Forum Debian Users Gang

Sudo jak to sudo, ma swoje wady. Ale jeżeli masz repozytoria security, a powinieneś je mieć, to paczka od rana jest załatana w Debianie 9/10.

CVE-2019-14287

Trzeba sprawdzić, czy łata działa.

Na logikę wydaje mi się, że jak nie używasz sudo i siedzisz w konsoli na roocie, to gdy odejdziesz od swojego systemu ktoś obcy może mieć dostęp do twojego konta root, czyli do wszystkiego. Oczywiście jak ma fizyczny dostęp, gdy mieszkasz w akademiku itp. Z sudo jest lepiej dlatego, że musisz hasłem potwierdzić. W niektórych dystrybucjach jednak jest tak, że gdy użyjesz raz sudo to jeszcze przez kilka minut możesz wpisać sudo su i wchodzisz na roota, mają tak standardowo skonfigurowane sudo. Dopiero po kilku minutach sudo su ponownie zapyta o hasło. Jest to bardzo wygodne, ale mało rozsądne pod względem bezpieczeństwa.

Dokładnie tak jak piszesz, dlatego ja też instaluje sudo.

morfik napisał(-a):

A i tu macie jeszcze ograniczenie SU do określonego user'a w systemie, tak jakby ktoś narzekał że każdy może z su korzystać — no to nie może. xD

O, to jest bardzo ciekawe. Nie wiedziałem że tak się da. Żeby jednak miało to jakiś sens, to trzeba by wyłączyć możliwość zalogowania się na konto roota, a nie jestem do końca przekonany, czy to dobry pomysł.

Ostatnio edytowany przez blind (2019-10-15 18:16:00)

morfik napisał(-a):

Przecie jak chcesz ograniczyć ludziom logowanie się na konto root, to nie możesz wyłączyć logowania się na root — to chyba się wzajemnie wyklucza.... xD

No dobra, to jaki jest sens w ograniczaniu dostępności komendy su, skoro aby z niej skorzystać trzeba znać hasło, a znając hasło możemy się po prostu zalogować na dane konto bez korzystania z su? :)

Tu chodzi raczej o to, że jak ktoś ma fizyczny dostęp do kompa i zna hasło root, to może np. z poziomu TTY się zalogować bezpośrednio na root podając hasło. No może. Ale co z systemami, gdzie masz np. zdalny dostęp via SSH? Rzadko kto daje możliwość logowania się bezpośrednio root'owi via SSH, więc w takim przypadku jakiś inny user się musi zalogować w systemie, a dopiero potem próbować zalogować na root i tu wchodzi ograniczenie do tych user'ów, którzy mogą to robić.

Kiedyś było jeszcze /etc/securetty [1] , które dawało możliwość określenia gdzie root może logować się bezpośrednio. Ale tego pliku już w debianie nie ma, bo odeszli do tego mechanizmu ostatnio. Ale dawał on możliwość wyłączenia logowania się root nawet na TTY. I wtedy mając dostęp fizyczny i znając hasło root nie miałbyś możliwości się bezpośrednio zalogować w systemie. xD

[1]: https://manpages.debian.org/unstable/manpages/securetty.5.en.html

Ostatnio edytowany przez morfik (2019-10-15 21:02:42)