sudo Vs root

mc.lucifer
Antal: 33
Tilmeldt:
19-06-2003
User is offline
sudo Vs root

Sidder bare lige og tænker, jeg er af natur dovn, og plejer at logge ind som root, men er igang med at installere en ny server, og tvinger mig selv denne gang til at lade root kontoen være, da jeg har hørt det skulle være dårlig kutyme at bruge root.
Men hvorfor ????

Hvornår bør man bruge root ??
Jeg er klar over at grunden til man skal være påpasselig med root er at der så er adgang til ALT, men det har sudo vel også eller hvad :-)


frogmaster
frogmaster's picture
Antal: 4831
Tilmeldt:
20-05-2010
User is offline
jeg har hørt det skulle

#0: jeg har hørt det skulle være dårlig kutyme at bruge root.
Men hvorfor ????

Fordi du åbner en potentiel mulighed for maliciøs scripting med adgang til Desktop Environment.

Hvis root er deaktiveret i DE, så er den hurdle ikke aktuel, men det er særdeles spekulativt. Jeg tror ikke det udgør nogen trussel i praksis, har den selv aktiveret, men igen; jeg tør squ' ikke lægge hovedet på bloggen.

sudo har ikke adgang til DE, det har kun din standard profil, hvilket er grunden til at du ikke kan logge på som root med et skrivebord.


johan_budh
Antal: 107
Tilmeldt:
06-07-2005
User is offline
sudo vs. root

Så vidt jeg har forstået er det skidt at benytte root, fordi roots handlinger ikke logges - når du sudoer en kommando skrives alle handlinger til en logfil.

"If two men are to compete, it should be in archery. As they face the same direction, trying to accomplish the same goal, it is the most civilized of sports." Confucius


mc.lucifer
Antal: 33
Tilmeldt:
19-06-2003
User is offline
Det giver god mening :-)

Det giver god mening :-)


marlar
Antal: 3381
Tilmeldt:
05-12-2009
User is offline
Man kan godt slippe afsted

Man kan godt slippe afsted med at være root. Især hvis man er den eneste der bruger serveren. Det er rigtigt som nævnt i #2 at sudo kommandoer ofte logges, men er man alene på serveren, er der jo ingen tvivl om hvem der i givet fald har lavet ulykker.

Det kommer også an på typen af opgaver. Når jeg logger ind på en af de servere, jeg administrerer, er det udelukkede for at lave ting som kun root må gøre. Så skulle jeg bruge sudo før hver eneste kommando, og det giver ikke mening.

Faktisk har jeg kun én ganglavet ulykker (på min egen maskine, ikke severen) og det var faktisk som sudo!


frogmaster
frogmaster's picture
Antal: 4831
Tilmeldt:
20-05-2010
User is offline
Man skal også lige skelne

Man skal også lige skelne mellem en dedikeret server og en arbejdsstation. Brugen er vidt forskellig. Jeg kan heller ikke se problemet på en server, så længe man ikke skøjter rundt på internettet med den, mens root slet ikke behøver at aktiveres på en arbejdsstation.

Ligsom tilfældet er med Windows, hvor de fleste bruger en administrativ konto på en arbejdsstation, hvilket er klart uansvarligt IHT sikkerhed, så kan man ikke udføre sine opgaver på en Windows Domain Controller hvis ikke man er administrativ.


dudsen
Antal: 963
Tilmeldt:
10-01-2009
User is offline
audit

#2: Så vidt jeg har forstået er det skidt at benytte root, fordi roots handlinger ikke logges - når du sudoer en kommando skrives alle handlinger til en logfil.

Det et som jeg forstår det også primære grund til at root er frarådet selvom bash logger alt til .history så er den nemmere at slette den, og fordi der ikke logges via syslogd så bliver den ikke sent til en eventuel central log server.

En anden grund til ikke at sætte et root password er at siden root kontoen altid er det så er det den første konto bruteforce scripts forsøger at knække. Det er svjv ubuntu's primære grund.

Når det kommer til servere så er der ofte en masse process bureaukrati der gør man ikke bare lige må logge ind som root og lave ændringer, da de ofte skal testes og dokumenteres først og her er det også rart at have et sudo trail gemt på den centrale log server.

sudo er i øvrigt mere finkornet end bare fuld adgang du kan give brugere og grupper adgang til et udvalgt set af programmer etc.


marlar
Antal: 3381
Tilmeldt:
05-12-2009
User is offline
En anden grund til ikke

#6: En anden grund til ikke at sætte et root password er at siden root kontoen altid er det så er det den første konto bruteforce scripts forsøger at knække. Det er svjv ubuntu's primære grund.

Det kan så klares ved kun at tillade login med nøglefil. Man kan også benytte port knocking plus selvfølgelig programmer som denyhosts eller fail2ban der blokerer mislykkede forsøg.


dudsen
Antal: 963
Tilmeldt:
10-01-2009
User is offline
sshd_config

#7: Det kan så klares ved kun at tillade login med nøglefil. Man kan også benytte port knocking plus selvfølgelig programmer som denyhosts eller fail2ban der blokerer mislykkede forsøg.

Men det kræver aktiv intervention fra admin, hvilket canonical/ubuntu har antaget ikke vil ske(hvorfor fail2ban eller tilsvarende ikke er default er et bedre spørgsmål). sshd kan også sættes op til ikke at tilade root adgang, men igen vil det ske når lavestbydende skal sætte en server op under tidspres.

Pointen er lidt at sudo faktisk giver dig et framework for styring af adgang mens root kontoen og fuld adgang er mindre finkornet, at sudo i praktisk giver samme adgang(sudo bash -l) er en anden sag. I praksis er der ikke noget stort problem ved at logge ind som root hvis man er den eneste admin og ikke har et kempe change management burokrati at forholde sig til.

Det samme gælder for audit man kan sikre sig at man gemmer outputtet af history centrail ved logut fra root, eller man kan bruge gennemtestede og pålidelige rsyslogd til at sikre logs. Og når det kommer til burokrati frameworks som ITIL så er audit logs vigtige.

Og ja for servere så er ting ofte efterladt som default, men ofte på et isoleret vlan. Og vi ser masser af ting der absolut ikke er bestpractice(root passwords stored i ukrypterede excel ark på sharepoint er i den milde ende ;-))