13
Ist sudo auf Servern Pflicht?
Hallo zusammen,
wir haben für einige Netzwerkdienste einige Debian Server. Auf diesen Servern arbeiten keine Benutzer im eigentlichen sinne. Der Login erfolgt nur zu administrativen Zwecken über ssh/PubKey-Authentifizierung und nur durch mich.
Bislang melde ich mich als root an und verzichte auf den Umweg user->sudo
Nachdem ich aber gestern meinem Sohn am RasperryPi erklären musste weshalb er immer "sudo" eintippen muss, kam ich etwas ins grübeln.
Also - bei einem Server, bei dem Logins nur zu administrativen Zwecken erfolgen - sollte ich da trotzdem mit user/sudo arbeiten? Wie handhabt Ihr das? Ich erkenne nicht so richtig die Vorteile, ausser vielleicht, dass man als Angreifer nicht raten muss, wie der Loginname ist.
Grüße
lcer
wir haben für einige Netzwerkdienste einige Debian Server. Auf diesen Servern arbeiten keine Benutzer im eigentlichen sinne. Der Login erfolgt nur zu administrativen Zwecken über ssh/PubKey-Authentifizierung und nur durch mich.
Bislang melde ich mich als root an und verzichte auf den Umweg user->sudo
Nachdem ich aber gestern meinem Sohn am RasperryPi erklären musste weshalb er immer "sudo" eintippen muss, kam ich etwas ins grübeln.
Also - bei einem Server, bei dem Logins nur zu administrativen Zwecken erfolgen - sollte ich da trotzdem mit user/sudo arbeiten? Wie handhabt Ihr das? Ich erkenne nicht so richtig die Vorteile, ausser vielleicht, dass man als Angreifer nicht raten muss, wie der Loginname ist.
Grüße
lcer
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 453743
Url: https://administrator.de/contentid/453743
Printed on: April 18, 2024 at 19:04 o'clock
13 Comments
Latest comment
Moin,
wenn man richtig mit sudo arbeitet, hält es einen vor allem davon ab, unbeabsichtigt ###e zu bauen. Das Starten von bestimmten Programmen / Diensten als root gehört u.a. dazu.
Gruß
wenn man richtig mit sudo arbeitet, hält es einen vor allem davon ab, unbeabsichtigt ###e zu bauen. Das Starten von bestimmten Programmen / Diensten als root gehört u.a. dazu.
Gruß
Moin ,
kenne ich das Thema. Ist lästig, aber eben auch ein Sicherheitsfeature. Ich für meinen Teil , lasse gar keine Remotelogins für das Root Konto zu.
Wenn ich intensivere arbeiten machen muss, wechsle ich aber auch in der Konsole auf Root.
Gruss
kenne ich das Thema. Ist lästig, aber eben auch ein Sicherheitsfeature. Ich für meinen Teil , lasse gar keine Remotelogins für das Root Konto zu.
Wenn ich intensivere arbeiten machen muss, wechsle ich aber auch in der Konsole auf Root.
Gruss
Moin,
auch wenn der Vergleich nicht ganz zutreffend ist, ich sehe dass ähnlich wie bei Windows mit der UAC (User Account Control).
Das ist ein Sicherheitsfeature, welches einem bringen soll: Hab' acht! oder Pass auf!
Wie oft höre und lese ich, auf dem Server wird UAC abgeschaltet. Ich weiß was ich tue. Und wenn dann etwas schiefläuft, ist das Geschrei groß.
Und ich habe diese Szenarien schon mehrfach erlebt bzw. erleben müssen.
Gruss Penny.
auch wenn der Vergleich nicht ganz zutreffend ist, ich sehe dass ähnlich wie bei Windows mit der UAC (User Account Control).
Das ist ein Sicherheitsfeature, welches einem bringen soll: Hab' acht! oder Pass auf!
Wie oft höre und lese ich, auf dem Server wird UAC abgeschaltet. Ich weiß was ich tue. Und wenn dann etwas schiefläuft, ist das Geschrei groß.
Und ich habe diese Szenarien schon mehrfach erlebt bzw. erleben müssen.
Gruss Penny.
Moin,
meine Linuxserver laufen allesamt in der Standard-Konfig, d.h. keine Änderungen am System ohne sudo.
Natürlich kann man, wenn man mehrere Sachen hintereinander macht sich mit sudo su für die Dauer der Arbeiten zum root machen, aber das nutze ich nur zum Aufsetzen der Systeme oder wenn massive Anpassungen vorgenommen werden müssen und ich einfach zu faul bin jedesmal sudo zu tippen.
Wie immer bei Linux: sudo eintippen ist die letzte Sicherung.
Es bleibt aber Deine Entscheidung, wie Du es nutzt.
Gruß
Looser
meine Linuxserver laufen allesamt in der Standard-Konfig, d.h. keine Änderungen am System ohne sudo.
Natürlich kann man, wenn man mehrere Sachen hintereinander macht sich mit sudo su für die Dauer der Arbeiten zum root machen, aber das nutze ich nur zum Aufsetzen der Systeme oder wenn massive Anpassungen vorgenommen werden müssen und ich einfach zu faul bin jedesmal sudo zu tippen.
Wie immer bei Linux: sudo eintippen ist die letzte Sicherung.
Es bleibt aber Deine Entscheidung, wie Du es nutzt.
Gruß
Looser
Kann man so oder anders sehen, ganz ehrlich, wer etwas geübt ist, der tippt das sudo doch sowieso rein, wie andere über die Admin-Maske gehen, wirklicher Sicherheitsgewinn ist das nicht. Vor allem nicht, wenn es gar nicht _wissen will_. Das beste Sicherheitsfeature ist immer noch Wissen aufbauen.denn mit kann man genau so viel Mist machen, wenn der Befehlsstring dann lang genug ist, fallen die 4 Zeichen auch nicht mehr ins Gewicht. Daher, viel wichtiger, keine User an Adminkonsolen/PW ran lassen.
VG
sudo taskVG
Auf distros die auf das klassiche root setzen ohne sudoers, hat man es gerne so gemacht das man ssh nur für nicht-root user freigegeben hat. Das hatte folgenden Sicherheitsvorteil: Du musstest:
a) den user per ssh raten
b) dessen passwort
und c) wenn du drin warst, musstest du noch das root passwort erraten
Wobei man sich streiten kann ob das ein Sicherheitsgewinn ist, meist "reicht" es schon aus wenn der angreifer als irgendein user per ssh sich verbinet, fürs root bekommen nutzt der angreifer dann irgendwelche rechteausweitungs exploits o.ä.
Bei distros mit sudoers sinds halt nur 2 schritte:
a) user raten der ssh darf
b) dessen passwort
- wenn er in sudoers drinsteht, entfällt c)
Bei direktem root zugang, so wie du es richtig schreibst, entfällt eben noch a) sodass nur noch b) zu tun ist.
Besser ist vermutlich eh private-public keys zu nutzen bzw. 2FA mit z.B. Key + Passwort
MFG N-Dude
a) den user per ssh raten
b) dessen passwort
und c) wenn du drin warst, musstest du noch das root passwort erraten
Wobei man sich streiten kann ob das ein Sicherheitsgewinn ist, meist "reicht" es schon aus wenn der angreifer als irgendein user per ssh sich verbinet, fürs root bekommen nutzt der angreifer dann irgendwelche rechteausweitungs exploits o.ä.
Bei distros mit sudoers sinds halt nur 2 schritte:
a) user raten der ssh darf
b) dessen passwort
- wenn er in sudoers drinsteht, entfällt c)
Bei direktem root zugang, so wie du es richtig schreibst, entfällt eben noch a) sodass nur noch b) zu tun ist.
Besser ist vermutlich eh private-public keys zu nutzen bzw. 2FA mit z.B. Key + Passwort
MFG N-Dude
PermitRootLogin sollte immer(!) auf No stehen!
Und Einloggen nur mit Zertifikaten!
Also - bei einem Server, bei dem Logins nur zu administrativen Zwecken erfolgen - sollte ich da trotzdem mit user/sudo arbeiten?
Ja.
Wie handhabt Ihr das?
Als User einloggen und sich dann ggf. mit sudo erhöhte rechte verschaffen (oder auch nicht). Nicht alles muß man als root tun.
Ich erkenne nicht so richtig die Vorteile, ausser vielleicht, dass man als Angreifer nicht raten muss, wie der Loginname ist.
Dir fliegt dann bei einem ssh-exploit nicht gleich der ganze Server um die Ohren sondern der Useraccount.
lks
Hallo,
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang. Also - wenn SSH, dann sudo?
Grüße
lcer
Zitat von @Lochkartenstanzer:
PermitRootLogin sollte immer(!) auf No stehen!
Und Einloggen nur mit Zertifikaten!
Ja.
Als User einloggen und sich dann ggf. mit sudo erhöhte rechte verschaffen (oder auch nicht). Nicht alles muß man als root tun.
Dir fliegt dann bei einem ssh-exploit nicht gleich der ganze Server um die Ohren sondern der Useraccount.
lks
PermitRootLogin sollte immer(!) auf No stehen!
Und Einloggen nur mit Zertifikaten!
Also - bei einem Server, bei dem Logins nur zu administrativen Zwecken erfolgen - sollte ich da trotzdem mit user/sudo arbeiten?
Ja.
Wie handhabt Ihr das?
Als User einloggen und sich dann ggf. mit sudo erhöhte rechte verschaffen (oder auch nicht). Nicht alles muß man als root tun.
Ich erkenne nicht so richtig die Vorteile, ausser vielleicht, dass man als Angreifer nicht raten muss, wie der Loginname ist.
Dir fliegt dann bei einem ssh-exploit nicht gleich der ganze Server um die Ohren sondern der Useraccount.
lks
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang. Also - wenn SSH, dann sudo?
Grüße
lcer
Zitat von @lcer00:
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang.
nein, kann man nicht.Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang.
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang. Also - wenn SSH, dann sudo?
Äpfel und Birnen!
Hallo
Man Leute, das war ein Stück weit ironisch gemeint. Die Windows-UAC habe ich auch nicht deaktiviert. Wobei das da nur 1 Klick ist - sudo sind 5 Tadtenanschläge pro Befehl
Also um es zusammenzufassen, sudo erhöht die Sicherheit hier und da, und sollte verwendet werden. PermitRootLogin gehört auf No.
Wobei, so ein bisschen eine Glaubensfrage ist da schon mit im Spiel. Nachdem es gefühlt 100 Jahre gebraucht hat bis Microsoft die UAC eingeführt hat, darf man natürlich sudo nicht in Frage stellen. Achtung: war auch etwas mit Ironie angereichert.
Jedenfalls kann ich dem Junior das ganze glaubhafter rüberbringen, wenn man es nicht nur auf dem Raspi sondern auch im Produktivbetrieb so handhabt.
Danke an alle
lcer
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang. Also - wenn SSH, dann sudo?
Man Leute, das war ein Stück weit ironisch gemeint. Die Windows-UAC habe ich auch nicht deaktiviert. Wobei das da nur 1 Klick ist - sudo sind 5 Tadtenanschläge pro Befehl
Also um es zusammenzufassen, sudo erhöht die Sicherheit hier und da, und sollte verwendet werden. PermitRootLogin gehört auf No.
Wobei, so ein bisschen eine Glaubensfrage ist da schon mit im Spiel. Nachdem es gefühlt 100 Jahre gebraucht hat bis Microsoft die UAC eingeführt hat, darf man natürlich sudo nicht in Frage stellen. Achtung: war auch etwas mit Ironie angereichert.
Jedenfalls kann ich dem Junior das ganze glaubhafter rüberbringen, wenn man es nicht nur auf dem Raspi sondern auch im Produktivbetrieb so handhabt.
Danke an alle
lcer
Nachdem ich aber gestern meinem Sohn am RasperryPi erklären musste weshalb er immer "sudo" eintippen muss
Das muss er ja nicht immer. Er kann ja auch einmal "sudo su" eingeben, dann ist er immer root 
(Jedenfalls für die aktuelle Session)
Na aber damit unterlaufe ich ja das ganze Konzept.
Grüße
lcer
Grüße
lcer
