Accesso root senza password

0

So che è strongmente sconsigliato abilitare l'accesso root sul server, ma siccome le chiavi SSH sono quasi impossibili posso abilitare l'accesso root usando solo le chiavi ssh ed essere sicuro?

Il mio sistema operativo è Ubuntu 16.04.

Immagino che l'universo abbia le sue battute ma la cosa più divertente e triste mi succede il giorno dopo che ho fatto questa domanda e la scheda madre del mio portatile si è rotta e ora sono contento di avere un altro utente oltre a root che non accetta password e si connette solo tramite chiavi SSH.

    
posta Amin Vakil 22.09.2017 - 11:35
fonte

3 risposte

4

can I enable root access just by using ssh keys and be safe

Dipende dal modo in cui si protegge la chiave privata appartenente alla chiave pubblica autorizzata.
Non vedo alcun problema che qualcuno possa forzare il server direttamente per ottenere l'accesso come root. Ma qualcuno potrebbe hackerare il tuo sistema client, rubare la chiave privata e quindi usarla per ottenere l'accesso root al server.

    
risposta data 22.09.2017 - 11:41
fonte
1

(iniziato come commento - ma diventando un po 'prolisso ....)

Se il suo solo sul tuo PC non è ben protetto - se perdi il tuo PC, perdi l'accesso al tuo server. La protezione non consiste solo nell'impedire ad altri di ottenere l'accesso, ma nel garantire che le persone autorizzate continuino ad avere accesso.

Se si autorizzano entrambi gli accessi di password e keypair, il server è molto più vulnerabile - "root" è un nome utente noto con privilegi e quindi frequentemente utilizzato negli attacchi di forza bruta. Le attenuazioni richiedono l'appartenenza a un gruppo specifico (non protegge "root" ma è utile per "bin", "dev", "apache", ecc.) Porta knocking e fail2ban.

Forse appare anche nei tuoi backup. Forse hai un RAID per proteggere dalla perdita di dati in guasti hardware. Forse hai un processo efficace per lo smaltimento della memoria ritirata / interrotta. Forse hai UPS per proteggere contro la corruzione in interruzioni di corrente. Forse hai IDS in esecuzione sul dispositivo in cui è memorizzata la chiave. Forse hai IPS in esecuzione davanti al dispositivo. Forse questo dispositivo è un dispositivo bloccato utilizzato solo come terminale per il tuo server. Forse hai i processi e la tecnologia in atto per controllare tutti gli accessi sul tuo server. Forse il tuo server utilizza forti hash delle password e i backup del server sono gestiti in modo sicuro .....

Non possiamo dire se sarai "sicuro" perché si tratta di un termine relativo e non sappiamo quale sia la tua definizione di sicurezza né il valore delle risorse protette.

Se fosse il mio server e il valore lordo fosse inferiore a un mese di reddito, mi sentirei a mio agio nell'usare gli accessi alla coppia di chiavi insieme a fail2ban, ma non permetterei mai gli accessi ssh come root da remoto. Gli unici scenari in cui non potevo accedere utilizzando un uid e su diverso sarebbe il punto in cui il sistema è così rotto che è improbabile che sshd sia in esecuzione.

    
risposta data 22.09.2017 - 14:03
fonte
0

Per quanto riguarda l'implementazione SSH, è possibile. E i mabye usano alcune misure extra con le regole del firewall, l'autenticazione personalizzata di 2 fattori ecc. Ma devi anche essere cauto con un'altra cosa. Se qualcuno ottiene l'accesso a questa macchina da un altro utente e riesce ad inoltrare i suoi privilegi a root, sarà in grado di aprire una connessione SSH alla sua macchina. Quindi, considera anche questo, prima di consentire a un utente privilegiato di utilizzare SSH.

    
risposta data 24.09.2017 - 11:49
fonte

Leggi altre domande sui tag