PDA

Archiv verlassen und diese Seite im Standarddesign anzeigen : Sicherheitsrisiko screen?



totycro
16.06.08, 11:10
Hallo,

Ich hab mich gerade als normaler Benutzer via ssh an meinem Server eingeloggt, und dann "screen -r" ausgeführt. So weit, so gut, nur dann bin ich etwas erschrocken: Ich hatte eine Root-Shell vor mir ohne das Root-Passwort eingegeben zu haben (In der vorigen Session hab ich "su" ausgeführt, und mich nicht wieder ausgeloggt).

Offensichtlich ist das ein enormes Sicherheitsrisiko. Ich weiß, dass ich es durch Aufmerksamkeit (immer root-Sessions beenden) vermeiden kann, aber gibt es nicht vielleicht eine elegante Lösung, die so etwas verhindert? Kann mir der Server irgendwie mitteilen, dass eine Rootshell im Hintergrund läuft?
Oder sollte ich mein Verhalten ganz ändern (z.B. su in screen nicht ausführen)?

marce
16.06.08, 11:14
Du könntest die root-Logins zeitlich beschränken - dann wäre nach z.B. 5min. Untätigkeit die Shell zu.

Oder su - und dann erst screen starten, wenn nötig.

Ansonsten: Einfach aufpassen und sorgfältig arbeiten.

Thorashh
16.06.08, 14:56
Das mit Abstand größte Sicherheitsrisiko ist immer noch der Typ vor der Tastatur. So auch in diesem Fall.

Man kann mit jedem Tool, das nicht sachgerecht angewendet wird Schaden anrichten. Im Fall von screen ist es eben die Rootshell im Hintergrund.

Du könntest Dir natürlich auch mal die /etc/screenrc ansehen (Stw.: autodetach, acl*, man screen)

pucki
16.06.08, 18:47
tja darum habe ich mir angewöhnt, screen nur als root selbst aufzurufen ...

grüße

Sidolin
16.06.08, 19:14
Oder mit sudo arbeiten und das so einstellen dass man nach 5 min das Passwort neu eingeben muss. Ist auch oft schon so voreingestellt.

MiGo
16.06.08, 20:42
Da hilft die Variable "$TMOUT".

TMOUT If set to a value greater than zero, TMOUT is treated as the
default timeout for the read builtin. The select command termi‐
nates if input does not arrive after TMOUT seconds when input is
coming from a terminal. In an interactive shell, the value is
interpreted as the number of seconds to wait for input after
issuing the primary prompt. Bash terminates after waiting for
that number of seconds if input does not arrive.
Einfach in der .bashrc von root auf 5 Minuten setzen, dann wird root nach 5 Min. automatisch abgemeldet. Genau so mache ich das auch (bei mir auch beim User, dann fliegen nicht immer 23 ungenutzte xterms rum :))

MiGo

totycro
16.06.08, 22:20
Da hilft die Variable "$TMOUT".

Einfach in der .bashrc von root auf 5 Minuten setzen, dann wird root nach 5 Min. automatisch abgemeldet. Genau so mache ich das auch (bei mir auch beim User, dann fliegen nicht immer 23 ungenutzte xterms rum :))

MiGo

Danke, das ist sehr hilfreich.



Oder mit sudo arbeiten und das so einstellen dass man nach 5 min das
Passwort neu eingeben muss. Ist auch oft schon so voreingestellt.
Daran hab ich auch schon gedacht, aber eine kleine Fehlkonfiguration oder ein Bug im Programm sind wieder neue Sicherheitsrisiken..
Ich habe einen kleinen Server mit einem kleinen Apache und kleinen Konfigurationen, dabei soll es fürs erste auch bleiben :)