Hi Reinhard, Reinhard Foerster schrieb: > On Wed, 02 Oct 2002 16:31:12 +0200, Guido Hennecke wrote: > >>guido 380 0.0 0.6 5696 264 ? S Sep26 1:45 /usr/sbin/sshd >> >>Beantwortet das deine Frage? > > > Tja, du bist halt noch nicht root. Du scheinst stolz darauf zu sein, da� > ein Teil der ssh bei dir als guido l�uft. Du scheinst speziell auf Fall > hinaus zu wollen, in dem der Teil der ssh gehackt wird, der bei dir als > guido und sonst als root l�uft. Sch�n, dann ist der Angreifer eben erstmal > nur maximal guido statt gleich root.
Was es einem Angreifer auf alle F�lle schwerer macht. Nicht umsonst ist man ja bem�ht, Prozesse m�glichst als 'nicht root' laufen zu lassen. Allerdings kann ich hier auch nicht so recht den Vorteil sehen. Der user guido verf�gt hier schon �ber Rechte die �ber die �blichen user Rechte hinaus gehen. > > In <woNU3.A.G6B.HUEn9@murphy> schreibst du aber sehr zutreffend: > > >>Ein anderer Systemuser (root ausgenommen) kann mir sowas auch nicht >>unterschieben und wenn die Programme auf meinem System bereits >>kompromitiert sind, hat root das selbe Problem. > > > Nun ist eben jemand da, der dir was unterschieben kann. ER (der > Angreifer), der mit deiner Variante nicht gleich root wird, sondern nur > guido, kompromittiert die Umgebung von guido nach belieben. > Wenn du dich beim n�chten mal anmeldest, wirst du einem anderem su das > Passwort geben, als du eigentlich wolltest. Oder willst du ernsthaft > behaupten, da� du bei JEDEM login erstmal $PATH und 1000 andere Dinge > des Accounts guido pr�fst, bevor du su sagst? Das nimmt dir keiner ab. Nein, das braucht er doch garnicht. Mit '/bin/su' kann ein Angreifer $PATH solange ver�ndern wie er will. BTW, f�r die meisten Arbeiten sind gar keine root Rechte notwendig. Wenn es dann doch mal notwendig sein sollte, '/usr/bin/sudo'. Damit ist es besser sich als normaler Benutzer einzuloggen und sich nur bei Bedarf f�r den jeweiligen Befehl rootrechte zu genehmigen. Also nur da als root arbeiten, wo es unbedingt notwendig ist. [..]. Es k�nnte hilfreich sein in der sshd_config PermitRootLogin auf no oder zumindest auf 'without-password' zu setzen. �ber die Datei authorized_keys w�re es weiterhin m�glich den root account auf die unbedingt notwendigen Befehle zu beschr�nken. > Bei deiner Variante kommen noch alle Unsicherheitsfaktoren dazu, die > sowieso mit dem account guido verbunden sind. Du hast mit deinem Umweg Welche da w�ren? mit freundlichen Gr��en J�rg Zimmermann -- .xsiteing agentur f�r netzkommunikation 42103 wuppertal - friedrich-ebert-str. 34 tel: 0202 / 309 707 10 - fax: 0202 / 309 707 15 -- Zum AUSTRAGEN schicken Sie eine Mail an [EMAIL PROTECTED] mit dem Subject "unsubscribe". Probleme? Mail an [EMAIL PROTECTED] (engl)
