Есть ли смысл, в Linux с точки зрения безопасности заходить на удаленную машину по SSH через пользователя, а потом работать админом через su?

Question

[anton13ms]

Есть ли смысл, в Linux с точки зрения безопасности заходить на удаленную машину по SSH через пользователя, а потом работать админом через su ?

Comments

[Juhani Lahtinen]

Нет, точнее да, обязательно отключать рута при доступе по SSH в sshd_config.

PermitRootLogin no

Но лучше таки через сертификаты. Поверьте это не больно =)

Если Ваша машина будет торчать портом в инете то через пару часов вас будут брутить без остановки, создавая помимо нагрузки на хост нагрузку на трафик..

[Adamos]

От брута без остановки неплохо помогает нормальный пароль и fail2ban.
Причем отключение авторизации рутом не отменяет этих двух пунктов.

Answer 1

[iddqda]

Конечно.
Все ж ломятся на рута. а если не включать в sshd возможность заходить рутом (по умолчанию давно выключено) то и брутфорс не страшен.
А для того, чтобы зайти под любым другим логином злоумышленнику необходимо подобрать не только пароль, но и логин этот. И даже в случае успеха злоумышленник попадает в систему как непривилегированный пользователь.

Comments

[Wexter]

В чём проблема дропнуть пароль рута и ходить по ключу?

[chupasaurus]

Wexter, дыра в OpenSSH при заблоченном руте не даст к нему доступа.

[Rozello]

В принципе это хорошая идея, как и перейти с паролей на ключи.
Но важно помнить что если вы ходите под рута из под юзера, то ломануть могут уже юзера.
Ломанув юзера, посмотрят историю команд (если она пишется), увидят что вы ходите из под этого юзера в рут и могут спокойно запилить фейковый sudo например, он запишет пароль от рута или создаст суидник.
Таким образом чисто технически защита вроде как есть, но на практике нужно быть очень осторожным если есть хотя-бы минимальная возможность получить доступ к этому аккаунту атакующим.

Answer 2

[Alexey Dmitriev]

Конечно есть. Это дополнительная линия защиты.

Comments

[anton13ms]

Хорошо, а как быть например с командами LVM?
Я попробовал. команда lvs к примеру не работает через su ...

[anton13ms]

anton13ms, А нет, все работает, через su - надо было:(

Answer 3

[xmoonlight]

Port-knocking - лучшая защита порта.