On Thu, 5 Jul 2001, Stephane Ziegler wrote:
> Voil�, donc ma question est simple, peut-on renommer le compte root??
En th�orie oui, vu que c'est le UID qui compte. Mais certains programmes
mal fait, au lieu de tester l'UID (getuid()/geteuid()) utilise la m�me
chose que la commande whoami, soit le /var/log/wtmp (ou utmp, je ne sais
jamais lequel est quoi).
Je ferais diff�remment:
- interdire le login de root � distance (notamment avec ssh c'est
facile, avec des getties (modem) il y a des options, notamment
securetty)
- interdire �ventuellement le login root local (/etc/securetty)
- se connecter exclusivement comme utilisateur normal et utiliser su,
avec ou sans la restriction de su � un groupe particulier en plus
du pw root.
Avantage: sauf tampering, on peut savoir qui s'est connect� comme
root via le sulog. Que l'on peut d'ailleur chattr +a
(append-only) puis ensuite changer le secure level et
si Linux tient ses promesses ce fichier ne pourra plus
�tre effac�/modifi�, on ne pourra qu'y ajouter.
Une autre fa�on: envoyer les logs sur une imprimantes,
ou sur un petit PC qui sauve sur disque et n'est connect�
� aucun r�seau. Solution du pauvre: envoi syslog via
r�seau sur un ordinateur `s�curis�' (ouais, s'il a syslog
en �coute j'h�site � le nommer ainsi).
Alternativement cr�er un root2 (ou autre nom) avec UID �galement 0, et
bloquer le password de l'autre (passwd -l root), pour qu'il soit encore
disponible mais pas connectable. C'est d'ailleurs la seule m�thode
correcte si l'on d�sire un autre shell que /bin/sh sous Solaris: sinon
bonjour les d�g�ts si l'on change celui de root.
Enfin, ces conseils pour administrateurs Windows �a fait toujours sourire,
il y a plein de sous-entendus vicieux pas pr�vus :)
Mais bon, ne pas travailler sous root (ou �quivalent) �a aide.
--
http://www-internal.alphanet.ch/linux-leman/ avant de poser
une question. Ouais, pour se d�sabonner aussi.
