kteri si nastavi heslo pro roota jako "abc123" a podobne, tak se hacker na masinu dostane opravdu jednoduse. Samozrejme podobne blby hesla nemaji co delat ani u obyc uzivatelu - i obyc ucet se hackerum hodi pro zapojeni stroje do site. Proto ubuntu nenastavuje heslo pro roota.

Druha vec je, ze pokud pouzivas sudo, potrebujes pro prechod na roota pouze tvoje heslo, kdezto s pouzitim su potrebujes navic jeste root heslo. Muze se to zdat jako vyhoda su (ze potrebujes 2 hesla), ale pro me je pouzivani su spis horsi:

• v su se vzdycky prihlasis do root shellu, v sudo muzes definovat pouze urcite prikazy, navic muzes definovat, ktere prikazy muze uzivatel spoustet s heslem a ktere bez hesla (v ubuntu je samozrejme pro prvniho uzivatele povoleno spousteni vsech prikazu)
• to, ze musis zadavat heslo roota muze byt i nevyhoda - chces napr. administrovat server s dalsima X lidma, ale nechces jim davat root heslo (s tim souvisi, ze jim muzes povolit spousteni treba jenom nekterych prikazu pod rootem)
• v sudo muzes definovat, ze uzivatel A muze spustit prikaz C pouze pod uzivatelem B (cili zadny root pristup)

[wire.64]

Já považuji sudo za velmi užitečnou věc. O tom není pochyb. Jde mi spíše o bezpečnost serveru. Například, když mám běžného uživatele a roota, se zakázaným ssh pro roota, pak je to pro napadení IMHO těžší. A vůbec se to nevylučuje s tím, že ten user může mít záznam v sudoers s požadavkem na heslo pro roota. Protože i když někdo ovládne účet toho usera, nebude znat heslo roota. V Ubuntu root není, heslo pro sudo je nastaveno jako uživatelovo a tak už má vyhráno.

Když máš například FTP server, a pro FTP nepoužíváš SSL, pak je vůbec nebezpečné se přihlašovat na FTP pomocí lokálního účtu, který může dělat sudo s vlastním heslem. Někdo ti odposlechne z FTP tvé údaje, pak se přihlásí pomocí SSH, a nic mu nebrání použít sudo k získání administrátoských práv.

[unknown_]

Když máš

Například, když mám běžného uživatele a roota, se zakázaným ssh pro roota

Tak je šance na napadení naprosto stejná jako uživatele a zakázanýho roota celkově.

pak je to pro napadení IMHO těžší.

. Než s povoleným rootem určitě ano, než se zakázaným rootem určitě ne.

[xkucf03]

On dneska ještě někdo používá FTP s přihlašováním bez šifrování? Když už, tak SSL nebo SFTP (omezit shell).

[hydrandt]

Odhadem tak...95% lidí?

[xkucf03]

njn, na chudáky s webhostingem zadarmo jsem zapomněl

[belisarivs]

A co bezne aktualizace baliku z ftp mirroru?

[xkucf03]

Balíčky si ale aktualizuješ z anonymního FTP. A pak se kontroluje jejich GPG podpis.

[Salamek]

to sudo je jen problbce co by si normalně nenastavili tvrdé heslo na roota já preferuji tvrdé heslo root než sudo ,sudo je shitt navíc je pěkně nahovno že sudo heslo je stejné jako heslo pro přihlášení uživatele --> sudo není ani výhoda ani nevýhoda vůbec bezpečnost nezvyšuje ,v jedom případě ji zvýší v druhém sníží , je to jen serepetička od tvurců ubuntu aby se něčím lišili (pomalu se blíží k widlím)

[wire.64]

1. Sudo nevymysleli v Ubuntu

2. Sudo se používá snad už 30 let

3. to, které heslo bude použito pro "sudo" lze nastavit. Může to být heslo uživatele, nebo heslo roota.

[Salamek]

OK ale poprvé jsem potkal sudo v UBUNTU , tuším že pujde nastavit zvlášt ale všechny ubuntaři co jsem potkal mají stejné... já ubuntu moc slouho nevedl po zděšení z této funkce ,shlédnutí fekálního vzhledu a další věci co se mi nelíbily (detaily ,které ale naprosto neseděly s věcmi na které sem byl zvyklý ze všech ostatních dister) ,rychle jsem se na to vykašlal a místo povolování root učtu a dlšího ladění co mě u jiných dister nečekalo (např rozběhat PHP a mysql na ubuntu je horor na fedoře stačí dva příkazy a jen projít configurák) jsem se vrátil k fedorce

[wire.64]

tak na serveru je defaultní fekální vzhled Gnome nepodstatný

[Salamek]

no to je fakt ale nechápu co je na té nahnědlé barvě tak přitahuje

[Jirka]

rozběhat PHP a mysql

Na Ubuntu stačí jeden.

poprvé jsem potkal sudo v UBUNTU

Já ve Slackware. Na střední tak měli useři umožněno vypnout mašiny, když už na nich nikdo ten den dělat nebude.

[Salamek]

nevšiml jsem si ,vše nainstaluju a není to použitelny na fedorce dám dva commandy a už mužu spouštět php skripty na ubuntu to dělalo hroznej bordel např. php běželo ale místo zpracování skritu to dělalo nehozáznej bordel , nemělo cenu to řešit stejně sem měl v plánu se kvuli ostatním věcem vrátit k fedorce , tohle byla jen poslední kapka

[xkucf03]

Bezpečnost by se neměla opírat o to, že útočník nezná jméno uživatele – systém (heslo) by měl být tak bezpečný, aby i při znalosti jména nešel prolomit. Takže tenhle argument neberu. Navíc rozumné nastavení je, zakázat přímé přihlášení roota, nebo alespoň jeho přihlášení heslem (povolit jen klíče). Pak je na prolomení potřeba znát jméno obyčejného uživatele, jeho heslo a heslo roota (nebo klíč). Oproti sudo, kde stačí znát o jednu věc míň*.

Osobně používám dost paranoidní nastavení:

• Přihlásit se mohou jen uživatelé vyjmenovaní v konfiguráku sshd (je jich tak málo, že se to dá udržovat, root mezi nimi není).
• Firewall dovoluje přístup na SSH jen z několika konkrétních IPv4 adres.
• Tam, kde je SSH port otevřený všem IP adresám, je možné přihlášení jen pomocí klíčů.

*) samozřejmě jak tu někdo psal, záleží na součtu jejich složitostí, když bude stačit uhodnout hesla „janicka“ a „tajne“, tak to už je lepší mít jedno pořádné heslo.

[wire.64]

tak mě napadá, že tam kde je hodně lokálních BFU uživatel typu "janička" + "tajne" je možná ubuntu přístup bezpečnější

Ale jinak souhlasím s tím, že zakazovat funkčnost roota moc smysl nemá. omezení přihlášení pomocí ssh je imho lepší.

[vaše jméno]

Tak to máš nastavené pěkně hloupě. Editovat konfiguráky je pruda, AllowUsers nahovno, AllowGroups mnohem lepší, usermod je kámoš. Pokud ovšem to máš pro dva uživatele (tedy pro parádu), tak to je jiná. A ověřování pomocí klíčů, to je teprv bomba. Zatímco bys mohl Janičce znemožnit nastavt tajne heslo, Pepík si klidně může nastavit tajnou frázi pro svůj soukromý klíč a Ty s tím nic nenaděláš. Stejně jako mu nezabráníš používat tajnou frázi klidně celý život, což je vlastně stejně jedno, protože jak jednou tenhle klíč někdo dostane do ruky, už má neomezené množství času k tomu, aby stihl rozlousknout i SuperTajnou frázi. Nehledě na to, že Pepův klíč v čitelné formě je k vyzvednutí prakticky pro kohokoli nahraný v ssh agentovi na jeho pecce.

Tak snad nezbývá než doufat, že to Tvoje "paranoidní" nastavení používáš na strojích, které jsou všem putna.

[xkucf03]

1. Jak jsem psal – těch uživatelů je tak málo, že není problém je mít v konfiguráku, navíc se nemění.
2. Uživatelem jsem buď přímo já nebo nějaký unixový admin. BFU, který by se choval, jak píšeš rozhodně ne

[xkucf03]

BTW: jak to tedy děláš na svých strojích: zakazuješ používání SSH klíčů, nastavuješ přísná pravidla pro heslo (složitost, vypršení, odlišnost od předchozího), používáš firewall?

[vaše jméno]

Upřímně, docela na to peču. Jestliže se můžou lidé připojovat z nekontrolovaných zařízení, je jakékoli zabezpečení úplný šumák. To znáš ne, že systém je tak silný, jako jeho nejslabší článek.

Své zabezpečení jsi trochu neskromně označil za "dost paranoidní", skoro se ale hodí označit ho za dost naivní. Ne že by snad nemělo smysl nebo, že by to bylo špatné, ale Tvá důvěra v něj a důvěra ve festovnost ověřování identity pomocí klíčů se dá docela úspěně naivitou titulovat.

A když se potom vedle toho snažíš (podobně jako wire.64) navodit pocit, že snad dvě hesla jsou bezpečnější než jedno, tak se mi koutky otáčejí vzhůru.

Má volba zabezpečení přihlašování uživatelů se nijak výrazně neliší od Tvé, ale není paranoidní a já to vím.

Dvě hesla nejsou bezpečnější než jedno.

Zamknout roota je dobrý nápad také kvůli možným brute-force útokům. Ubuntu patří k té spíše menší části distribucí, která toto řeší, ostatní obvykle používají standardní nastavení openssh, tedy povolené, bez ohledu na zkušenost wire.64, ta je chybná. Je v podstatě komické, že dnes jsou to častěji windows admini, kteří velice dobře ví, že administrator patří zamknout a používat RBAC společně s runas.

Zamčený root je podobně nové (podle mě zajímavé a moderní) paradigma jako UPG od Red Hatu a stejně jako UPG naráží. Není nic snažšího změnit výchozí nastavení, s ostatními distribucemi to dělají lidé běžně, v případě Ubuntu je třeba vždy hlasitě brblat.

[wire.64]

Proč by měla být chybná představa, že 2 silná hesla jsou lepší než jedno silné heslo?

Jak pomůže zamčení roota proti brute force útoku? když následně stačí silou zlomit jen 2 řetězce místo tří?

Podotýkám, že zákaz ssh pro roota pokládám za základ. Jinak to samozřejmě neplatí.

[vaše jméno]

Abeceda: a b
Kombinace dělky 2: aa, ab, ba, aa
Kombinace délky 3: aaa, aab, aba, abb, baa, bab, bba, bbb
Počet kombinací pro dvě hesla délky 2: 4 + 4 = 8
Počet kombinací pro jedno heslo dély 3: 8

Teď by to mohlo být jasné (v opačném případě doporučuju promrskat kombinatoriku). Jedno o kousíček delší heslo v uvedeném příkladu nabízí stejnou složitost jako dvě kratší hesla. Pamatuješ si méně (3 znaky vs. 4 znaky), chráníš stejně, případně pamatuješ si stejně (jedno 4-znakové vs. dvě 2-znakové), chráníš lépe. Pokud bude abeceda větší než dvouprvková, bude rozdíl větší než jen dvounásobný. Jedno 10 znakové heslo je lepší než dvě 9 znakové.

[wire.64]

to je sice pravda, ale pořád nechápu, jak může být jedno 10 znakové heslo lepší než dvě desetiznaková hesla? To je to co nechápu. Na brute force jsou přece v tom případě 2 hesla mnohem těžší.

[vaše jméno]

To je strašně divné. Tvůj supermozek si je schopen zapamatovat dvě hesla délky 10 znaků, ale přitom nechápe, že pamatovat si jedno heslo délky 11 znaků je téměř o polovinu snažší a přitom poskytuje mnohonásobně vyšší bezpečnost.

[wire.64]

To se ale vyjadřuješ špatně. Jediné co mi tím sděluješ je, že zapamatovat si jedno heslo je jednodušší. s bezpečností to nemá nic společného. Děkuji, žes to konečně řekl na rovinu

[xkucf03]

Dejme tomu, že si v obou případech budeš pamatovat dohromady deset znaků. Pokud to bude jedno heslo, bude to jednak bezpečnější a jednak si nebudeš muset pamatovat, na kterém znaku končí první heslo a začíná druhé. Takže výhoda* dvou hesel může být snad leda tohle.

*) za předpokladu, že ta dvě hesla jsou slabá, zatímco jedno je silné.

[wire.64]

ale na to jsem se neptal. Já chápu, že když si vymslím iracionání příklad, že si zapamatuju pouze X znaků, je lépe použít jedno heslo. Ale můj mozek přece není RAM.nemám vymezenou paměť pouze na hesla. Není žádný problém mít 2 hesla. zato považuji za basurní problém používat jedno 25 místné heslo, které neš napíšu, tak se uklikám...

[miro]

Zkuste se na to podívat tak, že pokud místo desetimístného hesla uživatele janicka a desetimístného hesla uživatele root použijete dvacetimístné heslo uživatele root, tak získáte nesrovnatelně silnější ochranu, přitom si pořád musíte pamatovat dvacet znaků.

[wire.64]

to chápu. Ale až se budu jako janička logovat několikrát denně, bude mit těch  znaků pěkně na obtíž.

[Jirka]

Tak ještě jednou. Představ si bankovní PIN. Jsou to čtyři číslice z intervalu <0,9> a mohou se opakovat. Takže to jsou variace s opakováním (pokud se nepletu ).

Počet variací pro klasický čtyřmístný pin, je 10^4, což je 10 000 variací. Kdyby byl pin pětimístný, tak to je 10^5, což je už ale 100 000.

Takže kdybys použil dva čtyřmístné piny k ochraně svého účtu, tak útočníkovi stačí projít pouze 20 000 variací. Ale kdybys měl jen jeden pětimístný pin, tak musí projít už 100 000.

BTW. Kdysi tu na tohle téma byl pěkný flejm.

[wire.64]

proč mi pořád vykládáte, že když mám 2 hesla, musí mít každé minimálně o jeden znak méně, než když bych měl jedno heslo? Co je to za blbost?

[Jirka]

Blbost je, že u dvou hesel těch znaků bude dohromady 8. Ale když jedno heslo bude mít těch znaků 8 tak to bude o hromadu bezpečnější.

Alternativně lze říci, že dva piny, které dohromady budou mít 8 znaků budou mít 20 000 variací. Jedno heslo dlouhé 8 znaků bude mít 10^8 = 100 000 000 variací.

Takže! Když už si pamatovat 8 znaků, tak je lepší mít to, jako jedno heslo.

Cílem bylo hlavně ukázat, že dvě hesla, které dohromady budou mít 8 znaků, budou stále horší, než když jedno bude mít poloviční délku + 1 znak navíc.

[xkucf03]

Otázka pak ale je, proč by sis měl pamatovat 2x4 znaky místo jednou 8 znaků, což je složitější uhodnout.
Snad leda proto, že heslo roota nezadáváš tak často, takže pokud bys byl u počítače zavšiveného odchytávačem kláves, došlo by pravděpodobně jen k vyzrazení toho prvního hesla a ne obou. Ale tahle výhoda mi přijde dost pochybná.

[wire.64]

Zkus se na to podívat z druhé stránky. Řekněme, že je nějaká hodnota počtu znaků X, kterou si stanovíš jako hranici únosnosti pro login. Něchť je X kolik chceš.

Pak je ale jednoznačně lepší, když máš X pro login jako user a jiné heslo s X znaky pro login jako root, než kdybys měl jn jedno heslos X znaky jako sudo admin. Není problém zapamatovat si 2 louhé hesla. Problém je, že příliš dlouhé hoslo pro neustálé zadávání je opruz.

[miro]

Řekněme, že je nějaká hodnota počtu znaků X, kterou si stanovíš jako hranici únosnosti pro login.

Ten předpoklad nějak nechápu. Osobně si žádnou "hranici únosnosti" (ve smyslu maximální délky hesla) nestanovuji, a řekl bych, že to moc lidí nedělá. Místo toho si stanovím "hranici únosnosti" ve smyslu _minimální délky hesla_, a to takovou, aby to heslo obstálo "samo o sobě". Pak mi přijde schovávání se za uživatele janicka jako zbytečnost. Ostatně, pokud nedáte všanc svoje /etc/shadow, je i relativně krátké heslo (pokud je jinak "slušné") přímo na roota až až.

Problém je, že příliš dlouhé hoslo pro neustálé zadávání je opruz.

Co si představujete pod pojmem "neustálé zadávání"? Pokud server pracuje jak má, přihlásím se k němu 1-2x denně. Pokud se v serveru nějak vrtám, prostě si tu vzdálenou rootovskou konzoli nechám otevřenou tak dlouho, jak je potřeba.

[wire.64]

spíše jsem vycházel z představy, že pro přihlašování se jako user (momentálně i x denně) je praktičtější heslo kratší, a pro roota, mi naopak nevadí heslo delší a koplikovanější. Kdybych měl jen jeden účet, dlouhé heslo by mi leszo při  loginu na nervy.

[Zadejte vaše jméno]

Ty jsi opravdu ztracený případ. Nedokážeš pochopit (přesto, že to tu je napsáno hned několikrát). Že kombinace dvou hesel délky N znaků poskytuje výrazně nižší bezpečnost (cca 50x nižžší pokud použiješ jen malé a velké písmena, při zahruntí čísel a znaků se to ještě zvyšuje) než jediné heslo délky N+1. Jestli Ty si pamatuješ dvě hesla délky 10 znaků, pak mně stačí pamatovat si jedno heslo délky 11 znaků a toto je nejméně 50x složitější uhodnout než ty Tvoje 2. Stačí v učebnici matematiky pro střední školy nalistovat kapitolu o variacích.

Ty jsi ten trouba, co používá 20 znaků z nichž je 9 díky Tvé pitomosti naprosto k ničemu. Jestli to ale stále nechápeš nic si z toho nedělej. Můžeš si myslet, že jsem nevychované hovado, co Ti hrubě nadává a s klidem na mě můžeš zapomenout.

[wire.64]

já to chápu. To ty jsi ten trouba co neumí odpovědět na jednoduchou otázku

ano souhlasím, že pro konstatní počet znaků X je nejbezpečnější varianta použití X znaků na jedno heslo! Ale ptal jsem se na to někde?

Když ty si můžeš pamatovat heslo o 11 znacích, já si klidně můžupamatovat 2 x 11. Když ty 12, já klidně 2x 12. Chápu ,že při 35 znacích už mi to začně dělat obtíže, ale takto otázka nestála. Ptal jsem se, na 2 hesla vs. jedno. Ty si to přiohýbáš jak se ti zlíbí a vybralsi jednu jedinou monost. Já si taky můžu vymyslet příklad, že 2 hesla o 10 znacích jsou bezpečnější než jedno heslo o 5 znacích, ale je to stejně k ničemu.

Moje představa o heslech je taková:

Local user - 8 znaků , login ssh povolen

Root - 12 znaků, login ssh zakázán

versus tvůj:

local sudoer - 12 znaků, login ssh povolen

Co je bezpečnější? Na to se ptám? V případě, že můj local user bude mít heslo také o 12 znacích, je to zcela nepochybně první varianta. Ale takhle?

[miro]

Vaše představa (za předpokladu, že v heslu je možných 62 znaků - velká a malá písmena a číslice) vám přinese (62^8 + 62^12)/62^12 = 1,00000006767578 násobné zlepšení bezpečnosti. To vám fakt stojí za to? :-O

[wire.64]

jak se ta bezpečnost měří? časem potřebným k prolomení?

[miro]

No, pokud se bavíme o brutal force útoku na přihlašovací heslo, tak mě jiná možnost nenapadá. Ono když vyzkoušíte, jak dlouho trvá odezva systému při zadání nesprávného hesla (to zpoždění je záměrné, aby útočníka zpomalilo a oprávněného uživatele, který se překlepnul v hesle moc neotravovalo), a dobu toho zdržení vynásobíte počtem možných variací hesla, asi zjistíte, že vám prakticky bude stačit heslo překvapivě krátké (a to i když započítáte variantu, kdy útočník útočí z více IP adres paralelně).

Situace se dramaticky změní, pokud se útočník dostane k /etc/shadow (pomíjím skutečnost, že pokud se k /etc/shadow dostal, tak už toho roota zpravidla tak jako tak má). Tam už útočníka ve zkoušení nic nezpomaluje a útočník může k prolomení hesla použít veškerý výpočetní výkon, který je schopen sehnat. Výše uvedený výpočet, myslím, dost jasně ukázal, že pokud útočník disponuje takovým výpočetním výkonem, aby v rozumném čase lousknul dvanáctiznakové heslo, tak jedno osmiznakové navíc ho zdrží naprosto neznatelně.

Vy nevíte ani zbla, jakým výpočetním výkonem útočník disponuje, snažíte se pouze nastavit svoje heslo tak, aby (pokud vám uklouzne /etc/shadow ) prolomení nezvládl v rozumné době, ani kdyby disponoval "hodně velkým" výpočetním výkonem. Když postavíte dvě desetiznaková hesla za sebou, zvýšíte odolnost dvojnásobně oproti jednomu desetiznakovému heslu, ale IMHO to nemá prakticky žádný smysl vzhledem k nepřesnosti představy o výpočetní síle útočníka. Dvě desetiznaková hesla zastaví toho útočníka, který jedno desetiznakové heslo zvládne v rozumném čase, ale dvě už ne. Kolik peněz byste byl ochoten vsadit, že "zakopnete" o útočníka právě s takovým výpočetním výkonem?

Jelikož si o útočníkových výpočetních možnostech můžete udělat tak nanejvýš řádovou představu, je IMHO nutné sílu hesla měnit taktéž v řádech. Takže buď svému dvanáctiznakovému heslu věřím, a pak je "janicka" naprosto zbytečná, nebo si myslím, že dvanáctiznakové heslo je málo, a pak prodloužím heslo třeba o tři znaky. Tím změním odolnost o pět řádů a na "janicku" se opět s naprostým klidem vykašlu. Máte samozřejmě pravdu v tom, že "janickou" se odolnost roota zlepší, ovšem natolik nepatrně (vzhledem k možnosti prodloužit heslo roota), že to IMHO nestojí za tu opičárnu se dvěma loginy a dvěma hesly (kolik času navíc to jen zabere...).

[wire.64]

A jak do toho vstupují další apekty? Brute force asi není jediný způsob. Existují i jiná rizika? Je vůbec něco, v čem je dvojitý účet lepší? Zajímají mě spíše realné, nikoli teoretické rizika.

[miro]

Nevím, nejsem bezpečnostní expert. Ale zatím jsem nenarazil na nic, co by mě přesvědčilo o tom, že su-ovat na roota přes běžného usera má nějakou opravdu jednoznačnou a hmatatelnou výhodu. Jediné, na co jsem narazil, byly argumenty z podstatné části už použité v této diskusi - tedy, že útočník nemůže roota vůbec dostat pomocí ssh root@**** (jakoby to bylo nějak výrazně jednodušší, pokud má root kvalitní heslo nebo pokud používá klíče), nebo že dvě desetiznaková hesla jsou dvakrát (!!!) odolnější než jedno. Ale proč bych vám to předžvýkával, můžete si udělat obrázek tady, tady nebo tady (pozor, některé diskuse jsou opravdu jen pro silné žaludky!).

[Chulda]

Pro me je to zajimavejsi jen v tom, ze vim, kdo se jako root prihlasil (je tu vice spravcu a ne vzdy se vsichni prihlasuji ze svych stanic)

[xkucf03]

Používáš logování na vzdálený server? Protože pokud ne, tak je to jenom tak pro srandu – jako root ty záznamy v lokálním logu může upravit jak chce.

[Chulda]

Pouzivam - to je snad samozrejme.

[xkucf03]

Navíc když někdo uhodne tvoje uživatelské heslo, tak ti změní alias pro su na nějaký prográmek, který tě sice přihlásí na roota, ale současně jeho heslo odešle útočníkovi. Takže jsou nakonec vyzrazena obě hesla prakticky stejně rychle. A jak často si kontroluješ aliasy?

[wire.64]

takže pokud to chápu správně, vzdálené přihlášení přes ssh povolit pouze velmi omezenémupočtu osob, nejlépe jedné, s velmi silným heslem. A je úplně jedno jestli má superuživatelské možnosti nebo ne.

[wire.64]

na ostatní usery se pak můžu přepínat pomocí su

[miro]

To asi hodně záleží na tom, k čemu ten váš server vlastně je. Někomu stačí přístup pouze pro roota (server poskytuje pouze takové služby, k jejichž využívání uživatelé shell nepotřebují), někdo třeba z podstaty věci potřebuje ssh přístup pro každého. Pokud dáte uživatelský shell "každému, kdo projde kolem", asi budete muset věnovat zvýšené úsilí k zabezpečení roota před útoky z lokálních účtů (ty jsou samozřejmě většinou o dost nebezpečnější než když někdo zkouší nazdařbůh lámat zvenku roota). Pokud je ssh určeno pouze ke správcovským zásahům, pak je hlavně důležité, aby osoba, která ten přístup má, měla určitou úroveň IT gramotnosti (a abych se mohl spolehnout na to, že tu gramotnost má). To nutně neznamená, že má čtyřiašedesátiznakové heslo, které obměňuje každý týden. Ale heslo nebude "tajne" - ani ne tak proto, že bych to nějak kontroloval, ale prostě vím, že člověk, kterému chci dát roota, je natolik na výši, že by to prostě neudělal (a pak asi ani nebudu kontrolovat, jakouže to má délku hesla). A taky třeba vím to, že ten člověk nepřijde do první internetové kavárny na rohu a nenatáhne si do cizí mašiny (nejlépe s bezdrátovou klávesnicí) cygwin, aby se mohl vesele esesháčknout na roota na mém serveru. Pokud je tohle někdo schopen udělat, může mít heslo jakkoli silné, a není to k ničemu. Požadavek na nějakou úroveň IT gramotnosti u každého, kdo má přístup k shellu (i ne-rootovskému) samozřejmě není od věci, otázka je, jestli si to člověk může v konkrétní situaci beze zbytku dovolit.

[xkucf03]

 

A taky třeba vím to, že ten člověk nepřijde do první internetové kavárny na rohu a nenatáhne si do cizí mašiny (nejlépe s bezdrátovou klávesnicí) cygwin, aby se mohl vesele esesháčknout na roota na mém serveru.

Njn, člověk s sebou musí tahat notebook a dávat si pozor na known_hosts.

 

[xkucf03]

A co takhle ukončit flame, každý ať má hesel kolik chce a komu nehacknou server, ten vyhrál?

Na některých strojích mám jedno heslo (sudo / sudo -s -H)  a na jiných dvě. Když se budu hodně snažit, tak vymyslím tyhle dvě výhody dvou hesel:

• rootovské zadáváš méně často, což snižuje pravděpodobnost odposlechutí odchatávačem klávesnice
• při naboření počítače můžeš odhalit útok ve chvíli, kdy ti útočník prolomil uživatelské heslo, ale ještě nemá rootovské, takže ho zastavíš, ještě než stihl napáchat tolik škody.

Pak je tu teoretická výhoda, že uživatelské heslo můžeš mít kratší, což je pohodlnější a rootovské bude super bezpečné, ale to mi nepřijde dobré: pokud mi někdo naboří* uživatelský účet, může mi smazat/ukrást fotky, dokumenty, programyp**…, což by mě štvalo víc, než kdyby mi smazal/ukradl třeba /etc. To platí hlavně pro desktop, server ani moc ne.

*) pokud by můj notebook umožňoval vzdálený přístup, jakože neumožňuje.
**) programy vlastně ne: „Only wimps use tape backup: real men just upload their important stuff on FTP, and let the rest of the world mirror it“

[xkucf03]

Tvá důvěra v něj a důvěra ve festovnost ověřování identity pomocí klíčů se dá docela úspěně naivitou titulovat.

Když nevíš, kdo to používá, tak nekritizuj Dobře nastaveným iptables věřím (zahazuje všechno kromě veřejně povolených služeb – což SSH není) a na tom jednom stroji, kam je firewallem povolený přístup na 22, mají přístup v AllowUsers jen lidi, kterým můžu věřit (2-3 lidi), že se jejich SSH klíč nepovaluje jen tak někde.

Dvě hesla nejsou bezpečnější než jedno.

Však jsem taky psal, že pokud je jedno heslo „janicka“ a druhé „tajne“, tak to už je lepší jendo pořádné heslo. Ale možná by se nějaká ta výhoda stejně našla: tím, že je útok dvoufázový (uhodnout heslo uživatele a uhodnout heslo roota), je šance, že útočníka odhalíš ve fázi, kdy ti naboural obyčejný účet a je relativně neškodný.

BTW: nezkoušeli jste někdo nechat si hacknout stroj (třeba virtuální) a pak pozorovat, co útočník dělá, jaké nástroje používá…? IMHO by to byl celkem zajímavý pokus Chtělo by to na firewallu na síti zablokovat SMTP, aby člověk nebyl za spammera a ochránit zbytek vnitřní sítě a pak vymyslet nějaké sledování, abych viděl, co přesně dělal (něco víc, než historie bashe, která se dá smazat).

[wire.64]

tak mě napadá. jak znemožním výpis uživatel pomocí

cat /etc/passwd

když znemožním komukoli, kromě roota tenhle soubor číst, stanese něco? A bude pak pro útočníka co ovládl běžný účet tento soubor nečitelný?

[Aleš Kapica]

A čeho tím jako dosáhneš? Z tohoto souboru se maximálně dozví jací uživatelé v systému jsou a to je asi tak vše. Ovšem ve chvíli kdy ti čte tento soubor už je stejně pozdě, protože má lokálního uživatele.

[wire.64]

já uvažoval nad tím případem, že útočník nezná užvatelské jméno administrátora, pokud je root zablokován. Pokud si ho ale pčete ve zmíněném souboru, tak je tento argument k ničemu.

[xkucf03]

Argument k ničemu je to tak jako tak – protože se nemůžeš spoléhat, že se utají.
Proto se taky heslo schovává za hvězdičky, zatímco jméno ne.

[wire.64]

takže v čem je výhoda zablokovaného účtu root v ubuntu server?

(poučky, že je to ochrana před idiotem administrátorem mě nezajímají)

[Aleš Kapica]

V čem? V tom že si troubové a sklerotici nemusí pamatovat dvě hesla, ale jenom jedno. A jak už jsem napsal, root není zablokovaný, maximálně může mít zakázané vzdálené přihlašování. Pokud si spustíš sudo -s -H tak jsi normální root a můžeš si pak nastavit heslo jaké chceš.

[xkucf03]

Výhodou je zákaz přihlášení roota na SSH a přímé přihlášení na konsoli, ale jinak se mi přístup ubuntu moc nelíbí – obcházím ho pomocí sudo bash, pak pracují v rootovském shellu.

[miro]

A jak si ten soubor přečte, když nemá na stroji žádný účet (ten teprve musí získat)?

[xkucf03]

Víš proč je seznam hesel v jiném souboru než seznam uživatelů?

[wire.64]

na to jsem se přece neptal. Ptám se na situaci, kdy může de-facto přečíst, jaké je jméno uživateles administrátorskými právy (když je root zablokován)

[Aleš Kapica]

Když používáš sudo, tak by musel být jasnovidec aby uhádnul, který z těch uživatelů by ev. mohl disponovat uživatelskými právy. Je to stejné, jako by se pokoušel uhádnou heslo roota. Pár pokusů a je na blacklistě. A jak už jsem jednou napsal. Může-li tento soubor číst, tak už stejně nějaký uživatelský účet má a to mu stačí na to aby si mohl dělat co chce.

[wire.64]

pokud je těch lokálních uživatel málo, třeba méně než 5, tak to není žádný problém. La že bychsi vyrobil 1000 maskovacíxh loginů

[Michal Vyskočil]

Když používáš sudo, tak by musel být jasnovidec aby uhádnul, který z těch uživatelů by ev. mohl disponovat uživatelskými právy.

grep wheel /etc/group?

Teda aspoň tuším, že takto to je ve výchozím stavu v Ubuntu. Jinde je to bez sudoers těžší.

[Shadow]

Já jsem zprovoznil jeden pěkný hack, kdy se na server dalo přihlásit tak, že jsem si mohl vyžádat SMS s jednorázovým heslem, které jsem pak mohl použít pro přihlášení. Tohle přihlašování jsem sice zrušil, ale jako zadní vrátka pro případ nouze se mi to zdálo jako poměrně slušné řešení.

[wire.64]

to by bylo v prdeli, kdyby mel tehdy T-Mobile

[xkucf03]

Tak bych udělal heslo ze dvou částí: jedna pořád stejná, tu by si uživatel musel pamatovat, a druhá jednorázová, ta by se posílala SMSkou.

[xkucf03]

Pěkné (Skoro jako přihlašování na můj bankovní účet, akorát tam jsou ty smsky ještě šifrované). Na to sis psal nějaký vlastní PAM modul, nebo už je něco hotového?

A nezkoušel jsi zkombinovat hesla a klíče? Že by se uživatel přihlásil SSH klíčem a pak musel ještě zadat heslo. Protože jak tu jeden anonym (celkem správně) poznamenal, u klíčů leží ta bezpečnost víc na uživateli, jako frázi si může dát cokoli nebo i nic – to u hesel může správce hlídat alespoň nějaké parametry, složitost. Na druhou stranu: jakkoli složitá hesla si uživatel může poznamenat do wordovského dokumentu na ploše, nebo na papírek na monitoru (pokročilejší uživatelé tužkou zespodu na klávesnici). Nakonec mi to přijde oboje jako z bláta do louže, protože nejslabším článkem řetězu je uživatel a pokud je pako, nepomůže ani ta nejlepší technologie.

[Ondrej 'SanTiago' Zajicek]

> u klíčů leží ta bezpečnost víc na uživateli, jako frázi si může dát cokoli nebo i nic

Coz ale vubec nevadi. Pokud mam privatni klic nehlidany passphrazi, tak se k nemu normalne nikdo nedostane. A pokud se k nemu nekdo dostane (napr. hackne stroj, ze ktereho se uzivatel prihlasuje), tak obvykle muze uz rovnou podstrcit upraveneho ssh klienta logujiciho hesla.

[Shadow]

Pěkné (Skoro jako přihlašování na můj bankovní účet, akorát tam jsou ty smsky ještě šifrované).

Také jsem míval takovou banku.

Na to sis psal nějaký vlastní PAM modul, nebo už je něco hotového?

Slepil jsem dohromady libpam-opie opie-server opie-client s PHP aplikací a BASH skriptem, takže se na požádání vygenerovalo jednorázové heslo, které se následně odeslalo jako SMS. Ano, je to špinavé a zcela nesystémové řešení, což byl jeden z důvodů, proč jsem to přestal používat.

Nakonec mi to přijde oboje jako z bláta do louže, protože nejslabším článkem řetězu je uživatel a pokud je pako, nepomůže ani ta nejlepší technologie.

To je pravda. Já se snažím brát bezpečnost vážně, ale stejně tak se to s ní snažím úplně nepřehánět, tedy z hlediska počtu a "šílenosti" bezpečnostních opatření. Ono lze vymyslet ledacos více či méně šíleného, co ale v praxi pouze postatně zvýší komplexitu a možnost "vlastního gólu" (aneb DoS), zatímco bezpečnost to nijak výrazně neovlivní. A nakonec je to opravdu jen o uživatelích/adminech a jejich zvyklostech.

[pht]

Složité heslo napsané na lístku je někdy lepší než blbé heslo bez lístku.

[xkucf03]

To záleží na tom, z které strany čekáš útočníka

A taky na tom, co považuješ za blbé heslo – co třeba jana01? Pro mne je to blbé heslo, ale jak dlouho ho budeš online lámat, když systém bude čekat vteřinu* při každém zadání hesla? Oproti tomu heslo na papírku si úplně zadarmo přečte škodolibý kolega, uklízečka, nebo ochrankář…

To už je lepší si psát hesla do nějaké klíčenky – třeba KeePass je i pro mobily (java), nebo některé mobily mají trezor na hesla.

*) nebo třeba tři po chybném zadání.

[Filip Jirsák]

A taky na tom, co považuješ za blbé heslo – co třeba jana01? Pro mne je to blbé heslo, ale jak dlouho ho budeš online lámat, když systém bude čekat vteřinu* při každém zadání hesla?

Pokud to bude vázáno na IP adresu, tak to nějaký botnet asi moc nerozhodí. Pokud bude rozestup jedna sekunda ať je další pokus z jakékoli IP adresy, přeju hodně štěstí při pokusu přihlásit se -- musí se vám to podařit rychleji, než přístup zamkne další pokus útočníka. Není nad to připravit pro DoS útok dobré podmínky, aby se útočník ani nemusel moc snažit...

[xkucf03]

 

Není nad to připravit pro DoS útok dobré podmínky

Jo, tohle je problém. Buď můžeme předpokládat uzavřené prostředí (omezený počet IP adres) a nebo prodlevy vázat jen na danou IP adresu (aby se předešlo DDoSu), ale postupně je zvyšovat při opakovaných chybných heslech třeba až na 20-30 minut - pokud uživatel zadá heslo třeba pětkrát špatně, tak si holt počká, nebo zavolá na technickou podporu a situaci vysvětlí. Plus můžeme přidat nějaké IDS.

 

[pht]

Ono to heslo třeba může být na firemní e-mailovou schránku na seznamu, kde je mi někde, jestli kolega něco čte a/nebo k tomu mají všichni rovnocenný přístup. Proto jsem tam dal to slovo někdy.