lcer00
Goto Top

Ist sudo auf Servern Pflicht?

Hallo zusammen,

wir haben für einige Netzwerkdienste einige Debian Server. Auf diesen Servern arbeiten keine Benutzer im eigentlichen sinne. Der Login erfolgt nur zu administrativen Zwecken über ssh/PubKey-Authentifizierung und nur durch mich.

Bislang melde ich mich als root an und verzichte auf den Umweg user->sudo

Nachdem ich aber gestern meinem Sohn am RasperryPi erklären musste weshalb er immer "sudo" eintippen muss, kam ich etwas ins grübeln.

Also - bei einem Server, bei dem Logins nur zu administrativen Zwecken erfolgen - sollte ich da trotzdem mit user/sudo arbeiten? Wie handhabt Ihr das? Ich erkenne nicht so richtig die Vorteile, ausser vielleicht, dass man als Angreifer nicht raten muss, wie der Loginname ist.

Grüße


lcer

Content-Key: 453743

Url: https://administrator.de/contentid/453743

Ausgedruckt am: 19.03.2024 um 02:03 Uhr

Mitglied: Kraemer
Lösung Kraemer 20.05.2019 um 10:17:09 Uhr
Goto Top
Moin,

wenn man richtig mit sudo arbeitet, hält es einen vor allem davon ab, unbeabsichtigt ###e zu bauen. Das Starten von bestimmten Programmen / Diensten als root gehört u.a. dazu.

Gruß
Mitglied: itisnapanto
Lösung itisnapanto 20.05.2019 um 10:17:38 Uhr
Goto Top
Moin ,

kenne ich das Thema. Ist lästig, aber eben auch ein Sicherheitsfeature. Ich für meinen Teil , lasse gar keine Remotelogins für das Root Konto zu.
Wenn ich intensivere arbeiten machen muss, wechsle ich aber auch in der Konsole auf Root.


Gruss
Mitglied: Penny.Cilin
Lösung Penny.Cilin 20.05.2019 um 10:41:30 Uhr
Goto Top
Moin,

auch wenn der Vergleich nicht ganz zutreffend ist, ich sehe dass ähnlich wie bei Windows mit der UAC (User Account Control).
Das ist ein Sicherheitsfeature, welches einem bringen soll: Hab' acht! oder Pass auf!

Wie oft höre und lese ich, auf dem Server wird UAC abgeschaltet. Ich weiß was ich tue. Und wenn dann etwas schiefläuft, ist das Geschrei groß.
Und ich habe diese Szenarien schon mehrfach erlebt bzw. erleben müssen.

Gruss Penny.
Mitglied: Looser27
Lösung Looser27 20.05.2019 um 10:44:43 Uhr
Goto Top
Moin,

meine Linuxserver laufen allesamt in der Standard-Konfig, d.h. keine Änderungen am System ohne sudo.
Natürlich kann man, wenn man mehrere Sachen hintereinander macht sich mit sudo su für die Dauer der Arbeiten zum root machen, aber das nutze ich nur zum Aufsetzen der Systeme oder wenn massive Anpassungen vorgenommen werden müssen und ich einfach zu faul bin jedesmal sudo zu tippen.
Wie immer bei Linux: sudo eintippen ist die letzte Sicherung.

Es bleibt aber Deine Entscheidung, wie Du es nutzt.

Gruß

Looser
Mitglied: falscher-sperrstatus
Lösung falscher-sperrstatus 20.05.2019 um 11:04:16 Uhr
Goto Top
Kann man so oder anders sehen, ganz ehrlich, wer etwas geübt ist, der tippt das sudo doch sowieso rein, wie andere über die Admin-Maske gehen, wirklicher Sicherheitsgewinn ist das nicht. Vor allem nicht, wenn es gar nicht _wissen will_. Das beste Sicherheitsfeature ist immer noch Wissen aufbauen.denn mit
sudo task
kann man genau so viel Mist machen, wenn der Befehlsstring dann lang genug ist, fallen die 4 Zeichen auch nicht mehr ins Gewicht. Daher, viel wichtiger, keine User an Adminkonsolen/PW ran lassen.

VG
Mitglied: NetzwerkDude
Lösung NetzwerkDude 20.05.2019 aktualisiert um 11:30:39 Uhr
Goto Top
Auf distros die auf das klassiche root setzen ohne sudoers, hat man es gerne so gemacht das man ssh nur für nicht-root user freigegeben hat. Das hatte folgenden Sicherheitsvorteil: Du musstest:
a) den user per ssh raten
b) dessen passwort
und c) wenn du drin warst, musstest du noch das root passwort erraten

Wobei man sich streiten kann ob das ein Sicherheitsgewinn ist, meist "reicht" es schon aus wenn der angreifer als irgendein user per ssh sich verbinet, fürs root bekommen nutzt der angreifer dann irgendwelche rechteausweitungs exploits o.ä.

Bei distros mit sudoers sinds halt nur 2 schritte:
a) user raten der ssh darf
b) dessen passwort
- wenn er in sudoers drinsteht, entfällt c)

Bei direktem root zugang, so wie du es richtig schreibst, entfällt eben noch a) sodass nur noch b) zu tun ist.

Besser ist vermutlich eh private-public keys zu nutzen bzw. 2FA mit z.B. Key + Passwort

MFG N-Dude
Mitglied: Lochkartenstanzer
Lösung Lochkartenstanzer 20.05.2019 aktualisiert um 11:51:49 Uhr
Goto Top
Zitat von @lcer00:

Bislang melde ich mich als root an und verzichte auf den Umweg user->sudo

PermitRootLogin sollte immer(!) auf No stehen!
Und Einloggen nur mit Zertifikaten!

Also - bei einem Server, bei dem Logins nur zu administrativen Zwecken erfolgen - sollte ich da trotzdem mit user/sudo arbeiten?

Ja.

Wie handhabt Ihr das?

Als User einloggen und sich dann ggf. mit sudo erhöhte rechte verschaffen (oder auch nicht). Nicht alles muß man als root tun.

Ich erkenne nicht so richtig die Vorteile, ausser vielleicht, dass man als Angreifer nicht raten muss, wie der Loginname ist.

Dir fliegt dann bei einem ssh-exploit nicht gleich der ganze Server um die Ohren sondern der Useraccount.

lks
Mitglied: lcer00
lcer00 20.05.2019 um 11:59:05 Uhr
Goto Top
Hallo,
Zitat von @Lochkartenstanzer:

Zitat von @lcer00:

Bislang melde ich mich als root an und verzichte auf den Umweg user->sudo

PermitRootLogin sollte immer(!) auf No stehen!
Und Einloggen nur mit Zertifikaten!

Also - bei einem Server, bei dem Logins nur zu administrativen Zwecken erfolgen - sollte ich da trotzdem mit user/sudo arbeiten?

Ja.

Wie handhabt Ihr das?

Als User einloggen und sich dann ggf. mit sudo erhöhte rechte verschaffen (oder auch nicht). Nicht alles muß man als root tun.

Ich erkenne nicht so richtig die Vorteile, ausser vielleicht, dass man als Angreifer nicht raten muss, wie der Loginname ist.

Dir fliegt dann bei einem ssh-exploit nicht gleich der ganze Server um die Ohren sondern der Useraccount.

lks

Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang. Also - wenn SSH, dann sudo?

Grüße

lcer
Mitglied: Kraemer
Kraemer 20.05.2019 um 12:01:27 Uhr
Goto Top
Zitat von @lcer00:
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang.
nein, kann man nicht.
Mitglied: it-fraggle
it-fraggle 20.05.2019 um 14:22:48 Uhr
Goto Top
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang. Also - wenn SSH, dann sudo?
Äpfel und Birnen!
Mitglied: lcer00
lcer00 20.05.2019 um 14:46:41 Uhr
Goto Top
Hallo
Na dann kann man doch sagen, dass sudo ein zusätzliches Sicherheitsfeature für den SSH-Zugang. Also - wenn SSH, dann sudo?

Man Leute, das war ein Stück weit ironisch gemeint. Die Windows-UAC habe ich auch nicht deaktiviert. Wobei das da nur 1 Klick ist - sudo sind 5 Tadtenanschläge pro Befehl face-smile

Also um es zusammenzufassen, sudo erhöht die Sicherheit hier und da, und sollte verwendet werden. PermitRootLogin gehört auf No.

Wobei, so ein bisschen eine Glaubensfrage ist da schon mit im Spiel. Nachdem es gefühlt 100 Jahre gebraucht hat bis Microsoft die UAC eingeführt hat, darf man natürlich sudo nicht in Frage stellen. Achtung: war auch etwas mit Ironie angereichert.

Jedenfalls kann ich dem Junior das ganze glaubhafter rüberbringen, wenn man es nicht nur auf dem Raspi sondern auch im Produktivbetrieb so handhabt.

Danke an alle

lcer
Mitglied: aqui
aqui 20.05.2019 aktualisiert um 15:37:47 Uhr
Goto Top
Nachdem ich aber gestern meinem Sohn am RasperryPi erklären musste weshalb er immer "sudo" eintippen muss
Das muss er ja nicht immer. Er kann ja auch einmal "sudo su" eingeben, dann ist er immer root face-wink
(Jedenfalls für die aktuelle Session)
Mitglied: lcer00
lcer00 20.05.2019 um 17:53:29 Uhr
Goto Top
Na aber damit unterlaufe ich ja das ganze Konzept. face-smile

Grüße

lcer