Чому кореневі не можна дозволяти входити через ssh?

чому слід відключити доступ до root для ssh? Я завжди чую це з міркувань безпеки. Але я цього не розумію. Що відрізняється від входу як некорінного, а потім sudo su -? Який найкращий спосіб обробляти завдання, які потребують пільгових дозволів?

Дякую

Томас

Судо є кращим способом, коли вам потрібно делегувати завдання адміністратора через його аудіативності та багатої деталізації. Судо дозволяє реєструвати всі команди та дозволяє адміністратору налаштувати різні профілі sudo для осіб або груп.

su або root доступ - це все або нічого

Root - це один обліковий запис, на якому гарантовано ввімкнено та увімкнено на кожній окремій машині Unix, тому його не потрібно вибирати для того, щоб спробувати змусити пароль. Без зовнішніх інструментів (обгортки, які вбивають очевидні сканери, пристрої запобігання вторгнень, подібні речі), лише з’явиться питання часу, перш ніж з'ясувати пароль. Навіть із зовнішніми інструментами, що запобігають подібній поведінці, все-таки хороша ідея змусити вхідних користувачів увійти як звичайний користувач, а потім su / sudo / pfexec до розширених приватних користувачів. Так, це додатковий крок, і це означає, що вам доведеться створювати облікові записи користувачів на машинах, які спільно використовуються між root-користувачами, але це ще один бар'єр між зловмисником і необмеженим контролем поля.

Основна відмінність полягає в тому, що зловмисник повинен вгадати і ім’я користувача. Якщо ви дозволите root входити, він просто повинен відгадати пароль.

Крім того, він може підробляти логін користувача, отримуючи ключ ssh, або повторно надсилати дані за допомогою підходу man-in-center, і він може увійти в систему, не вводячи пароль. Але якщо він увійде в систему як користувач, він повинен виконувати команди sudo-ize, і тому він змушений вводити пароль вручну. Якщо він був зареєстрований як корінь, йому не потрібно судоізувати речі, тому це ще один менш безпечний крок.

Там сотні тисяч машин, які сканують на наявність sshd та грубої змусити їх. "root" - це хороший рахунок, який слід спробувати спочатку, тому що якщо він не працює, то ви повністю володієте машиною. Його також є загальним обліковим записом у всіх * nix системах, якщо ви не відключите кореневі входи . Це дуже хороша практика безпеки.

Основна перевага цього полягає в тому, що він дозволяє більш гнучко контролювати доступ: Якщо користувач має права root через sudo, легко надати root права або забрати їх у міру необхідності. І навпаки, якщо ви дійсно передаєте людям root pw, ви не зможете його забрати (якщо ви не Men In Black ;-)), ви можете змінити лише root pw, що вплине на всіх.

У цьому контексті прямі кореневі логіни є непотрібними b / c, ніхто не має root pw.

(Вам все одно знадобиться кореневий pw для екстреного доступу до консолі в режимі одного користувача; але для цього повинні бути спеціальні положення).

Але HP-UX ніколи не змушує доступності root через ssh, чому?