Keine Root-Anmeldung mehr möglich

[Sway]

Gründe um sich kurzfristig als Root anzumelden sind meisst:

- Installation von Programmen
- Änderung von Systemconfigs
- beim aufruf von Configprogrammen (z.B.YAST oder synaptic )


Man muss sich auch nie als Root in eine Grafische Oberfläche einloggen.
Das machst du per Konsole oder beim Aufruf von Programmen, aber um
himmelswillen, NIE als root in die Grafische Oberfläche !

 

[JohannesR]

Original geschrieben von Sway
Gründe um sich kurzfristig als Root anzumelden sind meisst:

- Installation von Programmen
- Änderung von Systemconfigs
- beim aufruf von Configprogrammen (z.B.YAST oder synaptic )


Man muss sich auch nie als Root in eine Grafische Oberfläche einloggen.
Das machst du per Konsole oder beim Aufruf von Programmen, aber um
himmelswillen, NIE als root in die Grafische Oberfläche !

100% ACK! Damit umgeht man das gesamte Sicherheitskonzept von Linux und kann gleich Windows benutzen! Da meldet man sich ja auch immer als Admin an...

 

[Frumpy]

Bei den Servern die ich administriere (Debian GNU Linux R301) ist es auch so eingestellt das man sich per Remotezugriff nicht als root anmelden kann. Die Anmeldung dort ist nur per User möglich. Wenn man dann Adminzugriff benötigt kann man sich ja als SU verifizieren. Das ist zwar umständlich aber sicherer...... Weil Hacker so nicht ganz so leicht vollen zugriff bekommen.

MFG Frumpy

 

[JohannesR]

Auf den Servern, die ich kennengelernt habe, gibt es keine Useraccounts, mit denen man sich einloggen könnte, nur den Root-Account. Was anderes macht man auf den Servern ja auch nicht, nur administrieren, und das nunmal als root.

 

[Neurodeamon]

Original geschrieben von Johannes Röttger
Auf den Servern, die ich kennengelernt habe, gibt es keine Useraccounts, mit denen man sich einloggen könnte, nur den Root-Account.

Gibt es eigentlich eine Linux Distribution die bei der Installation KEINEN Normalen User verlangt/einrichtet? Ich glaube kaum, ausser vielleicht bei exoten

Was anderes macht man auf den Servern ja auch nicht, nur administrieren, und das nunmal als root.

Eben nicht. Dazu gibt es SU und SUDO. Man "administriert" etwas, und verlässt den Modus wieder.

Der Sinn ist doch Sicherheit, wozu dann Linux verwenden wenn man sowieso keine Sicherheitsrichtlinien einhält? Kann man ja gleich Windows benutzen ...
Sicher, zu Hause spielt das wohl eine kleine Rolle mit dem Root-Account. Aber bei einem Webserver ist mehr Sicherheit wichtig. Oder lässt Du auch noch alle Deine Anwendungen mit ROOT-Rechten laufen? Sehr warscheinlich, wenn Du immer als ROOT eingeloggt bist ...?
Was sollte man tunlichst vermeiden? Programme als ROOT ausführen, wenn es nicht wirklich nötig ist!

Wie gesagt, jedem wie er will. Gute Ratschläge kann man auch in den Wind schlagen

 

[JohannesR]

Gibt es eigentlich eine Linux Distribution die bei der Installation KEINEN Normalen User verlangt/einrichtet? Ich glaube kaum, ausser vielleicht bei exoten

Es wird vorgeschlagen, ist aber nicht erforderlich!

Eben nicht. Dazu gibt es SU und SUDO. Man "administriert" etwas, und verlässt den Modus wieder.

Sorry, das ist falsch! Auf einem System, auf dem keine Loginshells existieren kann man kein su oder sudo benutzen (logischerweise). Die Dienste laufen auf einer chroot-Umgebung, die User für ewaige Dienste (www für den Apache etc.) haben als Loginshell /bin/false. Nur Root hat eine Shell.

Sicher, zu Hause spielt das wohl eine kleine Rolle mit dem Root-Account. Aber bei einem Webserver ist mehr Sicherheit wichtig. Oder lässt Du auch noch alle Deine Anwendungen mit ROOT-Rechten laufen? Sehr warscheinlich, wenn Du immer als ROOT eingeloggt bist ...?

Natürlich ist die Sicherheit auf einem Webserver wichtig, deshalb sage ich ja, dass man nicht mehr Nutzeraccounts als unbedingt nötig einrichten sollte. Im Bestfall also keinen, auf dem man sich einloggen kann. (root ist kein user)

Was sollte man tunlichst vermeiden? Programme als ROOT ausführen, wenn es nicht wirklich nötig ist!

Fein erkannt.

Wie gesagt, jedem wie er will. Gute Ratschläge kann man auch in den Wind schlagen

Auch richtig.
So gibt es jetzt mind. 2 mögliche Angriffspunkte: Der Root-Account und der User-Account. Feine Sache!

 

[Neurodeamon]

Original geschrieben von Johannes Röttger
Sorry, das ist falsch! Auf einem System, auf dem keine Loginshells existieren kann man kein su oder sudo benutzen (logischerweise). Die Dienste laufen auf einer chroot-Umgebung, die User für ewaige Dienste (www für den Apache etc.) haben als Loginshell /bin/false. Nur Root hat eine Shell.
Auch richtig.
So gibt es jetzt mind. 2 mögliche Angriffspunkte: Der Root-Account und der User-Account. Feine Sache!

Okay, stimmt. Man KANN es so machen, ich gebe mich in diesem Punkt geschlagen *g*
Ich glaube wir vertiefen uns hier in eine Grundsatzdiskussion bei der mehrere Wege möglich sind. Aber ...

So gibt es jetzt mind. 2 mögliche Angriffspunkte: Der Root-Account und der User-Account. Feine Sache!

Knackpunkt
Was ist eher das Ziel: Der Root-Account oder ein User-Account?
Doch wohl eher der Root-Account!

Wenn jetzt Root KEINE eigene Shell besitzt kann jemand der es ins System geschafft hat dennoch nicht ALLES, sondern besitzt nur die normalen Userrechte. Ein Root-Account mit Shell würde gleich alles offenlegen.

So und als Fetischist:
Zugang zur Shell nur über SSH2 und dann tunneln wir das ganze noch zusätzlich und schon hat ein Angreifer mehr Hürden zu nehmen als sonst ;-)

 

[JohannesR]

Original geschrieben von Neurodeamon
Knackpunkt
Was ist eher das Ziel: Der Root-Account oder ein User-Account?
Doch wohl eher der Root-Account!

Das kommt auf das Ziel des Hacks an, wenn es nur darum geht, Spam zu verschicken, würde ich die Useraccounts des Mailsystems kompromitieren. Das kann man jetzt übertragen auf den Webserver, den Fileserver, den Datenbankserver...
Der Root-Account ist natürlich ultimativ, aber meistens/hoffentlich zu gut gesichert.

Original geschrieben von Neurodeamon
Wenn jetzt Root KEINE eigene Shell besitzt kann jemand der es ins System geschafft hat dennoch nicht ALLES, sondern besitzt nur die normalen Userrechte. Ein Root-Account mit Shell würde gleich alles offenlegen.

Das ist richtig, nur reichen, wie oben gesagt, meist schon die normalen Userrechte.