bir süre önce root şifresini verdim, böylece root olarak giriş yapabilirim ve bazı şeyler yapabilirim. Şimdi, servisimi internete maruz bırakacağım için güvenliği sıkılaştırmak için kök girişini devre dışı bırakmak istiyorum. Bunu yapmanın birkaç yolunu gördüm ( sudo passwd -l root, işe yaramaz /etc/shadow, vb.), Ancak hiçbir yerde, bunu yapmanın en iyi / en mantıklı yolunun ne olduğunu söyleyemez. Yaptım, sudo passwd -l rootancak bunun init betiklerini etkileyebileceğini ve giriş yapmaktan kaçınmak yerine giriş yapmayı denerseniz hala bir şifre istediğinden beri göründüğü kadar güvenli olmadığını söyleyen tavsiyeler gördüm. Peki, bunu başarmanın yolu ne olurdu?

EDIT: netleştirmek için, bu root olarak yerel giriş içindir; SSH ile uzaktan giriş yapmayı zaten devre dışı bıraktım. Her ne kadar SSH üzerinden root olarak giriş yapmaya çalışıyor olsa da hala root şifresini sorar (her zaman başarısız olur). Kötümü?

Bana göre, kökü devre dışı bırakmanın potansiyel sorunlara değeceği tartışmalı. Böyle bir şekilde yapılandırılmış bir sunucuyu hiç test etmedim. Tercihim yalnızca yerel root erişimine izin vermek. Bir saldırgan sunucunuza fiziksel olarak erişebiliyorsa, kurulumunuzu "güvenli" hale getirmek için yaptığınız her şeyi unutabilirsiniz.

Aşağıdakileri içermek üzere sshdüzenleyerek kök erişimini devre dışı bırakın /etc/ssh/sshd_config:

PermitRootLogin no

Kemanla /etc/shadow, chsh -s /bin/false roottümü basit bir CD / thumbdrive ile geri alınabilir.

Yorumunuz başına güncelleme:

Gönderen help.ubuntu.com : "Varsayılan olarak, kök hesabı şifresi Ubuntu kilitlenir ". Lütfen özel olarak "Kök hesabınızı devre dışı bırakma" bölümüne bakın. Kök hesabın durumunu sıfırlamak için, varsayılan kurulum için aşağıdaki komutu kullanın:

sudo usermod -p '!' root

Sanırım ssh ile uzaktan giriş yapmayı düşünüyorum. Aşağıdaki satırı şuraya ekle /etc/ssh/sshd_config:

PermitRootLogin no

ve ssh hizmetini yeniden başlatın

sudo service ssh restart

Bu işi yapmalı ve root hesabınızı olduğu gibi tutabilirsiniz (ya da gerekli olduğunu düşünüyorsanız yine de devre dışı bırakmayı deneyebilirsiniz).

Asıl soru birkaç kez yanıtlandı, ancak ikincil cevap vermedi. SSH, güvenlik özelliği olarak devre dışı bırakıldıktan sonra root girdikten sonra şifreyi ister. Ayrıca lkjfiejlksji olarak giriş yapmaya çalışırsanız tetikleyecektir.

Bu, bir kullanıcının bir kullanıcı adı yığınını test etmesini, sisteminizde hangisinin geçerli olduğunu bulmasını engellemektir. Bununla birlikte, güvenlik açısından, SSH üzerinden kökü devre dışı bıraktıysanız, bir bruteforce algılama programı da (fail2ban gibi) kurardım ve birileri root olarak giriş yapmayı denerse bile, onları engellemesini engeller. Herhangi bir ek saldırıya çalışıyorum.

Şifrelenmiş parolayı * / / etc / shadow (ilk ':' işaretinden sonraki ikinci alanla) ile değiştirmek, IMHO'nun en iyi yoludur. Ayrıca, ssh için kök girişini devre dışı bırakın (bu şekilde ssh üzerinden root olarak giriş yapmak imkansızdır) ve ssh'yi şifre tabanlı girişlerden çok daha güvenli olan sertifika girişleriyle sınırlayabilir.

Çoğu durumda, SSH dışarıdan erişilebilen ve kök girişine izin veren tek hizmet olmalıdır, bu nedenle bu kapı kilitlenir.

Bunu daha da sınırlamak için, birkaç başarısız oturum açma girişiminden sonra IP adreslerini belirli bir süre için yasaklayan fail2ban gibi bir şey yükleyebilirsiniz.

JR ve diğ.

AllowUsers'ınız beni bu https://help.ubuntu.com/community/SSH/OpenSSH/Configuring'e yönlendirdi

sudo vi / etc / ssh / sshd_config

PermitRootLogin evet (hayır olarak değiştirildi)

(dosyanın altına satır ekleyin) DenyUsers user1 user2

kaydet ve çık ve sonra

sudo service ssh yeniden başlat

Sorunumu çözdüm. Herkese teşekkürler.

Yerel kök girişini devre dışı bırakmak istiyorsanız, / etc / passwd komutunu ve / bin / bash komutunu / bin / false ile değiştirmeyi deneyebilirsiniz. NASIL, test etmediğim için yan tarafta bir kök oturumu açık bırak, test et ve tuhaf bir yan etki varsa, onu değiştir.

Re: Güvenlik.

IMHO yapabilecek çok şey var, güvenlik açısından, kutuyu çıkarmadan kısa, ağdan ayırmak ve 3 "kalınlığında kurşun geçirmez karbür çelik kutu içinde kaynak yapmak mümkün.

Bunu böyle düşünün - eğer millet Savunma Bakanlığı, CIA, FBI ve Citibank’ı hackleyebiliyorsa, geri kalanımız sadece ölümlülerin daha iyisini yapamaz.

Re: SSH güvenliği.

Sadece ssh üzerinden root erişimi yasaklamakla kalmıyor, ayrıca "AllowUsers" parametresini benim ve sadece kullanıcı adıma ayarlıyorum. Bu yolla kimse değil, benim kullanıcı ssh üzerinden giriş yapabilir. Bu, kendi durumumda olduğu gibi gereksiz olabilir, yine de sadece bir tane root olmayan kullanıcı oluşturdum.

Ne yazık ki, başkalarının daha önce de söylediği gibi, birileri kutuya fiziksel olarak erişir erişmez, tüm bahisler KAPALI!

Ssh giriş için sertifika değişimi? Hmmmm. . . . kulağa iyi geliyor. Bunu nasıl yapıyorsun?

Jim (JR)