Hallo,
aus welchem Grunde das root Login deaktiviert sein sollte ist klar. Wie sieht es aber aus, wenn man das Login nur per Public-Key zulässt? Ist es immer noch sinnvoll, root Login zu deaktivieren? Wenn ja, warum?
Gruß Hille
Verständnisfrage root-Login
-
Roger Wilco
- Posts: 5923
- Joined: 2004-05-23 12:53
Re: Verständnisfrage root-Login
Die Sicherheit deines SSH-Schlüssels (und dessen hoffentlich gesetzter Passphrase) bestimmt die Sicherheit deines Root-Zugangs.
Wenn du deine Schlüssel sicher lagerst und die Passphrase sinnvoll gesetzt ist, spricht nichts dagegen den Root-Zugang via SSH-Schlüssel zu erlauben.
Letztlich kannst du dir den SSH-Schlüssel als sehr langes Passwort für den Root-Zugang vorstellen. Wenn du das Passwort vergisst (also den SSH-Schlüssel velierst oder dessen Passphrase vergisst) oder dieser in falsche Hände gerät, hast du verloren. Der Zwischenschritt über ein ansonsten unpriviligiertes Benutzerkonto kann hierbei eine weitere Hürde für einen potentiellen Angreifer darstellen. Allerdings nur wenn die Zugangsdaten zu diesem (sei es nun ein normales Passwort oder wieder ein SSH-Schlüssel) mindestens ebenso gut gesichert sind, wie du deinen Root-Zugang schützen würdest.
Wenn du deine Schlüssel sicher lagerst und die Passphrase sinnvoll gesetzt ist, spricht nichts dagegen den Root-Zugang via SSH-Schlüssel zu erlauben.
Letztlich kannst du dir den SSH-Schlüssel als sehr langes Passwort für den Root-Zugang vorstellen. Wenn du das Passwort vergisst (also den SSH-Schlüssel velierst oder dessen Passphrase vergisst) oder dieser in falsche Hände gerät, hast du verloren. Der Zwischenschritt über ein ansonsten unpriviligiertes Benutzerkonto kann hierbei eine weitere Hürde für einen potentiellen Angreifer darstellen. Allerdings nur wenn die Zugangsdaten zu diesem (sei es nun ein normales Passwort oder wieder ein SSH-Schlüssel) mindestens ebenso gut gesichert sind, wie du deinen Root-Zugang schützen würdest.
Re: Verständnisfrage root-Login
Sehr theoretisch betrachtet,
bei einem individuellen Account hat der Angreifer fast keine Chance den Account zu erraten. Ausser, es ist ein Insider.
Limitiert man den Zugriff auf diesen Benutzer (der nun nicht Michel, Paul postfix etc. etc heisst), ist ein Angriff sehr schwierig und Aufwendig und dessen Erfolg nahezu unrealistisch.
Nimmt man die nicht all zu "alte" Panne bei Debian mit den ssh keys, dann wäre man über diesen Weg und Passwortautentifizierung (bei einem Komplexen Passwort) "sicher" gewesen. Sicherheit ist ja immer relativ.
http://www.coding-board.de/board/showthread.php?t=26576
Daher, ja sinnvoll, was aber im Falle eines solchen Bugs trotzdem andere zusätzliche Absicherungsmassnahmen erfordert.
Den root Account kennt halt nunmal jeder. Zumindest jene, die Linux kennen.
Anderes Beispiel:
Während die Standardbenutzer bei mir ständig abgeklappert werden, aber ein Login nicht erlaubt ist, juckt mich das auch nicht. Ist halt ein Logeintrag einer vergeblichen und typischen Brute Force Attacke.
Wer sollte wissen, dass mein Administratoraccount z.B. "!I§am%root/but)not?named(root&" lautet.
Sollte jedoch im Logfile ein oder mehrere erfolglose Loginversuche protokoliert werden, dann wird's Zeit Alarm zu schlagen und den Angriff ganz explizit zu verfolgen. Vor allem jedoch den ganzen Sicherheitsaparat inkl. Policy zu hinterfragen, woher der Angreifer ggf. den Benutzeraccount kennen könnte.
Natürlich war das nur ein Beispiel, so lautet mein Admin Account natürlich nicht. Und das will aus eigenem Interesse auch niemand wissen.
<ironie>Falls jemand etwas anderes behauptet, vertrau Ihm nicht, der lügt.</ironie>
bei einem individuellen Account hat der Angreifer fast keine Chance den Account zu erraten. Ausser, es ist ein Insider.
Limitiert man den Zugriff auf diesen Benutzer (der nun nicht Michel, Paul postfix etc. etc heisst), ist ein Angriff sehr schwierig und Aufwendig und dessen Erfolg nahezu unrealistisch.
Nimmt man die nicht all zu "alte" Panne bei Debian mit den ssh keys, dann wäre man über diesen Weg und Passwortautentifizierung (bei einem Komplexen Passwort) "sicher" gewesen. Sicherheit ist ja immer relativ.
http://www.coding-board.de/board/showthread.php?t=26576
Daher, ja sinnvoll, was aber im Falle eines solchen Bugs trotzdem andere zusätzliche Absicherungsmassnahmen erfordert.
Den root Account kennt halt nunmal jeder. Zumindest jene, die Linux kennen.
Anderes Beispiel:
Während die Standardbenutzer bei mir ständig abgeklappert werden, aber ein Login nicht erlaubt ist, juckt mich das auch nicht. Ist halt ein Logeintrag einer vergeblichen und typischen Brute Force Attacke.
Wer sollte wissen, dass mein Administratoraccount z.B. "!I§am%root/but)not?named(root&" lautet.
Sollte jedoch im Logfile ein oder mehrere erfolglose Loginversuche protokoliert werden, dann wird's Zeit Alarm zu schlagen und den Angriff ganz explizit zu verfolgen. Vor allem jedoch den ganzen Sicherheitsaparat inkl. Policy zu hinterfragen, woher der Angreifer ggf. den Benutzeraccount kennen könnte.
Natürlich war das nur ein Beispiel, so lautet mein Admin Account natürlich nicht. Und das will aus eigenem Interesse auch niemand wissen.
<ironie>Falls jemand etwas anderes behauptet, vertrau Ihm nicht, der lügt.</ironie>
Last edited by ddm3ve on 2011-12-25 22:50, edited 3 times in total.
02:32:12 21.12.2012 und dann sind Deine Probleme alle unwichtig.
Re: Verständnisfrage root-Login
Wichtig bei den SSH-Keys, egal ob für root oder einen normalen User, ist, dass die Schlüssellänge 2048 Bit (besser 4096) beträgt und es ein RSA Key ist.
Ansonsten gilt natürlich, dass ein seperater Adminaccount eine weitere Hürde ist.
Ansonsten gilt natürlich, dass ein seperater Adminaccount eine weitere Hürde ist.
PayPal.Me/JoeUser ● FreeBSD Remote Installation
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Wings for Life ● Wings for Life World Run
„If there’s more than one possible outcome of a job or task, and one
of those outcomes will result in disaster or an undesirable consequence,
then somebody will do it that way.“ -- Edward Aloysius Murphy Jr.
Re: Verständnisfrage root-Login
Ok, Danke für die ausführlichen Ausführungen.