Можно ли получить доступ к моим файлам, зная пароль от моей учетки?

Question

[account-6]

Может ли гипотетический злоумышленник, зная пароль от моей учетной записи получить доступ к моим файлам, у которых такие права -rw-------? Т.е. может ли он залогинится под рутом удаленно на мой ПК?

Comments

[vaut]

учетка в sudoers добавлена?

[account-6]

vaut: я ничего не добавлял и не изменял сам. Т.е. по умолчанию как система установилась, так и есть. Про sudoers затрудняюсь ответить, скажите плз как проверить?

[pfg21]

в коносоли ввести
groups
сия команда покажет группы, в которых состоит пользователь.
Если есть группа sudoers, то значит у пользователя есть доступ к "руту" через sudo, зная лишь пароль пользователя.

[account-6]

pfg21: есть группа sudo. Выходит что, зная один пароль можно логинится на чужой Линукс? Как от этого защищаться вообще?

[pfg21]

account-6: на какой чужой ?? мож не "линукс" а " чужой логин"
почитай про sudo - инструмент старый проверенный, и хорошо описанный.
Участие в групе sudo говорит что через sudo можно исполнять команды от имени root зная лишь пароль пользователя (который состоит в группе sudo).
и это нормально

удали пользователя из группы sudo
Вариант2: поковыряй файл настроек sudo

[account-6]

pfg21: если я удалю пользователя из группы судо, то как я смогу работать за этим ПК, если половина программ требуют судо?

[pfg21]

account-6: не давай доступ к своей учетке, что естестственно.
сделай пользователя, дай ему только минимум крайне необходимых прав (через тот же sudo конфигами там можно многое чего разрешить и без затребований паролей) и раздай доступ к нему.

[account-6]

pfg21: кому не давать доступ к своей учетке?

[pfg21]

account-6: ни кому :)
Как кто-то может узнать твой пароль ??
Если твои пароли/доступ дырявый - то можно многое наворотить.

[account-6]

pfg21: тогда что это за набор буков в виде совета в предыдущем посте? Я нихера не понял. Вы мне предлагаете создать еще одного юзера и дать ему те же права что у меня и так есть. Зачем, что это даст?

[pfg21]

account-6: я так понял, ты заходишь удаленно на свой комп с некоторых удаленных устройств на которых могут стырить пароль от твоей учетки.
заходи в таком случае под пользователем с сильно ограниченными правами.

Перечитал изначальный вопрос - он очень расплывчатый и неконкретный.
если некоторый хакер спер пароль, то он имеет все права спертой учетной записи, различие пользователей производится по их "именам".
И полные права на файлы стыренного пользователя, в том числе и смена прав на файл, хоть на -rwxrwxrwx, для системы он их полноправный владелец.
И вполне естественно на все возможности стыренного пользователя. Если входит в sudo группу, то и доступ к root (хотя это конфигами sudo можно переделать).

Может тебе проще закрыть удаленный доступ к компу ваапче - к примеру снести ssh и подобные, файерволом зарезать все входящие соединения и т.д. ??

[account-6]

pfg21: я никуда не захожу, с чего вы это взяли? Просто была некая активность на машине, и стало интересно насколько сложно получить доступ к моим файлам. Неужели меня от их утечки отделяет лишь один пароль? Это печально. Как бы закрытся вообще от доступа из внешнего мира, например дополнительно запрашивать ключ. Но это толко для ssh я так понял. А ведь могут залезть и другими способами, верно?

[account-6]

pfg21: кстати, а тот факт, что эта машина виртуалка Виртуалбокс, как-то усложняет для "хакера" задачу? Так сложнее получить доступ из внешнего мира?

[account-6]

Может как-то фаервол настроить и тд.

[pfg21]

account-6: системы защиты на данный момент настолько закручены, что человеческий фактор в виде пароля наверное действительно самое слабое звено :)
Но не трудно использовать сложный пароль, не использовать пароль там где его могут "увести" и т.д. вплоть до многофакторной авторизации.
отследи что за активность была на машине и потом только делай выводы, не ты первый имеешь сервер с кучей сервисов, открытых в тырнет. И все остальные как-то нормально живут при этом :)

виртуальник создаст еще одну прослойку в защите. но зачем городить каменный дом если ключ от входа один хер будет лежать под входным ковриком ??

Самое эффективное средство закрытия от доступа из внешнего мира - это с ентим миром не контачить. Просто выдерни сетевой шнур из компа :).

Answer 1

[Rsa97]

Эти права как раз дают доступ на чтение и запись владельцу файла.

Comments

[account-6]

Т.е. ответ - да, может? Зная один только пароль?

[Руслан Федосеев]

это ваши файлы? Вы к ним доступ имеете?
Чем от вас будет отличаться гипотетический злоумышленник, который узнает ваш пароль и с вашим логином и паролем зайдет в систему?

[Rsa97]

account-6: С точки зрения системы аутентификация по логину/паролю однозначно идентифицирует пользователя. Значит любой человек указавший ваши логин/пароль будет опознан системой как вы.

[account-6]

Руслан Федосеев: не знаю, я не имел опыта логина на удаленную машину (не VPS). Как защитится? Например, чтобы пароля было недостаточно?

[account-6]

Rsa97: можно как-то защитится, добавив дополнительное требование при удаленной аутентификации кроме логин:пароль?

[vaut]

account-6: да, настраиваете авторизацию по ключу. И всегда так и нужно настраивать.

[account-6]

vaut: будьте добры ссылку на мануал? Не получается нагуглить. Попадается только мануалы по AWS, где все автоматом настроено и так с ключем. Если что-то найдется, разместите ответом, отмечу решением.

[vaut]

account-6:
man sshd_config
https://help.ubuntu.com/community/SSH/OpenSSH/Keys

[account-6]

vaut: я разве спрашивал как генерировать ключи? Очевидно же, что меня интересует настройка системы запрашивать эти ключи, а не генерация ключей.

[Андрей Михалёв]

account-6: ссылку вам дали верную! все там расписано!

[Руслан Федосеев]

система и так готова их запрашивать.
генерим ключ
публикуем публичный ключ на сервере, куда надо ходить.
приватный ключ никому никогда не показываем
заходим на сервер, по умолчанию пройдет авторизация по ключу.
для пущего спокойствия можно сбросить текущий пароль пользователя в пустоту.
С точки зрения ПАМ - авторизация с пустым паролем невозможна. Поэтому подбор пароля невозможен в принципе. Подобрать ключ... Не встречал такого ;)

[account-6]

Руслан Федосеев: ок, с удаленными машинами более-менее понятно. Но меня в первую очередь интерсует МОЙ лептоп или виртуальные машины. И вопрос был только о них, я не спрашиваю об уделенных машинах и логинах на ВПС и тд.

[Руслан Федосеев]

а какая разница?
Принцип тот же - тот, кто знает ваш логин и пароль - это вы.
Либо 2fa добавляйте, либо шифруйте ваши конфиденциальные данные.

[account-6]

Руслан Федосеев: как это какая разница? Абсолютно разные вещи. Я буду использовать этот ПК ручками физически, а не по консоли. Ну вот вы все советуете мне ключ сделать. Как я его сделаю на ЛОКАЛЬНУЮ машину?))) Вернее, как использовать его? Вот я включаю ПК. И что дальше? Вы меня больше путаете, если честно. Как включить 2fa? Впервые об этом вообще слышу. Какой еще 2fa на Линуксе? Подозреваю, ответов на эти вопросы вы мне не дадите, потому что их нету, т.к. все эти советы не подходящие. Если ошибаюсь, исправьте. И что толку от шифрования-то? Если речь идет о загруженном ПК, в расшифрованном состоянии.

[Rsa97]

account-6: Ну вот вам вариант двухфакторной аутентификации (2fa) под Linux: https://habrahabr.ru/post/302562/
В конце концов, кто хочет сделать - ищет способ, кто не хочет - отговорку.

[account-6]

Rsa97: вот это уже любопытненько, спасибо за ссылочку :)

[account-6]

Rsa97: вот бы еще что-то вроде ключа USB. Только не платные решения вроде Ubikey, а из обычной флешки. Моно сделать такой 2fa?

Answer 2

[Михаил Конюхов]

Если у него есть ваш пароль и shell:
1. Если у Вас есть sudo
2. Если у Вас есть любые исполняемые файлы которые вы можете править от своего юзера и у них стоит suid-бит
3. Если например установелнный на машине fpm работает от рута и исполяет файлы из вашего home.
Да масса способов. вопрос о времени поиска дыры.

Если шела нет, его можно получить (например если у вас стоит sshd, то по паролю он пустит).

Так же доступ к вашему аккаунту скорее всего есть через pam, а значит proftpd,sshd,и все что угодно что смотрит в сеть

Comments

[account-6]

Как сделать дополнительную аутентификацию, чтобы пароля было недостаточно?

Answer 3

[Spetros]

Т.е. может ли он залогинится под рутом удаленно на мой ПК?

если ваш логин root, то да.

Comments

[account-6]

Как поставить дополнительную аутентификацию при удаленном логине?

Answer 4

[zooks]

Да, если файлы профиля незашифрованы.

Comments

[account-6]

Система зашифрована, не файлы естественно.

[zooks]

account-6: под рутом можно сделать все.