|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : damir bikmuhametov 2:5020/400 19 Dec 2005 19:18:31
To : Alexander Anistratenko
Subject : Re: telnet root
--------------------------------------------------------------------------------
Hello, Alexander!
You wrote to Valentin Nechayev on Mon, 19 Dec 2005 16:34:32 +0300:
отвечаю всем сразу =)
1. почему-то все, как будто сговорившись, решили, что r_vasya - это
единственный логин, который есть у васи на серверах. это не так. если мне
нужен рутовый доступ - я иду ssh r_vasya@host, если нужен обычный - ssh
vasya@host (или ssh r_vasya@host; su vasya)
2. входы r_васи отлично протоколируются syslog'ом, история телодвижений
r_васи пишется в ~r_vasya/.bash_history. если есть опасения, что вася
подотрет за собой историю - значит этому васе просто нечего делать среди
админов.
3. философия насчет su/sudo есть, и очень простая - "suid - mustdie".
4. в owl суидных бинарников ровно три - su (хехе), ping и traceroute.
остальные 12 - sgid, причем группы там не wheel. да, полумера. но,
во-первых, все suid/sgid бинарники были подвергнуты аудиту, а во-вторых, у
owl кроме первичной цели (security) есть еще и вторичная - обеспечение
максимальной совместимости с rhel/fc, в том числе и бинарной.
теперь netch'у. да, на данный момент о уязвимостях в su, которые не были бы
поправлены ... ну... 3 года назад, мне неизвестно. тут вы меня поймали. =)
про sshd в общем тоже согласен. видимо, как кому удобнее, так тот и
поступает. а вот про историю версии системы без suid/sgid хотелось бы
послушать.
AA> Ещё раз. Если человек считает, что непрерывная работа в шелле
AA> рутом не опаснее, чем использование sudo - значит, он ещё
AA> ни разу не наступал на грабли, которые тут уже перечисляли
AA> неоднократно
александр, отмотайте тред назад. я не предлагал выполнять пользовательские
задачи рутом. более того, это очень опасно (нет, не потому что можно что-то
там снести). я просто предложил альтернативный вариант входа рута на машину,
который считаю ничуть не хуже, чем классический.
хотелось бы все-таки услышать перечисление граблей. очень заинтересовал этот
вопрос. про случайно вытертые файлы не надо. разницы, как я их вытер -
никакой.
AA> Если он считает, что никогда в жизни не ошибётся - флаг ему
AA> в руки и паровоз навстречу.
откуда столько агрессии? я вам на больную мозоль что ли наступил?
With best regards, damir bikmuhametov.
--- ifmail v.2.15dev5.3
* Origin: OOO BIS (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
