Arbeiten als root

[Huhn Hur Tu]

Immer wieder wird geschrieben, arbeiten als root ist gefaehrlich, aber niemand sagt warum.
Punkte fuer und gegen login per root.

Contra und baeh:
- Arbeiten mit Windowmanager, das muss wirklich nicht sein, ist ja kein Windows
- einmal einloggen und alles dort machen
- Login per SSH

Pro:
- Shell Login um eine Config zu editieren, Logs zu lesen, einen Service neu zu starten und dann im Anschluss die Logs zu lesen "UND" im Anschluss wieder ausloggen.

Aber das Argument, mit root einloggen ist boese kann ich nicht nachvollziehen, was meint ihr ?

[sam600]

Aber das Argument, mit root einloggen ist boese kann ich nicht nachvollziehen, was meint ihr ?

Habe ich auch so lange gemacht.
Das Problem ist: Es passieren Leichtsinn!

Wenn man aber zusätzlich noch ein Passwort eigeben werden muss
oder
Sich extra nochmal Anmelden, dann schaut man nochmal nach und ist sich seiner Verantwortung bewusst!

Also: Nie als Root Arbeiten

[corresponder]

Auf einem gewöhnlichen Desktop System ist es schlicht unnötig, da die root-Berechtigung selten benötigt wird.
Ein Terminal mit root-Rechten ist meist offen, falls ich es brauche...
Auf Servern arbeite ich meist als root Benutzer.....

[nopes]

Hier gibt es etwas Fleisch dazu: https://www.redhat.com/sysadmin/sysadmins-dont-sudo

Ich folge der Argumentation, dass man als Admin eine Shell will, so dass man gefälligst die tollen Linux Features nutzen kann - zB Tab-Completion, allerdings bin ich auch von sudo überzeugt. Ich finde ich den Artikel falsch, bzw würde die Argumentation nicht durchgehen lassen, es braucht kein root Passwort, nutzt gefälligst sudo -s bzw sudo su. Bei Firmen, geht es aber auch darum, dass man besser nachvollziehen kann, welcher Admin was gemacht, da sollte man dann konsequent verhindern, dass Admins eine Root-Shell haben können - was ich in der Praxis irgendwie noch nicht gesehen habe.
Es gibt da auch noch den Ansatz, dass man mehrere Nutzer mit der ID 0 erstellt, dass ist Käse, man kann da nicht immer verstehen, wer was gemacht hat, wie soll die 0 zurück in einen Nutzernamen gewandelt werden?

Je nach Unternehmen ist es inzwischen außerdem so, dass man nicht mehr einfach mit SSH auf die Server verbinden darf, man verbindet sich zu einem Terminal Server, von den aus zum Server, der Terminal Server wird "Video" überwacht, so können Aktionen unabhängig vom Log des Servers nachvollzogen werden - bei uns in Deutschland ist das mit hohen Hürden verbunden, es muss zB sichergestellt werden, dass der Datenschutz beachtet wird, man darf die Videos also nicht einfach anschauen bzw irgendwie ungeschützt verwahren.


Wie auch immer, eine Root-Shell zu verbieten, trägt mMn nicht dazu bei die Sicherheit zu erhöhen, kein Root Passwort und Login zu haben aber schon.

[DrunkenFreak]

In der Regel willst du keinen direkten Login mit root. Ein Angreifer müsste nur an diesem Login aufsetzen, um den Server zu kapern. Loggst du dich mit einem eigenen Benutzer ein (natürlich nicht nur mit PW), musst du per sudo / su erstmal root werden und nochmal dein Passwort eingeben. Ein Angreifer braucht also schon zwei Informationen, um den ganzen Server zu kapern.

Die Idee hinter dem Terminalserver ist eigentlich weniger die Überwachung, sondern eine zweite Sicherheitsebene. Du versuchst damit administrative Aufgaben von deinem Tagesgeschäft zu trennen. Der Terminalserver ist dabei in der Regel irgendwas, was nur Zugriff auf dein zu administrierendes Tier hat. Idealerweise ist es nichtmal ein Terminalserver, sondern ein zweiter pysischer Rechner mit Tastatur und Bildschirm. Das ist sicherlich sinnvoll, schießt meiner Meinung nach aber häufig deutlich über das Ziel hinaus.

[Huhn Hur Tu]

Der Redhat Link ist sehr interessant und bestaetigt mehr oder weniger meine Sicht auf die Welt. Terminalserver aka. Junphosts, vor allem shared junphosts halte ich fuer eine sehr gefaehrliche Sache, da sich hier Berchtigung akumilieren und ein sehr suesses Ziel abgeben.
Mein Fazit weiterhin: Daily Business sollte als unprivilegierter User geschehen, Admin Aufgaben koennen als eingeloggter root gemacht werden. Das aber verlangt die Disziplin sich auch nach der Aufgabe wieder auszuloggen und nicht einfach offene Rootshells stehen zu lassen.

[nopes]

Diese Hosts kriegst du nicht von außen, da braucht es viel internes Wissen - Unternehmenskultur und so lässt grüßen; vermutlich sollte man inzwischen aber auch so Dinge, wie "Post-Quantum" auf den Zettel packen - sa https://media.ccc.de/v/rc3-2021-cwtv...d-post-quantum