1 Тема от Craken

  • Craken
  • Новичок
  • Неактивен
  • Зарегистрирован: 28.03.2010
  • Сообщений: 16
  • Репутация : [ 0 | 0 ]

Приветствую Вас товарищи!
У меня 2 вопроса к Вам:
1) Давненько читал уже что значительно безопаснее будет если "отключить" логин от имени Рута!
То есть помню точно что это можно сделать в /etc/security/ но в каком файле поставить этот запрет не нашел!
Для тех кто не понял: Отключить возможность изначального логина от имени Рута, и чтобы была возможность получить его права только через "su"!

2) Создание новых юзеров - это хорошо, и то что у них очень ограниченные возможности - это тоже хорошо... интересует так же реализация того, чтобы после того как я создам юзера "mybot", у него не было возможности не просто "развлекаться" только в /home/mybot/ но и чтобы он не мог даже пройти и просмотреть что находится даже в папке /home!

Всем заранее спасибо!  smile

2 Ответ от vint (02.06.2010 12:25:22 отредактировано vint)

  • vint
  • 我学习汉语！
  • Неактивен
  • Откуда: Сыктывкар
  • Зарегистрирован: 21.02.2010
  • Сообщений: 550
  • Репутация : [ 3 | 0 ]

Сначало нужно настроить sudo. хотябы один из пользователей должен иметь право выполнять какие-то действия от имени суперпользователя.

 Консоль:

# passwd -l root

После этого учётная запись будет отключена, кстати такое правило из коробки применено в Бубунтах.
Что бы вернуть учётную запись:
 Консоль:

$ sudo passwd -u root

Q9550, ASUS P5QL/EPU, NV GF 250 GTS 1024 Mb, 5 Gb RAM (800 Mgz), Beholder 609, KDE 4.6.5, kernel 3.0.3-desktop-nrj.69mib

3 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
vint пишет:

Сначало нужно настроить sudo. хотябы один из пользователей должен иметь право выполнять какие-то действия от имени суперпользователя.

Эт-то оно конечно хорошо. Только вот эффективность сего действа на десктопах для меня сомнительна. А именно - до сих пор меня никто еще не смог убедить в том, что если интрудер имеет физический доступ к компьютеру, то компьютер полностью в его власти. Так что остаются для этого только сервера, которые стоят в выделенном помещении с контролируемым доступом.

А на дескопах проблем загрузить линукс  беспарольно - проблем нет. В grub'е.
1. жамкаем при включении компьютера стрелочки, чтобы получить консоль груба.
2. в грубе выбираем желаемую версию линуха и жмем на клавишу "e"
3. Строку вида

kernel /vmlinuz-2.6.33.5-112.fc13.i686.PAE ro root=/dev/mapper/vg_aser-LogVolRoot rd_LVM_LV=vg_aser/LogVolRoot rd_NO_LUKS rd_NO_MD rd_NO_DM LANG=ru_RU.UTF-8 KEYTABLE=ru rhgb quiet

превращаем в строку вида (изменения выделены жирным

kernel /vmlinuz-2.6.33.5-112.fc13.i686.PAE [b]rw[/b] root=/dev/mapper/vg_aser-LogVolRoot rd_LVM_LV=vg_aser/LogVolRoot rd_NO_LUKS rd_NO_MD rd_NO_DM LANG=ru_RU.UTF-8 KEYTABLE=ru rhgb quiet [b]init=bin/bash[/b]

Жмем на "enter", потом на "b"... После чего линукс грузится... (проверял лично) далее passwd (а это уже не делал, но думаю что сработает).

4 Ответ от i2ks (02.06.2010 23:53:13 отредактировано i2ks)

  • i2ks
  • Участник Форума
  • Неактивен
  • Зарегистрирован: 20.02.2010
  • Сообщений: 6,983
  • Репутация : [ 101 | 1 ]

Craken,
RBAC вас спасет)

It is good day to die ...
MS Windows 10
Заметки о главном...

5 Ответ от vint

  • vint
  • 我学习汉语！
  • Неактивен
  • Откуда: Сыктывкар
  • Зарегистрирован: 21.02.2010
  • Сообщений: 550
  • Репутация : [ 3 | 0 ]

Cruiser78, Это можно отключить в каком-то конфиге. Сам не делал, но читал про такое.
В мандривах, например, естьь безоппастная зугрузка linux, которая беспарольно даёт консоль суперпользователя, я использовал один раз, когда не не знал пароля root. -- это так же можно выключить.

Q9550, ASUS P5QL/EPU, NV GF 250 GTS 1024 Mb, 5 Gb RAM (800 Mgz), Beholder 609, KDE 4.6.5, kernel 3.0.3-desktop-nrj.69mib

6 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
vint пишет:

Cruiser78, Это можно отключить в каком-то конфиге. Сам не делал, но читал про такое.
В мандривах, например, естьь безоппастная зугрузка linux, которая беспарольно даёт консоль суперпользователя, я использовал один раз, когда не не знал пароля root. -- это так же можно выключить.

Возможно... Однако - все равно доступ интрудера к телу компьютера равнозначен его гарантированному взлому. Я не знаю ни одного надежного способа (кроме одного) противостоять этому. Даже если мы заблокируем груб, то интрудер будет пытаться загрузиться с CD или флешки. Если заблокируем это в БИОСе и закроем паролем или повесим электронный замок (типа Соболя), то инрутудер вскроет корпус и сковырнет наши шелушки.
К чему веду - если у тебя есть действительно ценные данные, то помещай их на выделенном сервере, который работает в выделенном охраняемом помещении. Плюс криптография (на дисках и в каналах связи) в полный рост. Тогда интрудер помимо всего прочего будет решать задачу криптоанализа. А это совсем иная цена взлома. Правда, термальноанальный правдовыколупыватель сильно облегчает поставленную задачу...