Login a SSH come root [Was: Re: [ml] RootKitHunter]

On 11/18/05, Marco d'Itri <md@xxxxxxxx> wrote:
> On Nov 18, Marco Pennelli <heart@xxxxxxxxxxx> wrote:
>
> > amministrativo (detto "root"). Autenticarsi al sistema direttamente come
> > root non e' molto consigliabile visto che si ha il totale controllo e
> > gli incidenti potrebbero non mancare (cancellazione di file, etc).
> Questo è irrilevante, visto che con su o sudo si ottengono gli stessi
> privilegi.

É tecnicamente vero, ma da un punto di vista "amministrativo" (e nel
mondo della sicurezza non è certo un punto di vista irrilevante) trovo
che Marco Pennelli abbia pienamente ragione (però, è una discussione
tra tre Marchi... :-).

Se hai piú di 5 computer nella tua azienda, forse c'é anche piú di un
sysadmin. E forse ci sono diversi sysadmin con diversi privilegi. E
forse anche degli utenti che fanno login ma non possono usare sudo o
su, o possono usare sudo soltanto per fare, ad esempio, snoop o
netstat ecc.. E magari, esiste un sistema di autenticazione
centralizzato (odierei dover cambiare la mia password su 100 server,
uno ad uno...). Insomma, IMHO è sempre consigliabile - a meno che tu
non sia una "one man band" e faccia tutto da solo - avere uno straccio
di policy di sicurezza nella tua azienda, e quella di non accedere MAI
direttamente come root - cosí da tracciare CHI e QUANDO fa login nei
sistemi - è veramente il passo numero 1. Dopo che hai fatto login col
TUO id, poi certamente puoi avere i diritti di fare sudo o su soltanto
con i comandi che puoi davvero usare e soltanto sui sistemi su cui sei
autorizzato.


[...]
> Questo vale per qualsiasi account, quindi non mi sembra una motivazione
> particolarmente importante rispetto ai benefici pratici che si hanno
> permettendo il login a root (principalmente l'uso di scp e rsync, per
> quanto mi riguarda).

Personalmente mi sembra sconsigliabile farlo come root. IMHO non
dovresti MAI usare root per queste cose. Perché lo fai? :-) Non ne hai
motivo. A meno che tu non abbia qualche demone che gira come root...
dovrebbero essere una minoranza... e comunque è qualcosa che è prono
all'errore...

A meno che non passi il tuo tempo a giocare col sistema operativo... e
questo sarebbe veramente un modo poco efficiente di lavorare... hai di
meglio da fare... ;-)

Scusate la polemica... :-)


> Mimmus <dviggiani@xxxxxxxxxx> ha fornito una motivazione un po' più
> valida:
>
> > In ambienti "promiscui", dove tante persone conoscono la password di root,
> > non si riesce mai a sapere chi ha fatto qualcosa.
> > Se si costringono gli amministratori ad entrare con il loro account e a fare
> > 'su', si riesce a capire qualcosa in piu'.
>
> che però non mi sembra applicabile al contesto, in cui c'è un unico
> amministratore, e che comunque non aggiunge sicurezza di per sè ma è un
> modo per obbligare dei cattivi amministratori a fare le cose con ordine
> (e quindi è di nuovo da valutare se vale i fastidi che causa).

Secondo me è valido anche in questo contesto. Anche per la tua stessa
password (come per la gestione e la distribuzione delle chiavi)
dovresti avere una policy. Cambiare ogni mese o tre mesi la password
di root, o gestire le chiavi di root anzichè quelle di utenti
"normali" mi sembra comunque poco efficiente/meno sicuro. E resta il
fatto che root dovrebbe essere usato soltanto per aver a che fare con
il sistema operativo - tutto il resto lo devi fare con utenti/gruppi
autorizzati ad installare/far girare i demoni

My 5 cents...


Cheers
--
Marco Ermini
Dubium sapientiae initium. (Descartes)
root@human # mount -t life -o ro /dev/dna /genetic/research
(This message is for the designated recipient only and may contain
privileged or confidential information. If you have received it in
error, please notify the sender immediately and delete the original.)