Dotaz: Uzivatel se stejnymi pravy jako root

[toxin]

Ahoj. Chtel bych vytvorit uzivatele, ktery by mel totozna prava s rootem. Jak na to?

Odpovědi

[geon]

nedávno to tu bylo: http://www.abclinuxu.cz/forum/show/197907

[toxin]

Aha. Diky :). Priste budu lepe hledat.

[kozzi]

Nechapu k cemu by to melo jako bejt, takovej uzivatel neni prece potreba. K cemu to potrebujes.

[toxin]

Potrebuji nekomu docasne udelit plná pristupova prava k systemu. Pote uzivatele smazu.

[Limoto]

Tak proč mu nepůjčíš roota? Vždyť to vyjde na stejno!

[Luboš Doležel (Doli)]

Jakmile někomu dáte rootovské oprávnění, jediné bezpečné smazání uživatele je smazání/přeinstalace celého systému, protože jej mohl modifikovat pro své potřeby (např. aby mohl nabýt rootovského oprávnění kdykoliv později).

[kozzi]

no tak pouzij sudo , jinak opravdu nekdo jinej potrebuje vsechna prava?

[Ondroid]

Když bude chtít tak už nemáš šanci se ho zbavit a následné vymazání toho uživatele (root2) je pro kočku. Jestli někdo zlej měl jednou roota zbavíš se ho s jistotou jedině přeinstalováním systému. Proto nemá vůbec smysl dělat nějakého roota2.

[toxin]

Chcete mi rict, ze kdyz smazu uzivatele root2 a pak zmenim heslo pro roota, ze jsem nejak ohrozen? Jedine co me napada je instalace nejakeho sw - treba keyloggeru, atd... No urcite mate pravdu. Je to asi blbost. Ja jsem zacatecnik a potrebuji rychle docilit toho, aby uzivatel mohl spustit jakykoli skript + aby mohl restartovat nektere konkretni sluzby. Musim mit stoprocentni jistotu, ze to pojede. Pokud ne tak je to otazka velke ztraty penez. Projekt - splneni smluvnich podminek, atd...

[kozzi]

No vsak na toto existuje prave sudo proste jim nastavis pristup jen na ty veci ktery opravdu potrebuji, ale urcite ne do celeho systemu.

[Ondroid]

Chcete mi rict, ze kdyz smazu uzivatele root2 a pak zmenim heslo pro roota, ze jsem nejak ohrozen?

Ano přesně to chci říct. Prostě root2 si mohl zajistit zadní vrátka a ty jako root je s naprostou jistotou zlikviduješ jedině reinstalací všeho nebo prostě uvedením všeho do stavu než do toho mohl zasahovat root2. Třeba z bezpečné zálohy která byla mimo dosah root2.

[toxin]

Aha. No priste budu chytrejsi. No ja to potrebuji vyresit do zitra takze dnes uz nad tim nebudu laborovat. Prave jsem udelal ghostem image celeho disku a zitra po akceptaci dila to preliznu zpatky :). Priste tedy Sudo :)...

[Ondroid]

Sudo a povolení jen toho co ten uživatel potřebuje je určitě lepší řešení. Ještě mě napadlo - aby to bylo úplně dokonalé co do bezpečnosti, po obnovení ze zálohy změnit hesla. Root2 měl totiž přístup k /etc/shadow kde se nachází heše hesel. Pokud by byl hodně zlej, okopíroval by si /etc/shadow a snažil by se to louskat a pak zneužít.

[Michal Kubeček]

Pokud by byl hodně zlej, okopíroval by si /etc/shadow a snažil by se to louskat a pak zneužít.

Při aspoň trochu rozumném nastavení a volbě hesla by mu to i při znalosti hashe trvalo pár let. Počkat si, až se přihlásí, a odsniffovat mu to heslo by bylo podstatně jednodušší.

[Ash]

Heslo, které při znalosti hashe nelze zbruteforcovat dřív, než za několik let, to není "alespoň trochu rozumné heslo", ale to je "velmi rozumné heslo". Hesel může být v systému také víc, risk je prozrazení libovolného z nich. Takže by bylo asi férovější říct:

Při velmi rozumném nastavení a volbě všech hesel by mu to i při znalosti hashů trvalo pár let. Počkat si, až se přihlásí, a odsniffovat mu to heslo by bylo podstatně jednodušší.

...z čehož je lépe vidět, že se pohybujete v oblasti teorie.

Některé vaše příspěvky jsou rozumné, ale někdy si vyloženě říkám "o co mu de?". Jako chtěl tím říct, že prozrazení hashí není bezpečnostní riziko, protože stačí mít "trochu rozumná hesla"? Nebo co tím jako chtěl ten člověk proboha vyjádřit?

[Michal Kubeček]

O co mi jde? Upozornit přesně na to, co jsem napsal: že když někoho na svůj systém pustíte s právy roota, není útok hrubou silou na hash hesla zdaleka jediným způsobem, jak se k němu může dostat, a hlavně že většinou není ani zdaleka ne tím nejjednodušším nebo nejefektivnějším.

[Ondroid]

Aby sme se do toho moc nezamotali. Útok na hashe jsem zmínil pro situaci:

Pustili sme si do systému cizího roota, potom jsme systém obnovili z bezpečné zálohy do stavu v jakém byl před příchodem cizího roota. Ten cizí root tím pádem zná hashe hesel (hesla jsme nechali) ale backdoory keylogery a podobnou verbež jsme vyloučili. Po dobu co byl ten cizinec rootem v našem systému si mohl hesla snifovat. Co neodsnifoval bude se snažit rozlousknout z hešů. To je ale přece jen o důvod víc ty hesla po obnově z té zálohy změnit !

[Michal Kubeček]

Ale jistě, já samozřejmě netvrdím, že možnost si dodatečně v klidu louskat zkopírované hashe je z bezpečnostního hlediska nezajímavá. Jen jsem chtěl upozornit, že během té doby, co bude mít práva roota, může dělat i spoustu dalších věcí, které mu často umožní docílit stejného výsledku s vynaložením menší námahy.

[Ondroid]

Co když má k dispozici nějakou síť zombii a z ní distribuovaný výkon o několik řádů výš než jedno nadupaný PC. Pak by ten čas byl o hodně kratší než roky.

[Josef Kufner]

Jo, to je celkem rozumné. Kdyžtak ještě před obnovou bys mohl udělat rozdíl těch dvou obrazů a uvidíš, zda to byl hodný nebo zlý root

[cronin]

Nechapu k cemu by to melo jako bejt, takovej uzivatel neni prece potreba.

No, že ho nepotrebuješ Ty, ešte neznamená, že "takovej uzivatel neni prece potreba". V niektorých systémoch je dokonca taký používateľ defaultne vytvorený. Ak Ti nestačí odpoveď z Wikipédie, odporúčam Ti prehľadať archív českej konferencie FreeBSD, kde nájdeš dlhý mail od Dana Lukeša, ktorý dosť podorobne vysvetľuje "best practices" použitia viacerých UID 0 účtov.

[Jan Drábek]

Sudo nestačí?