🚀 go-pugleaf

On 2024-11-29, Kazik Kaz <kazik.kaz@no.email> wrote:
> Dzień dobry,
>
> W każdym podręczniku czy też zaleceniach napisanych przez 
> "bezpieczniaka" - jak się wydaje nie będącego nigdy administratorem 
> systemu jest wymaganie, aby nie można było się logować na konto root 
> bezpośrednio. Oczywiście magia działa i pozostaje wtedy czarodziejskie 
> sudo i powielanie bezmyślnie jakichś "leninowskich" idei.
>
> Po zastanowieniu się, można dojść do wniosku, że to nie ma głębszego 
> sensu, bo podczas sudo należy przecież podać hasło uprawnionego 
> użytkownika.
>
> Zatem, jeśli w systemie jest dwóch albo i więcej uprawnionych do sudo 
> użytkowników (np. w firmie 24h na 3 zmiany) to prawdopodobieństwo 
> atakującego wzrasta proporcjonalnie do liczby uprawnionych, dając mu 
> tyle razy większe szanse przechwycenia hasła uprawnionego administratora 
> ilu uprawnionych np. poprzez jakąkolwiek inwigilację któregokolwiek z nich.
>
> Np. konsola serwera (ta "namacalna") z reguły jest fizycznie w 
> wydzielonym pomieszczeniu, więc jakiś tam Myhyta albo Grigorij nie ma 
> tam dostępu - zatem pozostaje problemem dostęp zdalny. Dostęp zdalny 
> może zabezpieczyć klucz SSH, który aby pozyskać, ale należy "wzbogacić" 
> o hasło, bo inaczej nie ma żadnej wartości.
>
> Więc jakie tego sens?
> Czy widzicie jakiś za i przeciw takiemu postępowaniu?

Nie widzę większego sensu w używaniu sudo jeśli jest 2ch lub więcej 
administratorów (doświadczonych) z pełnym prawem dostępu. Sens może być, 
jeśli mamy konieczność wykonywania tylko wybranych poleceń, przez 
wybranych użytkowników, na prawach roota.

Widzę też pewien sens dla początkujących użytkowników (administratorów), 
gdzie MZ istnieje dużo większe prawdopodobieństwo, że taki użytkownik 
działając na powłoce z pełnym dostępem, w którymś momencie się zapomni i 
narobi szkód. Praktyka "sudo polecenie + hasło*" z nieuprzywilejowanego 
konta, daje w takim wypadku okazję aby się ewentualnie zreflektować.

*) a jak za jakiś czas osiągnie etap ALL=(ALL) NOPASSWD: ALL to może już 
wystarczająco czaić, choć pewnie różnie z tym bywa.

-- 
Marcin