Записать результат выполнения команды переменную

НИКОГДА, запомни, НИКОГДА не оставляй доступ rootу по ssh. root ДОЛЖЕН быть закрыт первым делом.

P=`ssh user@server df -h`

НИКОГДА, запомни, НИКОГДА не оставляй доступ rootу по ssh.

Why? Аутентификация по открытому ключу, и всё в порядке.

ТС, тебе на выбор

P=`command`
P=$(command)

Всем спасибо :)

НИКОГДА, запомни, НИКОГДА не оставляй доступ rootу по ssh. root ДОЛЖЕН быть закрыт первым делом.

Это еще с какого? Хотя если у тебя зузероутер с дефолтными настройками и пароль из слова «пароль» - то да.

Это еще с какого?

на моём vps root'а (и ещё пару стандартных пользователей) брутфорсят постоянно (пришлось fail2ban ставить). И намного спокойнее спать, если знаешь, что рутом зайти по ssh принципиально не возможно.

Why? Аутентификация по открытому ключу, и всё в порядке.

лучше две защиты чем одна (в том числе от себя). зашёл обычным юзверем (используя аутентификацию по ключу), а если надо что-то по администрировать, то есть sudo/su.

Ты прям как наше правительство - запретить все, что не осилили.

и что я не осилил?

denyhosts ещё полезная штука

на моём vps root'а (и ещё пару стандартных пользователей) брутфорсят постоянно (пришлось fail2ban ставить). И намного спокойнее спать, если знаешь, что рутом зайти по ssh принципиально не возможно.

openvpn

я, честно говоря, тоже не вижу смысла оставлять рута на сервере, который в интернете публично отовсюду виден

НИКОГДА, запомни, НИКОГДА не оставляй доступ rootу по ssh. root ДОЛЖЕН быть закрыт первым делом.

Это еще с какого?

с такого, что это одна из самых удачных атак. Да, я сам удивлён, но это так. А пароль в 80% «123», а в остальных 20% берётся из словаря на 100 слов.

Зачем руту пароль то вообще? Я ничего не пойму... В чём сложность у рута пароль отобрать, и сделать только по publickey?

в чём сложность ВООБЩЕ запретить вход с правами рута?

Я ничего не пойму...

если с А ты имеешь доступ к Б, то машина Б считай уже взломана. А если доступ ограничен, то Б не так уязвима, даже если враг сломал А.

на самом деле руки не дойдут honeypot поставить, интересно какие пароли подбирать пытаются :)

ещё делали как-то port-knocking :)

Не kippo хотите поставить случаем?

Ты про grsec и прочее слышал? Там запрет на запрете и оба запрещены. Лохи делали?

как один из вариантов думал, но что-то он слишком много возможностей даёт, оно боком вылезти может (кулхацкер его может тоже для своей деятельности использовать)

И каждый раз набирать пароль рута из-под обычного пользователя? Или делать sudo -i

зашёл обычным юзверем (используя аутентификацию по ключу), а если надо что-то по администрировать

Зачем вообще заходить на сервер, кроме как чего-то поадминистрировать?

Why? Аутентификация по открытому ключу, и всё в порядке.

http://www.debian.org/security/2008/dsa-1576
И у кого там в последний раз инфраструктуру ломали через утечку приватных ключей?

организуй свою работу так, что-бы права рута были не нужны.

Это как? Т.е. чтобы работать только через sudo?

нет. просто работать.

можешь рассказать, что за сервер, и что ты там одминишь? Просто факт в том, что права рута нужны _только_ для того, что-бы пользователям права раздавать. ВСЁ остальное могут делать эти пользователи.

HP-UX 11, FreeBSD 6.X, Ubuntu. - Пользователи на сервере мне нах не нужны - права мне там некому раздавать. Мне важны лишь сервисы которые там крутятся, они при установке сами создают кого надо, и рабочие процессы потом запускаются от кого надо...

Дык подобные дыры в безопасности можно в любом алгоритме аутентификации найти. А как утекли приватные ключи, так и пароли могут утечь. Приватный ключ хотя бы можно на специальном устройстве хранить, чтобы его в открытом виде вообще за пределы этого устройства не передавать.

Администрировать можно свой сайт например. Для этого права root совершенно не нужны.

Мне важны лишь сервисы которые там крутятся, они при установке сами создают кого надо, и рабочие процессы потом запускаются от кого надо...

в таком случае, зачем ты туда вообще заходишь, да так часто, что тебе su нет времени набрать?

Так пароль от su постоянно набирать нужно... Серверов то не три штуки. Пароли то сгенерированные все... Что я буду всякую муть набирать на клавиатуре?

так и пароли могут утечь.

пароль сложнее достать, если ты его НАБИРАЕШЬ.

Ну вот смотри: у тебя есть ноут А, с которого ты админишь сервер Б. Если ты пользуешься беспарольным ключом на A, то злоумышленнику необходимо и достаточно хоть на минутку получить доступ к этому А, дабы скопировать себе ~/.ssh. А вот если на Б имеется user, то злоумышленник получит лишь доступ к user@Б. В котором НИЧЕГО не сможет сделать. Ведь пароля он не знает, и узнать не может. Даже если пароль 123Z, то подобрать его нет никакой возможности (в /etc/shadow есть хеш, но никакой user читать его не может, потому брутфорс отпадает)

Это конечно не абсолютная защита, а всего лишь более жёсткая мера безопасности.

Так пароль от su постоянно набирать нужно... Серверов то не три штуки. Пароли то сгенерированные все... Что я буду всякую муть набирать на клавиатуре?

не ной. Не всё так трагично: как я уже говорил, пароль в данном случае не должен быть сложным. Ну и sudo его умеет запоминать, т.ч. вбивать его каждый раз не обязательно. Достаточно один разок. К тому-же, если у тебя вправду много серверов, то вряд-ли ты туда каждый день ходишь, да ещё и с целью что-то подправить (мониторинг возможен и без прав рута).

Упорот? Я на такую фигню даже отвечать не буду.

Это ты упорот: по твоим словам выходит, что раз абсолютной защиты не бывает, то и вообще никакая не нужна. Как в Windows 98.

Дык подобные дыры в безопасности можно в любом алгоритме аутентификации найти.

Да. И это реальный пример, почему оставлять открытый рут плохо, даже только по ключам.

А как утекли приватные ключи, так и пароли могут утечь.

Опять же, есть разница между утекшим юзерским и рутовым паролем/ключом.

Приватный ключ хотя бы можно на специальном устройстве хранить

В случае той дыры твой приватный ключ вообще не при делах был.

Что мешает, получив доступ к пользовательскому аккаунту, дальше брутить рута?

Что мешает, получив доступ к пользовательскому аккаунту, дальше брутить рута?

Пойми разницу: зайти под юзером и брутить рута, или зайти сразу под рутом.

Ну так там всё в эмуляторе же. Все стандартные бинарники, которые запускает кулхацкер — фиктивные. Да и забавно потом анализировать лог деятельности горе-взломщика (который обычно и не живой человек, а написанный этим «хакером» скрипт).