Кривые руки подрывают безопасность.

Без пароля - конечно подрывает.

На серваке лучше его не держать.

Наше мнение по этому поводу - что мы тебя уже банили. Возможно, не один раз.

Ты меня с кем-то перепутал

Особенно вкупе с группой wheel.

Вся проблема не в sudo, а в кривом админе.

А регулярный ввод пароля, разве не подрывает безопасность?

Если вводишь пароль внутри иксов — безопасность ровно та же, что и без пароля.

А вот сам подумай. В случае с su негодяю нужно угадать пароли юзера и root, а в случае с sudo достаточно только пароля юзера.

нужно угадать пароли юзера и root

Совсем поехавший? Зачем угадывать пароль юзера, если ты знаешь пароль root?

Может у него вход от рута запрещён.

регулярный ввод пароля, разве не подрывает безопасность?

Нет, а в чём проблема? Про варианты «можно подсмотреть/украсть/перехватить» можешь не рассказывать, т.к. в таком случае проще напрямую использовать уязвимость, чем морочиться с добыванием пароля.

пароль внутри иксов — безопасность ровно та же, что и без пароля

А почему бы тогда просто не ломануть иксы, ведь они работают от рута?

Использование компьютеров подрывает безопасность.

Использование Интернета подрывает безопасность

Очевидный фикс

Речь про удаленный логин, не? Тогда надо оба пароля.
А если есть физический доступ к компу, никакие пароли не помогут.

Речь про удаленный логин, не? Тогда надо оба пароля.

Удалённый логин по паролю? И эти люди рассуждают про безопасность.

Ну, можно фс зашифровать и поставить пароль на загрузчик.

Давно хотел спросить чем же ключ безопаснее пароля? По мне так наоборот: флешку с ключем можно потерять, а против пароля только паяльник...
Или такой вариант: локалхост с которого ходят на удаленные сервера. В случае ключей (если они лежат в хомяке у юзера) достаточно получить доступ к этому локалхосту... С паролями, учитывая что они еще и разные, такое не прокатит.

бред сивой кобылы, sudo как раз позволяет гибко настроить права, во отличие от su

А почему бы тогда просто не ломануть иксы, ведь они работают от рута?

Иксы от рута только у криворуких работают. Тем не менее иксы позволяют перехватывать нажатия клавиш, а shell-ы позволяют подсунуть alias вместо sudo.

Таким образом, твой пароль может увести любая программа которую ты запустишь. Может даже не сама, а например через уязвимость. Например при открытии специального сформированного файла котики.jpg твоим любимым вьювером и не запертым в изолированный контейнер. Так, что я например не считаю ввод пароля из пользовательского сеанса безопасным.

Или такой вариант: локалхост с которого ходят на удаленные сервера. В случае ключей (если они лежат в хомяке у юзера) достаточно получить доступ к этому локалхосту...

Ключи должны быть под паролем, пользоваться ключами нужно через агента. Агент расшифровывает ключи единожды например одновременно с pam авторизацией и далее никому их не даёт, а производит работы по шифр/дешифр самостоятельно. Таким образом кража ключей еще и не конец.

Тем не менее иксы позволяют перехватывать нажатия клавиш

Для этого тебе нужно зайти от имени пользователя, т.е. пароль юзера тебе уже известен.

Может даже не сама, а например через уязвимость

Повторю специально для тебя - есть есть уязвимость, то пароль не нужен.

Так, что я например не считаю ввод пароля из пользовательского сеанса безопасным

Отлично, значит su ещё опаснее, т.к. сразу позволит узнать пароль рута.

чем же ключ безопаснее пароля

Тем что пароль можно подобрать. Только не рассказывай мне что ты запоминаешь все 100500 паролей вида a'cWznOAi1-932&^ от всех машин куда ты логинишься.

Иксы от рута только у криворуких работают. Тем не менее иксы позволяют перехватывать нажатия клавиш, а shell-ы позволяют подсунуть alias вместо sudo.

Давай подробности как удалось этого добиться в эту тему:
Rootless Xorg в Ubuntu

Для этого тебе нужно зайти от имени пользователя, т.е. пароль юзера тебе уже известен.
Повторю специально для тебя - есть есть уязвимость, то пароль не нужен.

Специально для тебя. Уязвимости бывают разного типа, например, которые позволяют прямо поднять привилегии как DirtyCOW или те которые выполняют произвольный код при обработке некоторых данных. Я говорю про второй тип. Ты открыл котиков. А они тебе подкинули alias sudo='fakesudo' в .bashrc, через час ты запускаешь sudo вводишь пароль, считая, что это безопасно, но это уже не так. И вот теперь да, пароль уже не нужен.

Достаточно сложная программа с suid битом? Да, теоретически уменьшает.

А они тебе подкинули alias sudo='fakesudo' в .bashrc, через час ты запускаешь sudo вводишь пароль, считая, что это безопасно, но это уже не так. И вот теперь да, пароль уже не нужен.

Ок, во-первых alias su='fakesu'. Дело в том, что если тебе НУЖНО запускать команды от рута, то su или sudo тебе необходимы. Само по себе использование sudo в таком сценарии ничем не подрывает безопасность.

Во-вторых, именно «те которые выполняют произвольный код при обработке некоторых данных» я и имел в виду. Зачем получать пароль , если можно сделать всё что нужно, от имени того, кого нужно и без пароля, взломав соответствующий сервис?

Само по себе использование sudo в таком сценарии ничем не подрывает безопасность.

Практически любое возможное повышение привилегий подрывает безопасность. Безопасно может быть только понижение.

Дело в том, что если тебе НУЖНО запускать команды от рута, то su или sudo тебе необходимы.

Не необходимы. Можно переключиться на другой VT, войти под пользователем с нужными привилегиями и выполнить необходимые действия. Но это не удобно, по этому все пользуются костылем под названием sudo.

пароль можно подобрать

Нельзя.

-A ssh -m recent --name ssh --set
-A ssh -m recent --name ssh --update --seconds 60 --hitcount 5 -j DROP

-A ssh -m recent --name ssh --update --seconds 60 --hitcount 5 -j DROP

Это правило нужно для того, чтобы случайно не залогиниться во время подбора пароля?

Ага, для того, чтобы китайские хацкеры не логинились.

... и еще удалить на всякий случай...

зачем тогда сервер нужен, если sudo нельзя - вполне безобиден при грамотном конфигурировании

Ну дело твоё. Я бы не стал оставлять лишнюю возможность получить рут с паролем от пользователя.

Бгг

sudo bash
Пароль: 
eddy is not in the sudoers file.  This incident will be reported.

Нет у меня полноценного sudo и не будет, т.к. нафиг не нужно! Есть только частичное (т.к. линукс не умеет NTFS "из коробки" + чтобы комп вырубать):

ALL ALL=(ALL) NOPASSWD: /bin/ntfs-3g,/bin/mount,/bin/umount
eddy ALL=(ALL) NOPASSWD: /sbin/poweroff

А вместо sudo bash я считаю расово более верным su -, т.к. нужно вводить пароль рута, а не пользователя!

У вас sudo позволяет использовать все-все команды как будто вы сидите от root? Тогда это то же самое что сидеть от root. Админа такого надо бить :)

sudo не подрывает безопасность. Надо только его настроить под свои требования. У меня на домашнем компьютере помимо root, 3 пользователя и из них только я могу пользоваться sudo, да и то, ограничен разрешенный список команд.

как удалось этого добиться

Зачем добиваться, если это из коробки?

нужно угадать пароли юзера и root, а в случае с sudo достаточно только пароля юзера.

хлопни сам себя ладошкой по лицу.

-A ssh -m recent --name ssh --update --seconds 60 --hitcount 5 -j DROP

Отличный способ для хакера забанить ssh для админа. IP spoofing, нет не слышал.

-A ssh -m recent --name ssh --update --seconds 60 --hitcount 5 -j DROP

Зачем этот странный многозвёздный регистрант стреляет себе в ногу? Тут же дети, они могут это скопировать... Аааа, вот в чём смысл!

А почему бы тогда просто не ломануть иксы, ведь они работают от рута?

Не всегда же. А вот слушать клавиатуру (да и мышь) может любое окно. А при особом желании — ещё и притворяться клавиатурой и напрямую что-нибудь послать в sudo/su-консоль.

А вот слушать клавиатуру (да и мышь) может любое окно

Любое окно пользователя. Т.е. ты уже залогинился пользователем и знаешь его пароль.

route-policy? Не, не слышали.

route-policy

Замок для честных людей.

https://imgur.com/stfHcKN.jpg

когда ты вахтёр и никому не рассказывал об этом уже 10 минут

Только не рассказывай мне что ты запоминаешь все 100500 паролей вида a'cWznOAi1-932&^

Зачем 100500 ? А штуки три-четыре таких вполне можно. Плюс заманаешься подбирать, если там какой-нибудь fail2ban висит, или ipt_recent используется.

Отличный способ для хакера забанить ssh для админа. IP spoofing, нет не слышал.

А ты видел ? Я - нет. Опять же, заманается угадывать, какой IP надо спуфить. Плюс смысл где ? Одно дело - пароль угадать, другое - помешать зайти когда-то. Ну пусть развлекутся, жалко что ли ?

Всё лучше, когда 100500 ботов у тебя пароли подбирают (пусть и бесполезно из-за ключа), ставя систему раком.

все давно перешли на doas sudo пора в на свалку