Linux Forum — Безопасность - прежде всего!

Re: Безопасность - прежде всего!

null@example.com (Cruiser78) — Thu, 03 Jun 2010 14:27:18 +0000

vint пишет:

Cruiser78, Это можно отключить в каком-то конфиге. Сам не делал, но читал про такое.
В мандривах, например, естьь безоппастная зугрузка linux, которая беспарольно даёт консоль суперпользователя, я использовал один раз, когда не не знал пароля root. -- это так же можно выключить.

Возможно... Однако - все равно доступ интрудера к телу компьютера равнозначен его гарантированному взлому. Я не знаю ни одного надежного способа (кроме одного) противостоять этому. Даже если мы заблокируем груб, то интрудер будет пытаться загрузиться с CD или флешки. Если заблокируем это в БИОСе и закроем паролем или повесим электронный замок (типа Соболя), то инрутудер вскроет корпус и сковырнет наши шелушки.
К чему веду - если у тебя есть действительно ценные данные, то помещай их на выделенном сервере, который работает в выделенном охраняемом помещении. Плюс криптография (на дисках и в каналах связи) в полный рост. Тогда интрудер помимо всего прочего будет решать задачу криптоанализа. А это совсем иная цена взлома. Правда, термальноанальный правдовыколупыватель сильно облегчает поставленную задачу...

Re: Безопасность - прежде всего!

null@example.com (vint) — Thu, 03 Jun 2010 09:29:44 +0000

Cruiser78, Это можно отключить в каком-то конфиге. Сам не делал, но читал про такое.
В мандривах, например, естьь безоппастная зугрузка linux, которая беспарольно даёт консоль суперпользователя, я использовал один раз, когда не не знал пароля root. -- это так же можно выключить.

Re: Безопасность - прежде всего!

null@example.com (i2ks) — Wed, 02 Jun 2010 19:52:50 +0000

Craken,
RBAC вас спасет)

Re: Безопасность - прежде всего!

null@example.com (Cruiser78) — Wed, 02 Jun 2010 17:52:49 +0000

vint пишет:

Сначало нужно настроить sudo. хотябы один из пользователей должен иметь право выполнять какие-то действия от имени суперпользователя.

Эт-то оно конечно хорошо. Только вот эффективность сего действа на десктопах для меня сомнительна. А именно - до сих пор меня никто еще не смог убедить в том, что если интрудер имеет физический доступ к компьютеру, то компьютер полностью в его власти. Так что остаются для этого только сервера, которые стоят в выделенном помещении с контролируемым доступом.

А на дескопах проблем загрузить линукс беспарольно - проблем нет. В grub'е.
1. жамкаем при включении компьютера стрелочки, чтобы получить консоль груба.
2. в грубе выбираем желаемую версию линуха и жмем на клавишу "e"
3. Строку вида

kernel /vmlinuz-2.6.33.5-112.fc13.i686.PAE ro root=/dev/mapper/vg_aser-LogVolRoot rd_LVM_LV=vg_aser/LogVolRoot rd_NO_LUKS rd_NO_MD rd_NO_DM LANG=ru_RU.UTF-8 KEYTABLE=ru rhgb quiet

превращаем в строку вида (изменения выделены жирным

kernel /vmlinuz-2.6.33.5-112.fc13.i686.PAE [b]rw[/b] root=/dev/mapper/vg_aser-LogVolRoot rd_LVM_LV=vg_aser/LogVolRoot rd_NO_LUKS rd_NO_MD rd_NO_DM LANG=ru_RU.UTF-8 KEYTABLE=ru rhgb quiet [b]init=bin/bash[/b]

Жмем на "enter", потом на "b"... После чего линукс грузится... (проверял лично) далее passwd (а это уже не делал, но думаю что сработает).

Re: Безопасность - прежде всего!

null@example.com (vint) — Wed, 02 Jun 2010 08:23:09 +0000

Сначало нужно настроить sudo. хотябы один из пользователей должен иметь право выполнять какие-то действия от имени суперпользователя.

Консоль:

# passwd -l root

После этого учётная запись будет отключена, кстати такое правило из коробки применено в Бубунтах.
Что бы вернуть учётную запись:

Консоль:

$ sudo passwd -u root

Безопасность - прежде всего!

null@example.com (Craken) — Wed, 02 Jun 2010 04:30:12 +0000

Приветствую Вас товарищи!
У меня 2 вопроса к Вам:
1) Давненько читал уже что значительно безопаснее будет если "отключить" логин от имени Рута!
То есть помню точно что это можно сделать в /etc/security/ но в каком файле поставить этот запрет не нашел!
Для тех кто не понял: Отключить возможность изначального логина от имени Рута, и чтобы была возможность получить его права только через "su"!

2) Создание новых юзеров - это хорошо, и то что у них очень ограниченные возможности - это тоже хорошо... интересует так же реализация того, чтобы после того как я создам юзера "mybot", у него не было возможности не просто "развлекаться" только в /home/mybot/ но и чтобы он не мог даже пройти и просмотреть что находится даже в папке /home!

Всем заранее спасибо! smile