фича - дыра в безопасности

[nadge]

В убунте в 9.04 и в 9.10 (а может и в предыдущих) есть гениальная дыра в безопасности. Дело в том, что по умолчанию там не задан пароль рута, что само по себе не беда. Но при этом загрузочные скрипты устроены так, что если им что-то не понравится, они автоматом выкидывают в рутовскую консоль. Причина может быть банальна - не смог проверить диск fsck. У меня на ежике, к примеру, это вполне штатная ситуация.

Получается, если ко мне придет в гости приколист-линуксоид и ему повезет - жди беды. На офисных компах наверно еще веселее. Офигенная политика безопасности. Может вообще от паролей отказаться?

Когда я увидел это в 9.04, я подумал, что это баг и просто задал рутовский пароль. Однако, большинство пользователей этого не делают (я бы тоже не делал). А всего-то надо при установке задать пароль рута совпадающим с паролем юзера. Одна строчка кода.


По этому у меня просьба: ув. линуксоиды, кто хорошо знает инглиш, запостите баг на ланчпад, пока 9.10 не зарелизился. Я думаю, там много желающих под ним подпишется. Я бы сам запостил, но врядли осилю.

[Mars803]

Дак это ты сам виноват что пароль от рута при установке не ставишь, там вроде как в графике это всё отображено, я всегда пароль ставил к примеру, а если пароль не ставят то это уже на любителя (как в винде)
Мне не кажется что это баг

[drBatty]

есть гениальная дыра в безопасности. Дело в том, что по умолчанию там не задан пароль рута, что само по себе не беда.

Вы это тоже подметили? Это не баг, а фича. Безопасная убунта - это такая, к которой друзей не подпускаешь, и всё делаешь сам. Мне тут доказывали, что из сети залогинится как рут я не смогу - не знаю, не пробовал, но локально - легко. Убунтоведы считают, что имея локальный доступ можно любой комп сломать: LiveCD-chroot-...
Потому не стоит огород городить.

Впрочем, если вам это не нравится - вы можете это поменять, даже без смены дистрибутива. Получится более безопасная убунта. Желательно перенастроить sudo, сменить пароли, отключить интернет и внешние накопители...

[Nikky]

Дак это ты сам виноват что пароль от рута при установке не ставишь, там вроде как в графике это всё отображено, я всегда пароль ставил к примеру, а если пароль не ставят то это уже на любителя (как в винде)
Мне не кажется что это баг

Чего-то я не заметил когда его [пароль рута] предлагалось вводить при установке. Наверное со зрением что-то. Убунту 9.10. Простейшее воспроизведение фичи [бага?] - зашифровать /home. Следующая загрузка - и рутовская консоль к вашим услугам, ибо fsck, отказываясь проверять шифрованный раздел, вылетает с ошибкой.

[unflag]

Когда я увидел это в 9.04, я подумал, что это баг и просто задал рутовский пароль. Однако, большинство пользователей этого не делают (я бы тоже не делал). А всего-то надо при установке задать пароль рута совпадающим с паролем юзера. Одна строчка кода.

Это не баг, это фича. sudo называется. Залогиниться в системе под рутом невозможно без лишних телодвижений. Странно, что человек пользующийся Gentoo не осилил документацию Ubuntu. Да и делать пароль рута таким же, как и пароль пользователя - это "офигенная политика безопасности". Еще замечу, что при наличии физического доступа к компьютеру все эти пароли - не большая проблема и запрос пароля при загрузке в single-user mode ни разу не остановит того, кто вознамерится подрисовать усы на ваших фотографиях:) Так что выключайте обратно рута и спокойно пользуйтесь sudo.

[diesel]

Когда я увидел это в 9.04, я подумал, что это баг и просто задал рутовский пароль. Однако, большинство пользователей этого не делают (я бы тоже не делал). А всего-то надо при установке задать пароль рута совпадающим с паролем юзера. Одна строчка кода.

Это не баг, это фича. sudo называется. Залогиниться в системе под рутом невозможно без лишних телодвижений. Странно, что человек пользующийся Gentoo не осилил документацию Ubuntu. Да и делать пароль рута таким же, как и пароль пользователя - это "офигенная политика безопасности". Еще замечу, что при наличии физического доступа к компьютеру все эти пароли - не большая проблема и запрос пароля при загрузке в single-user mode ни разу не остановит того, кто вознамерится подрисовать усы на ваших фотографиях Так что выключайте обратно рута и спокойно пользуйтесь sudo.

он немного не о том. как раз если: или один из скриптов загрузки, mount'ы например, заканчивается с ошибкой, или в single-user mode когда грузишься, в debian-based тебе скажет что-то типа: или введите пароль рута для отладки, или нажмите Ctrl+D для продолжения загрузки(и будет загружаться система как обычно). Если пароль рута не задан - то тебя сразу выбросит в рутовую консоль, что не очень хорошо.

Конечно, из простых вещей есть еще init=/bin/bash на незапароленном грубе...

[Reboot]

Может вообще от паролей отказаться?

RMS!

[serzh-z]

он немного не о том. как раз если: или один из скриптов загрузки, mount'ы например, заканчивается с ошибкой, или в single-user mode когда грузишься, в debian-based тебе скажет что-то типа: или введите пароль рута для отладки, или нажмите Ctrl+D для продолжения загрузки(и будет загружаться система как обычно). Если пароль рута не задан - то тебя сразу выбросит в рутовую консоль, что не очень хорошо.

Имхо, обсуждать надёжность системы, к которой имеется физический доступ - это моветон... Если же это ноутбук, доступ к которому нужно ограничить в случае кражи/утери - то для этого есть LUKS, с помощью которого можно зашифровать весь корень, и загрузка будет останавливаться (до ввода правильного пароля или вставки ключа) на запуске initramfs.

[diesel]

он немного не о том. как раз если: или один из скриптов загрузки, mount'ы например, заканчивается с ошибкой, или в single-user mode когда грузишься, в debian-based тебе скажет что-то типа: или введите пароль рута для отладки, или нажмите Ctrl+D для продолжения загрузки(и будет загружаться система как обычно). Если пароль рута не задан - то тебя сразу выбросит в рутовую консоль, что не очень хорошо.

Имхо, обсуждать надёжность системы, к которой имеется физический доступ - это моветон...

в принципе не спорю, хотя ... когда для того чтобы очутиться один на один с рут-консолью может быть необходимо и достаточно просто включить чужую машину(без любых уловок) - это как-то нехорошо.

[nadge]

Дак это ты сам виноват что пароль от рута при установке не ставишь, там вроде как в графике это всё отображено, я всегда пароль ставил к примеру, а если пароль не ставят то это уже на любителя (как в винде)

Подкрепите скриншотом?

Убунтоведы считают, что имея локальный доступ можно любой комп сломать: LiveCD-chroot-...
Потому не стоит огород городить.

Если корпус в сейфе и загр. с liveCD запрещена - это маловероятно. Да и дома у меня врядли кто-то будет разбирать корпус компа пока я вышел покурить... А тут сразу консоль рута.
Это тоже самое, что не ставить на входе в квартиру дверь т.к. любую дверь можно взломать, имея к ней локальный доступ, болгарку и кувалду...

Впрочем, если вам это не нравится - вы можете это поменять, даже без смены дистрибутива. Получится более безопасная убунта. Желательно перенастроить sudo, сменить пароли, отключить интернет и внешние накопители...

Ага. А почему бы все это (кроме последних двух пунктов) не сделать разработчикам? Вроде это не сложно. Я даже сам готов сделать, если мне доступ дадут.
Но просто так его не дадут, посему я и попросил кого-то одного запостить баг, а остальных подписаться под ним.

Это не баг, это фича. sudo называется. Залогиниться в системе под рутом невозможно без лишних телодвижений.

Прочитайте пост прямо перед вашим. У меня на ежике так даже шифровать ничего не надо, там сразу рут дается :)

Да и делать пароль рута таким же, как и пароль пользователя - это "офигенная политика безопасности".

А чем это плохо? Всеравно рутовые права дает sudo с паролем пользователя. Смысл тогда разные пароли запоминать?

запрос пароля при загрузке в single-user mode

Эта штука всем очедидна. Описанная мною проблема - скрыта.

[unflag]

Прочитайте пост прямо перед вашим. У меня на ежике так даже шифровать ничего не надо, там сразу рут дается :)

Я немного неверно высказался. Имелось ввиду, что нельзя в обычном режиме использовать su или залогиниться как root. В сингле да - сразу дает рутовый шелл. Тем не менее - это не баг. Поскольку рут в системе отключен и пароль для него во время установки системы не задается, то естественно, что и в дальнейшем пароль продолжает отсутствовать, если не задать его самостоятельно.

А чем это плохо? Всеравно рутовые права дает sudo с паролем пользователя. Смысл тогда разные пароли запоминать?

Если уж заморачиваться безопасностью, то по-человечески:) Для sudo можно задать некие ограничения, например сделать невозможным запуск rm с правами рута, к тому же ведется лог:) Для su никаких ограничений нет.

Эта штука всем очедидна. Описанная мною проблема - скрыта.

Проблемы нет. Как я уже написал - у рута пароль отсутствует, со всеми вытекающими. Если же пароль присутствует, то упомянутый diesel трюк с init=/bin/bash позволяет получить рутовый шелл за то время, пока вы ходите курить. И нет, я не хочу сказать, что нужно наплевать на безопасность. Как раз наоборот. Но стоило бы внимательнее ознакомиться с документацией дистрибутива, и если уж так беспокоит безопасность, то, например, поставить систему на lvm с шифрованием.

[drBatty]

Если корпус в сейфе и загр. с liveCD запрещена - это маловероятно. Да и дома у меня врядли кто-то будет разбирать корпус компа пока я вышел покурить... А тут сразу консоль рута.

ну и я про то... ИМХО рут должен быть, и он должен быть с паролем, и мало того, НИКАК нельзя получить полномочий рута, кроме как не более 10ю путями (что-бы понимать, что это - безопасно. ну например через su, или через sudo, но такое sudo, которое даёт право разве что смонтировать CD и - ВСЁ).


я тут подумал...
ну поставите пароль, а если:
sudo passwd
?

Ага. А почему бы все это (кроме последних двух пунктов) не сделать разработчикам? Вроде это не сложно. Я даже сам готов сделать, если мне доступ дадут.

дык. я и не на убунте :)

к тому же ведется лог:)

а против лога есть sudo sed

Имхо, обсуждать надёжность системы, к которой имеется физический доступ - это моветон...

нет. ну вы разве кино не смотрите? что, злоумышленник так спокойно разбирает комп? сидит за ним часами? ну нет у него времени, он всё с оглядкой делает, и как можно быстрее. Каждое лишнее препятствие - это для него в разы увеличившиеся шансы поимки, да и даже не поимки - сменить пароль хозяину - минутное дело, потому злоумышленник не только должен этот пароль выкрасть, но и сделать это так, что-бы хозяин этого не заметил.

[kosteel]

нет. ну вы разве кино не смотрите?

Ну кино про кулхуцкеров - это вообще отдельный разговор.

По сабжу: тут важен такой момент, что немногие (очень не многие) задумывабтся о безопасности десктопов, кому это важно - тот учит матчасть и так или иначе защищает систему остальные "nobody cares"©. Чтобы забыть об озвученой тут багофиче нужно всего-то ничего: поставить пароль на рута и слегка поднастроить sudo (к стати именно на sudo я не так давно попался Реальные приколы от чайников.. Для более серьезной защиты нужны более серьезные действия - кому это важно/интересно - изучают и защищают.

[drBatty]

(к стати именно на sudo я не так давно попался Реальные приколы от чайников..

ну я же сколько раз говорил

[kosteel]

(к стати именно на sudo я не так давно попался Реальные приколы от чайников..

ну я же сколько раз говорил

Ну тут уж такие дела, злоумышленников то нету, хотел от самих пользователей систему защитить и не думал что они ломать попытаются, в принципе один фиг: еслиб захотели сломать ничтоб не помешало загрузить с ливСД систему и

Код: Выделить всё

mkpasswd -m md5 123

полученный результат в /etc/shadow напротив рута и заходим с пасом 123. Потому я теперь и не ставлю туда рута и не закрываю им доступ, всерно сломают при физическом доступе к машине

[MMouXe]

ОМГ, как я раньше под админом в популярной винде умудрялся сидеть и не париться? Соображающих приколистов-линуксоидов днем с огнем не найти, плюс к этому еще и фс нужно сломать заранее. Паранойя, такая паранойя.

[drBatty]

ОМГ, как я раньше под админом в популярной винде умудрялся сидеть и не париться?

дык к вам все заходили, и не парились. а вы об этом и не догадывались...

[MMouXe]

Да что уж там догодываться-то, если я могу что-то делать в системе под данным юзером, то почему, только что севший за клаву, сосед Вася не сможет? Мне было банально пофиг.