История изменений

Столяров, конечно, много правильного говорит, но конкретно тут у него с логикой проблема:

Если удалённый доступ, то ssh root@remote-host, только следует при этом понимать, что тот аккаунт, под которым вы работаете на своей рабочей станции и из-под которого делаете этот вот ssh root@somewhere, охранять надо аки зеницу ока, уж во всяком случае браузеры под ним гонять нельзя совершенно точно.

Если скомпрометирована локальная учётка, то разницы ssh user@remote -c "ssh root@localhost" и ssh root@remote никакой нет. У тебя, что ввод с клавиатуры увели, что ключ использованный перехватили.
Если локальная не скомпрометирована, то откуда у злоумышленника доступ к удалённой? Если он тебе «туда» подложил что-то, то та машина уже скомпрометирована, и там уже всё сломано, что хотели сломать, это раз, а два — если под тобой что-то делали, ты, хотя бы косвенно, или по логам sudo сможешь понять что было что-то без тебя. А вот если вы всей командой под рутом ходите, то следить за этим сложно. «ласт логин тогда-то я не делал, наверное, коллега», «эти команды я не вводил — наверное, коллега». Да и под рутом все следы замести легче, чем если у тебя тольо sudo/pkexec есть.

Правильная система — где рутовый шел открыть не может ни кто и никогда, кроме как для rescue mode. Надо 10 команд «от рута» выполнить — делай 10 раз $ sudo …. Естественно, никакого ALL=(ALL:ALL) ALL в sudoers быть не должно.

Столяров, конечно, много правильного говорит, но конкретно тут у него с логикой проблема:

Если удалённый доступ, то ssh root@remote-host, только следует при этом понимать, что тот аккаунт, под которым вы работаете на своей рабочей станции и из-под которого делаете этот вот ssh root@somewhere, охранять надо аки зеницу ока, уж во всяком случае браузеры под ним гонять нельзя совершенно точно.

Если скомпрометирована локальная учётка, то разницы ssh user@remote -c "ssh root@localhost" и ssh root@remote никакой нет. У тебя, что ввод с клавиатуры увели, что ключ использованный перехватили.
Если локальная не скомпрометирована, то откуда у злоумышленника доступ к удалённой? Если он тебе «туда» подложил что-то, то та машина уже скомпрометирована, и там уже всё сломано, что хотели сломать, это раз, а два — если под тобой что-то делали, ты, хотя бы косвенно, или по логам sudo сможешь понять что было что-то без тебя. А вот если вы всей командой под рутом ходите, то следить за этим сложно. «ласт логин тогда-то я не делал, наверное, коллега», «эти команды я не вводил — наверное, коллега». Да и под рутом все следы замести легче, чем если у тебя тольо sudo/pkexec есть.

Правильная система, где рутовый шел открыть не может ни кто и никогда, кроме как для rescue mode. Надо 10 команд «от рута» выполнить — делай 10 раз $ sudo …. Естественно, никакого ALL=(ALL:ALL) ALL в sudoers быть не должно.