rennradler
Anmeldungsdatum: 27. Februar 2010
Beiträge: 1833
|
ruder schrieb: alles andere ist mit scheiß, piep egal ich will auch kein sudo Gescheiße!!
Es hindert Dir niemand, root ein Passwort zu geben. Wenn Du Server betreibst, solltest Du wissen, wie das geht. Dies ist eine der ersten Aktionen, die ich bei JEDER Ubuntu-Installation mache. Diese sudo-Scheiß habe ich auch nie verstanden. Vor welchem Schaden soll sudo mich bewahren?
|
rennradler
(Themenstarter)
Anmeldungsdatum: 27. Februar 2010
Beiträge: 1833
|
ruder schrieb: egal ob sudo oder uac es treibt den Benutzer zu einfach einzugebenden Passwörtern, bzw zur Abschaltung dieser, und das ist wohl genau das was man vermeiden
sudo und graphische Oberfläche haben nichts miteinander zu tun. Vom sudo-Konzept von Ubuntu halte ich ebenfalls nichts. Soll wohl nur verhindern, daß DAUs den Root-Account für das normale Arbeiten nutzen. sudo wurde ursprünglich entwickelt, um normalen Nutzern das Ausführen von priviligierten Kommandos zu ermöglichen und nicht um ein System zu administrieren. Es gab mal Zeiten, da brauchte man Root-Rechte, um eine eingelegte Floppy oder CD zu mounten. Dafür hat man sudo erfunden. Aber sei es drum. Der sudo-Quatsch ist mit einem Kommando beendet. Root ein Passwort setzen und fertig. Passwort-loses Login via ssh ist natürlich genauso leicht konfiguriert. Warum lamentierst Du überhaupt darüber?
|
JörnS
Anmeldungsdatum: 25. November 2010
Beiträge: 2107
|
ruder schrieb: Werde ich gezwungen alle zehn Minuten mein Password einzugeben, wie wird die Komplexität diese Passwords ausschauen?
es wird sicher ##*t?p3a@!@=1>@?2h|<2gt@4 sein weil sich das so einfach eingeben läßt oder eben WTF123 ...
Hallo ruder, wenn du länger als root arbeiten möchtest, hilft dir doch sudo su weiter, damit kannst du dich als root einloggen, ohne das root ein gültiges Passwort hat. Und wenn du nur kurz updaten o.ä. möchtest, machst du das halt mit sudo. Gar kein Problem. rennradler schrieb: sudo und graphische Oberfläche haben nichts miteinander zu tun. Vom sudo-Konzept von Ubuntu halte ich ebenfalls nichts. Soll wohl nur verhindern, daß DAUs den Root-Account für das normale Arbeiten nutzen. sudo wurde ursprünglich entwickelt, um normalen Nutzern das Ausführen von priviligierten Kommandos zu ermöglichen und nicht um ein System zu administrieren. Es gab mal Zeiten, da brauchte man Root-Rechte, um eine eingelegte Floppy oder CD zu mounten. Dafür hat man sudo erfunden. Aber sei es drum.
sudo ist aber auch ein Sicherheitsfeature! Wenn man als root einloggen kann, ist es bei einigen Sicherheitslücken "nur" noch erforderlich, das PW zu erraten. Wenn root ein ungültiges PW hat (wie in Ubuntu standardmäßig mit seiner sudo-Konfiguration), dann müsste man Usernamen in Verbindung mit passendem Passwort erraten - das ist ein wahnsinniger Unterschied! Noch schlimmer allerdings ist es, permanent als root unterwegs zu sein, am Besten noch in der GUI. Damit bin ich wieder bei meinem Würgereflex namens Kali Linux, welches viele für den täglichen Einsatz missbrauchen.
|
rennradler
(Themenstarter)
Anmeldungsdatum: 27. Februar 2010
Beiträge: 1833
|
JörnS schrieb: sudo ist aber auch ein Sicherheitsfeature! Wenn man als root einloggen kann, ist es bei einigen Sicherheitslücken "nur" noch erforderlich, das PW zu erraten. Wenn root ein ungültiges PW hat (wie in Ubuntu standardmäßig mit seiner sudo-Konfiguration), dann müsste man Usernamen in Verbindung mit passendem Passwort erraten - das ist ein wahnsinniger Unterschied!
Username als Schutz. Interessant! Das ist doch hoffentlich nicht ernst gemeint. Zudem: die Wahrscheinlichkeit, daß das Passwort eines normalen Users abhanden kommt, ist viel höher. Und da der per sudo alles darf, hat man gleich Root-Rechte. Das ist ist nicht zuende gedacht. Unter Sicherheitsgesichtspunkten ist sudo wie unter Ubuntu praktiziert nachteilig. Bei Ubuntu will man einfach verhindern, daß die Leute permanent als root arbeiten. BTW - folgende Preisfrage: warum hat wohl root sein Homeverzeichnis im root-Filesystem? Weil er root heißt?
|
tomtomtom
Supporter
Anmeldungsdatum: 22. August 2008
Beiträge: 53624
Wohnort: Berlin
|
rennradler schrieb: Username als Schutz. Interessant! Das ist doch hoffentlich nicht ernst gemeint.
Ich hoffe mal, dass du das nicht ernst meinst... Es ist eine Tatsache, dass es einfacher ist, nur das Passwort herauszufinden zu müssen als auch noch den Benutzernamen. Schau doch mal spaßeshalber in die /var/log/auth.log eines Servers.
Zudem: die Wahrscheinlichkeit, daß das Passwort eines normalen Users abhanden kommt, ist viel höher.
Begründung? Passwörter sollten immer geheim gehalten werden. Beim Serversystem selbst ist es natürlich das beste, Passwortlogin gar nicht erst zu erlauben.
Und da der per sudo alles darf, hat man gleich Root-Rechte. Das ist ist nicht zuende gedacht.
Um mal beim Server selbst zu bleiben: SSH so konfigurieren, dass sich nur ein User anmelden kann. Dieser muss nicht mit Rootrechten versehen werden, kann dann also auch nichts mit Rootrechten erledigen.
Unter Sicherheitsgesichtspunkten ist sudo wie unter Ubuntu praktiziert nachteilig.
Das ist schlichtweg falsch. Wie geschrieben: Schau dir eine /var/log/auth.log eines Servers an...
BTW - folgende Preisfrage: warum hat wohl root sein Homeverzeichnis im root-Filesystem?
Filesystem_Hierarchy_Standard
|
redknight
Moderator & Supporter
Anmeldungsdatum: 30. Oktober 2008
Beiträge: 21734
Wohnort: Lorchhausen im schönen Rheingau
|
rennradler schrieb: Username als Schutz. Interessant! Das ist doch hoffentlich nicht ernst gemeint.
Ein sicheres Setup erlaubt userlogin mit Keys und danach authentifizierung mit Passwort. Ob das jetzt sudo mit dem userpasswort oder su mit dem rootpasswort ist, bleibt dabei gleich. Wichtig sind dazu 3 Faktoren:
der username (der nicht gleich root ist) der Key, der den Zugang erlaubt (Besitz) das Passwort, welche die administrativen Rechte freigibt (Wissen)
Die KOmbination aus Besitz und Wissen ist um eine ganze Größenordnung sicherer als das reine Wissen. Denn um bei deinem Argument zu bleiben: Ein Passwort, das komplex genug ist um allein als sicher zu gelten, wird zwangsläufig aufgeschrieben. Dadurch geht es deutlich leichter "verloren" als ein nicht ganz so komplexes, im KOpf behaltenes.
|
rennradler
(Themenstarter)
Anmeldungsdatum: 27. Februar 2010
Beiträge: 1833
|
Habe ich etwa gesagt, daß man root-Login übers Netz oder gar übers Internet erlauben soll? Nur ist das sudo-Kozept ansich kein Sicherheitsgewinn. Zumal die meisten User naheliegende Usernamen haben. So wie es @redknight beschreibt, ist es zutreffend. Nur liest man hier reflexartig sudo = sicher. Und das ist Quatsch! Nun zum Thema seperates root-Passort. Gesetz dem Fall, jemand kommt an das Passwort eines Users, dann gibt es immer noch das root-Passwort als weitere Hürde. Diese Hürde gibt es beim Ich-darf-alles-sudo nicht.
|
Akeshihiro
Anmeldungsdatum: 29. April 2010
Beiträge: 63
|
Ehrlich gesagt, verstehe ich nicht, warum sich alle so sehr über sudo so künstlich aufregen. Erstens sind es nur vier Buchstaben, die vor den eigentlichen Befehl vorangestellt werden (naja, mit Leerzeichen halt fünf Buchstaben, aber who cares). Worüber sich viele im Zusammenhang mit sudo aufregen, ist die Tatsache, dass sie versucht haben ein Kommando auszuführen, dieses nicht richtig ausgeführt worden ist, da Root-Rechte erforderlich waren und man dann scheinbar alles neu tippen darf. Bei so einem Verhalten wundert es natürlich keinen. Das kommt aber aus Unwissenheit bezüglich des richtigen Umgangs mit Bash in so einem Fall. Mit Bash kann nämlich einfach folgendes machen:
sudo !!
Im dümmsten Fall kann man aber auch den oberen Richtungspfeil drücken, um das letzte Kommando zu holen, Pos 1 drücken und sudo tippen. Alles kein Hexenwerk. Zweitens sehe ich sudo sehr wohl als eine Ergänzung zur Sicherheit, aber nicht nur das, sondern auch als Komfort. Ubuntu ist als Client-System konzipiert worden und die Server-Images kamen erst später dazu. Als User wird man auch im Terminal wahrscheinlich als User unterwegs sein und nicht als Root. Das war bei Ubuntu gewollt, denn Ubuntu wollte unter anderem auch Umsteiger von Windows locken und den Leuten beizubringen, alles als Root zu machen und somit alle Sicherheitskonzepte aus der Unix-Welt über Bord zu werfen, so wie Windows es tat und eigentlich noch immer tut (die Sicherheitsabfragen sind kein Sicherheitsfeature und lassen sich auch aushebeln), würde für solche DAUs die Situation nich verbessern, sondern aufgrund des Fehlens eines Gespürs für sicheres Arbeiten sogar verschlimmern. Natürlich kann jeder, der Root spielen will, sich als root einloggen und sich austoben, bei Servern sicherlich auch schnell gemacht, wenn man sich direkt als Root einloggt. Aber wie gesagt, Ubuntu ist als Client-System konzipiert worden und daher ist man im Terminal erstmal als User unterwegs. Ich erledige alles, was ich so als User erledigen kann, mit meinen normalen User-Rechten. Für Root-Rechte kann man sich dann natürlich als Root einloggen, dazu muss dann aber erst einmal ein Passwort gesetzt werden, machen was man will/muss, sich dann wieder ausloggen und als User weitermachen und dann wieder zu root wechseln usw. Finde ich persönlich dämlich und umständlich. Man kann auch alles als Root machen, doof wird es nur, wenn man dann User-Dateien verschiebt oder irgendwas mit ihnen anstellt und der Eigentümer plötzlich root ist und nicht mehr der User. Dann darf man noch an den Rechten rumspielen usw. Wenn ich weiß, dass ich längere Zeit Root-Rechte brauche, logge ich mich auch als Root ein. Ansonsten bin ich als normaler User unterwegs und nutze lieber sudo für einen Bruchteil der Kommandos, für die es nötig ist. Die Welt funktioniert mit sudo und auch ohne, jeder kann sich seinen eigenen Workflow zurecht legen. Aber eines sollte klar sein: Der Workflow sollte nicht die Sicherheit des Systems gefährden! Und wie schon erwähnt wurde, muss man beim Versuch das Passwort eines Users zu erraten, auch den Usernamen erraten, was bei root wegfällt und somit einen sehr großen Teil der Arbeit abnimmt. Abgesehn davon macht es auch auf einem Server Sinn als User unterwegs zu sein und nicht rund um die als root. Was ich leider auch schon öfter gesehen habe, als mir lieb war, ist, dass einige Admins scheinbar auch auf die dämliche Idee kommen Dienste mit Root-Rechten laufen zu lassen und ich frage mich allmälig, wo man sowas lernt, denn sowas gehört auch auf Windows-Servern verboten und wird von keinem ernstzunehmenden Admin praktiziert. Wenn man das ganze System mit Root-Rechten laufen lässt und das gesamte Konzept der User- und Gruppen-Verwaltung außer Kraft setzt und somit auch im Grunde genommen das gesamte Sicherheitskonzept aller Betriebssysteme, dann kann ich natürlich verstehen, dass alles so viel einfacher ist, wenn man sich als root einloggt und alles damit macht. Für jeden Dienst wird ein entsprechender User angelegt mit allen nötigen Rechten und nur dieser führt den Dienst aus, sowohl bei Linux als auch bei Windows! Dann hat man aber die Grundlagen auch nicht verstanden und braucht sich auch nicht darüber wundern, warum der Rest der Welt es anders macht und man damit nicht klar kommt. Andere Leute zu beleidigen wird dabei aber nicht helfen. Apropos beleidigen. @ruder Du hast mehrmals gefragt, was du denn bitte alles falsch gemacht hast. Ich weiß nicht, wie viel Erfahrung du mit Linux hast, würde aber dazu tendieren zu sagen, dass es wohl eher nicht so viel ist und mehr ein notwendiges Übel als gewollt ist, denn deine Sichtweise ist die eines typischen Windowsers mit Scheuklappen. Wenn es nicht so ist, dann sorry, aber du vermittelst mir diesen Eindruck. Nein, ich habe nichts gegen Windows, ich nutze es selbst seit Win98 und man kann mit Windows sehr gut arbeiten, wenn man gewisse Dinge beachtet. Aber als ich deinen ersten Post dieses Threads gelesen habe, dachte ich mir schon, dass sowas ausbrechen würde, denn du hast bereits im ersten Post gezeigt, dass du offensichtlich recht resistent gegenüber Hilfestellungen bist und in eine bestimmte Richtung denkst, welcher zudem auch noch recht angriffslustig formuliert wurde. In den späteren Posts wurde das bestätigt, denn wer nicht das sagt, was du hören willst, wird als Idiot abgetan und zudem verstößt du auch noch gegen den Verhaltenskodex und dann tust du auch noch völlig unschuldig. Bei so einem Verhalten brauchst du dich nicht wundern, warum du nicht bereits auf der ersten Seite die Antwort erhalten hast. Du suchst keine Hilfe? Was willst du dann überhaupt hier? Wer keine Hilfe oder Rat sucht, der stellt keine Fragen. Und wer offensichtlich hilfesuchend ist, der benimmt sich entsprechend und übt sich in Demut, beleidigt und kritisiert aber nicht die Helfer und schon gar nicht das Team, denn alle diese Leute machen seit Jahren einen guten Job und opfern ihre Freizeit, um anderen, wie dir, zu helfen. Und ich sags mal ganz klar: keiner von uns hat es nötig jemandem zu helfen, der sich dagegen streubt, resistent ist und vor allem die Helfer anmacht. Im übrigen hast du dein Problem nach wie vor nicht konkretisiert, sondern die ganze Zeit nur kritisiert und die Leute angegangen. Der Thread ist bereits mehrere Tage alt und noch immer nicht gelöst. Das sollte dir eigentlich zu denken geben ...
|
Sh4kal
Anmeldungsdatum: 18. August 2011
Beiträge: 343
|
rennradler schrieb: Habe ich etwa gesagt, daß man root-Login übers Netz oder gar übers Internet erlauben soll? Nur ist das sudo-Kozept ansich kein Sicherheitsgewinn. Zumal die meisten User naheliegende Usernamen haben. So wie es @redknight beschreibt, ist es zutreffend. Nur liest man hier reflexartig sudo = sicher. Und das ist Quatsch!
Moment, erst sagst du sudo ist kein SicherheitsGEWINN, dann stimmst du redknight zu und dann ist sudo gar nicht sicher? Entscheid dich mal bitte. Nehmen wir an man loggt sich über SSH an dem betreffenden PC an ist es definitiv sicherer (nicht zu verwechseln mit sicher per se!) wenn Angreifer erstmal gar nicht wissen welchen Namen sie angreifen sollen. Wenn ich mich nicht vertue ist es über SSH nicht ersichtlich ob ein Nutzer existiert wenn man das falsche Passwort angibt, oder? Erzähl mir bitte nicht dass die Kombination von ZWEI Variablen nicht sicherer ist als eine Variable. Das ist eine lächerliche Behauptung. Nun zum Thema seperates root-Passort. Gesetz dem Fall, jemand kommt an das Passwort eines Users, dann gibt es immer noch das root-Passwort als weitere Hürde. Diese Hürde gibt es beim Ich-darf-alles-sudo nicht.
Über was für eine Situation sprechen wir denn eigentlich hier? Wenn der Nutzer ausgespäht wird (egal ob "über-die-Schulter-gucken" oder Keylogger) dann kann es genau so gut passieren dass auch ein zweites Passwort erlangt wird. Natürlich ist dein Fall auch ein Sicherheitsgewinn, aber halt auch nur in bestimmten Szenarios. In einem Netzwerk sollte das ganze sowieso so administriert sein dass sudo-autorisierte Benutzerkonten ausreichend gesichert sind - Es hat ja nicht jeder per se sudo-Berechtigungen. Darüber hinaus kann man sudo Benutzer immer noch stark beschränken (und sollte man auch, wenn mehrere Leute administrative Tätigkeiten durchführen sollen). Dann dürfen einige Konten nur bestimmte Befehle ausführen und bei Kompromittierung dieser Konten kann es nur zu begrenzten Schäden kommen. Im Gegensatz dazu ist ein aktiver root eine Alles-oder-Nichts-Strategie. Auf einzelnen Rechnern ist das vlt ausreichend, im Netzwerk aber bestimmt nicht. sudo ist definitiv ein Sicherheitsfeature, ob du's jetzt wahrhaben willst oder nicht.
|
rennradler
(Themenstarter)
Anmeldungsdatum: 27. Februar 2010
Beiträge: 1833
|
Sh4kal schrieb: Moment, erst sagst du sudo ist kein SicherheitsGEWINN, dann stimmst du redknight zu und dann ist sudo gar nicht sicher? Entscheid dich mal bitte.
Hast Du den Beitrage von redknight überhaupt gelesen? Es schreibt: "Ein sicheres Setup erlaubt userlogin mit Keys und danach authentifizierung mit Passwort. Ob das jetzt sudo mit dem userpasswort oder su mit dem rootpasswort ist, bleibt dabei gleich." Und dem stimme ich zu. Nehmen wir an man loggt sich über SSH an dem betreffenden PC an ist es definitiv sicherer (nicht zu verwechseln mit sicher per se!) wenn Angreifer erstmal gar nicht wissen welchen Namen sie angreifen sollen.
Hast Du meinen Beitrag gelesen? root-login übers Netz habe ich nicht propagiert. Normalerweise reitet tomtomtom genau auf dem Thema rum: Wo steht das geschrieben, was Du zu lesen meinst?
|
Akeshihiro
Anmeldungsdatum: 29. April 2010
Beiträge: 63
|
Ach, da ich noch was interessantes wegen Passwörtern gesehn habe ... Die Behauptung, dass sudo einen dazu verleitet simple Passwörter wie WTF123 zu nehmen anstatt etwas komplexes wie ##*t?p3a@!@=1>@?2h|<2gt@4 kann ich persönlich nicht nachvollziehen. Das vermeintlich komplexe Passwort ist an sich ja nicht schlecht, nur wer merkt sich sowas denn? Also ich kann es, wenn ich ehrlich sein soll, ohne es einen ganzen Tag lang auswendig zu lernen, nicht. Bezüglich guten Passwörtern findet man im Internet eigentlich recht viele Tipps, wie man gute Passwörter erstellt. Oft wird z.B. geraten einen Satz zu nehmen und dann den ersten Buchstaben der Wörter, was erst einmal nach einem willkührlichem und guten Passwort ausschauen mag, aber bei einer Länge von vielleicht gerademal sechs Zeichen nicht so optimal ist, wie man es gern hätte, denn ein Rechner kann nicht unterscheiden zwischen sinnlosem Wirrwarr und geordneten Zeichenfolgen. Das ist allein ein menschliches Problem. Beim Bruteforcen werden einfach für jede Stelle alle möglichen Zeichen durchprobiert, bis man eine Kombination erwischt, die passt. Bei Wörterbuch-Attacken werden eben Wörter durchprobiert. Gerade bei kurzen Passwörtern reicht es, wenn man über die Schulter schaut, um das Passwort abzuschauen und auch Bruteforce-Attacken sind da recht schnell durch. Was aber spricht denn dagegen, wenn man den Ansatz mit dem Satz mal etwas anders umsetzt? Was spricht z.B. dagegen, den Satz als Passwort zu nehmen, statt den ersten Buchstaben jedes Wortes? Ein Passwort wie ##*t?p3a@!@=1>@?2h|<2gt@4 mag schön anzuschauen sein, ein Passwort wie ubuntuusers.de ist eine tolle Plattform rund um Ubuntu und Linux generell. aber auch, ist aber leichter zu merken und besser. 25 Zeichen vs 74 Zeichen. Für Menschen ist so ein Satz in lesbarer Form zu simpel für ein Passwort, aber wie gesagt, einem Computer ist das vollkommen egal, denn der wird sich an der Länge die Zähne ausbeißen, gleichzeitig ist so ein Satz aber gut merkbar. Über die Schulter zu schauen bringt nichts, da wird jedes Hirn schon lange vorher abschalten. Gegen Keylogger kann man nicht viel machen, aber auch in einem Keylogger-Log wird ein hochkomplexes Passwort eher auffallen, als ein scheinbar harmloser Satz, den man jederzeit irgendwo hingeschrieben haben könnte. Ja, da sind keine Zahlen drin und etwas wenig Sonderzeichen. Aber wer weiß denn bitte schon, wie komplex ein Passwort ist. Deshalb wird beim Bruteforcen auch alles aktiviert. Bei einem Kauderwelsch, der recht kurz ist (8 oder weniger Zeichen), um ihn sich zu merken, wird ein aktueller Rechner eher nicht so lange brauchen, bei einem Satz wie dem Beispielsatz schon sehr lange (eher unknackbar im Moment). Wer mit sowas rumspielen will, kann sich ja diese Seite anschauen. Nur mal so als Beispiel. Die Seite ist natürlich keine nonplusultra-Ausrede für ein geknacktes Passwort, wenn es geknackt wurde. Aber ein simpler Satz mit 30 Zeichen ist allemal besser, als ein 6-stelliges Kauderwelsch und die Tippzeit für 30 geordnete Zeichen ist nicht so viel länger, denn wir Menschen tippen Wörter und Sätze recht schnell, während bei Kauderwelsch immer Verzögerungen drin sind, auch wenn man diese nicht wahrnimmt. Achso, um nochmal auf sudo zurück zu kommen ... Nein, sudo verleitet niemanden dazu kurze leichte dämliche Passwörter zu verwenden. Wer das tut, ist selber schuld.
|
Sh4kal
Anmeldungsdatum: 18. August 2011
Beiträge: 343
|
@rennradler: Hab das Thema tatsächlich nur überflogen und dabei redknights Beitrag vollkommen falsch gelesen. Möchte mich dementsprechend für meinen dämlichen Satz da entschuldigen. Ich wiederhole gerne aber nochmal meine Frage zu einer konkreten Situation; wenn du dich nicht auf Netzwerke bzw. fernadministrierte Systeme beziehst (und da den Nutzen von sudo akzeptierst ...? oder wie ist deine Aussage zu verstehen) sondern nur auf lokale, einzelne System finde ich dass meine Aussage immer noch im Raum steht: Wenn ein Passwort von dir wirklich ausgespäht wird - muss man dann nicht auch annehmen dass ein zweites Passwort entwendet werden kann? Wer so sorglos mit seinen Passwörtern umgeht dass er eins preisgibt, gibt das zweite über kurz oder lang wahrscheinlich auch preis. Mir will einfach nicht in den Kopf rein warum du so krass gegen sudo hatest - Gehen wir mal davon aus dass sudo die Sicherheit im Vergleich zu einem root Konto nicht steigert. Dann vereinfacht sudo definitiv die Systemadministration für Ubuntu Anfänger (hast du auch irgendwo geschrieben, Leute machen nicht aus Versehen so viel kaputt weil sie nicht sofort in die root Konsole wechseln) und ist hoch konfigurierbar. Ist einfach so. Es gibt also Vorteile für Anfänger und für gut administrierte Systeme (entweder von einem Experten eingerichtet oder in einem Netzwerk). Es ist einfach ein anderes Sicherheitskonzept das in Situationen, die du aber explizit ausschließt weil sie dir nicht ins Bild passen, besser greift. Wenn es dich persönlich stört, aktivier dein root Konto und deinstallier sudo. Alles kein Problem.
|
redknight
Moderator & Supporter
Anmeldungsdatum: 30. Oktober 2008
Beiträge: 21734
Wohnort: Lorchhausen im schönen Rheingau
|
Akeshihiro schrieb: Ach, da ich noch was interessantes wegen Passwörtern gesehn habe ... [...]
Diese Annahme gilt aber auch nur unter der Voraussetzung, dass ausschließlich Bruteforce verwendet wird und dass gegen einen Prompt getestet wird, der mit richtig oder falsch antwortet. Schon beim cracken eine hashes gelten andere regeln 😉 Bereits "john the ripper", das als Passwortcracker nicht wirklich Stand der Technik ist, nutzt ein mehrstufiges System, in dem Brute Force erst dann genutzt wird, wenn wirklich alles andere nicht nutzte. Die modernere Software ist da wesentlich weiter, kann die Wörterbücher auch in Leetspeak und üblichen Schreibfehlern durchprobieren, so dass es meist eben nicht bis zum Brute Force kommt. Entscheidend ist dann nur noch die Zeit.
|
rennradler
(Themenstarter)
Anmeldungsdatum: 27. Februar 2010
Beiträge: 1833
|
Sh4kal schrieb: Ich wiederhole gerne aber nochmal meine Frage zu einer konkreten Situation; wenn du dich nicht auf Netzwerke bzw. fernadministrierte Systeme beziehst (und da den Nutzen von sudo akzeptierst ...?
Ich habe nichts dagegen, wenn jemand dem sudo-Konzept von Ubuntu treu bleibt. Ich sehe den Nutzen von sudo nicht in einem Sicherheitsgewinn gegenüber einem richtig konfigurierten root-Account. Denn das zweifle ich an. Ich halte ein sorgsam gehütetes root-Passwort für sicherer, als wenn man mit seinem normalen Accountpasswort arbeitet, das man ständig benutzt und (seien wir ehrlich) meist auf mehreren Systemen gleich hat. Nein, sudo hat unter Desktop-Ubuntu für den Normalanwender absolut seine Berechtigung. Ubtuntu ist heutzutage schon unglaublich leicht zu administrieren. Also muß ein normaler Ubuntu-Nutzer nur ab und an per sudo was machen. Da ist es sinnvoll, diese Miniadministrationsaufgaben per sudo erledigen zu lassen. Bei Server sehe ich das anders. Sowas betreiben normalerweise Leute, die Ahnung haben (sag ich jetzt mal) und auf einem Server muß man oft größere Administrationsaufgaben bewältigen, so daß man besser eine root-Shell startet. Allein schon wegen der lästigen Geschichte mit Pipes und Redirection. Klar, kann man mit tee hinkriegen, aber einfacher geht es mit einer richtigen Root-Shell. Die hat bei mir dann auch einen gelben Hintergrund, damit ich nicht aus Versehen im falschen Fenster ein Kommando absetze. Es gibt auch noch ein paar andere Vorteile, wenn sich root an der Konsole(!!) (aber nur da!) einloggen kann, wenn der Rechner in Schwierigkeiten steckt. Aber da will ich jetzt keine Religion draus machen.
Mir will einfach nicht in den Kopf rein warum du so krass gegen sudo hatest
Ich habe gar nicht gegen sudo, solange man keine Religion dergestallt deraus macht, daß man nur so ein sicheres System hinbekommt. Das liest man hier immer wieder. Und wer einen Server betreibt, der vom Internet aus zu erreichen ist, sollte den natürlich so weit zunageln, daß nur die Dienste erreichbar sind, die unbedingt nötig sind. Das ist doch klar. Allein schon, weil Sicherheitslücken nie auszuschließen sind.
|
Developer92
Anmeldungsdatum: 31. Dezember 2008
Beiträge: 4101
|
rennradler schrieb: Bei Server sehe ich das anders. Sowas betreiben normalerweise Leute, die Ahnung haben (sag ich jetzt mal) und auf einem Server muß man oft größere Administrationsaufgaben bewältigen, so daß man besser eine root-Shell startet. Allein schon wegen der lästigen Geschichte mit Pipes und Redirection. Klar, kann man mit tee hinkriegen, aber einfacher geht es mit einer richtigen Root-Shell.
Schon komisch, dass ich dann meinen Server seit Jahren mit deaktiviertem root-Account betreiben kann. Was bin ich nur für ein dummer Admin… Oder anders gesagt: Im Falle eines Falles geht auch „sudo -i“, damit hat man eine root-Shell, welche man auch bekommt, wenn der root-Account deaktiviert ist. Gleichzeitig hat man die Sicherheit, dass man sich nicht als root anmelden kann.
|