Сообщение от oxotnik к убунте это мало относится - они пошли по виндовс-way

поправлю: они пошли по мак ос-вэй. это очевидно. и я если честно в пределах этого дистра за них только рад (и за линукс в целом).

Сообщение от oxotnik простой юзер через судо имеет неограниченный права

это конечно ханжество с моей стороны, но простой юзер не имеет прав судо. это раз. для того, чтобы иметь права на судо, ему надо быть в группе судо. да, первый обычный пользователь уже имеет права на судо.
во-вторых, он имеет право судо временно только в пределе родительского процесса. т.е. если вы запускаете из одной консоли (эмулятора терминала) некий процесс, то в другой вы этих прав не имеете. т.е. вы не становитесь в одночасье админом, как если бы вы вдруг зашли под рутом, а только в пределах тех процессов, по которым вы прошли аутентифицированы (набрали правильный пароль). а это есть огромная разница: например, у вас открыт браузер с сайтом, где потенциальный троян и терминал, в котором вы набрали судо. процесс браузера как был под юзером, так и остался, и повысить права ему никто полномочий не давал.
в-третьих, при желании права судо можно ограничить. в википедии написано как.

Сообщение от oxotnik лекгко можно установить какую либо софтину, прописать демон и т.п. с раздачей им прав, которые после этого без ведома юзера будут что либо делать в системе.

осталось за малым - уговорить пользователя скомпилировать и установить эту гадость в систему.

Сообщение от oxotnik речь то шла о дефолтных настройках "из коробки", которыми хомячки пользуются

еще ни разу не возникало необходимости настраивать судо. уж тем более для пользования хомячками.

Сообщение от easybudda Яркий пример - ограничение на количество сетевых соединений.

самое забавное - это та ересь, которой они обосновывают это ограничение (на днях читал). мол, это создано с целью противодействия червям и ддос отакам.

Сообщение от easybudda Ну а в плане защищённости системы "из коробки" - тут линух действительно не в лучшем свете предстаёт.

Сообщение от easybudda Ну к примеру в BSD по ssh рутом не достучишься, а в линух - всегда пожалуйста...

Сообщение от alex_x_x я в сием не силен, но как тогда одминить удаленный сервер? без рута по ssh

я может чо-то не понимаю, но если ставить дебу например в режиме эксперта (а не по виндус-вей), то там есть вопрос: позволять вход пользователя root да/нет. КО: ставить надо "нет". теперь, когда к секьюршелл входить под юзером, и все выполнять через судо. и будет все путем "искаропки". в других дистрах (например убунте) может такого вопроса нет - но убунту на сервак - это извините...
и: опять же ssh - штука настраиваемая: как настроишь - так и поплывет.
поддерживаю фразу, что ни один нормальный админ не будет ставить "искаропки" (ну разве что для теста в виртуалочку на ноуте)

линь или бсд на сервак - это на мой взгляд больше религиозный вопрос, чем технический

0

Сообщение от oxotnik к убунте это мало относится - они пошли по виндовс-way

поправлю: они пошли по мак ос-вэй. это очевидно. и я если честно в пределах этого дистра за них только рад (и за линукс в целом).

Сообщение от oxotnik простой юзер через судо имеет неограниченный права

это конечно ханжество с моей стороны, но простой юзер не имеет прав судо. это раз. для того, чтобы иметь права на судо, ему надо быть в группе судо. да, первый обычный пользователь уже имеет права на судо.
во-вторых, он имеет право судо временно только в пределе родительского процесса. т.е. если вы запускаете из одной консоли (эмулятора терминала) некий процесс, то в другой вы этих прав не имеете. т.е. вы не становитесь в одночасье админом, как если бы вы вдруг зашли под рутом, а только в пределах тех процессов, по которым вы прошли аутентифицированы (набрали правильный пароль). а это есть огромная разница: например, у вас открыт браузер с сайтом, где потенциальный троян и терминал, в котором вы набрали судо. процесс браузера как был под юзером, так и остался, и повысить права ему никто полномочий не давал.
в-третьих, при желании права судо можно ограничить. в википедии написано как.

Сообщение от oxotnik лекгко можно установить какую либо софтину, прописать демон и т.п. с раздачей им прав, которые после этого без ведома юзера будут что либо делать в системе.

осталось за малым - уговорить пользователя скомпилировать и установить эту гадость в систему.

Сообщение от oxotnik речь то шла о дефолтных настройках "из коробки", которыми хомячки пользуются

еще ни разу не возникало необходимости настраивать судо. уж тем более для пользования хомячками.

Сообщение от easybudda Яркий пример - ограничение на количество сетевых соединений.

самое забавное - это та ересь, которой они обосновывают это ограничение (на днях читал). мол, это создано с целью противодействия червям и ддос отакам.

Сообщение от easybudda Ну а в плане защищённости системы "из коробки" - тут линух действительно не в лучшем свете предстаёт.

Сообщение от easybudda Ну к примеру в BSD по ssh рутом не достучишься, а в линух - всегда пожалуйста...

Сообщение от alex_x_x я в сием не силен, но как тогда одминить удаленный сервер? без рута по ssh

я может чо-то не понимаю, но если ставить дебу например в режиме эксперта (а не по виндус-вей), то там есть вопрос: позволять вход пользователя root да/нет. КО: ставить надо "нет". теперь, когда к секьюршелл входить под юзером, и все выполнять через судо. и будет все путем "искаропки". в других дистрах (например убунте) может такого вопроса нет - но убунту на сервак - это извините...
и: опять же ssh - штука настраиваемая: как настроишь - так и поплывет.
поддерживаю фразу, что ни один нормальный админ не будет ставить "искаропки" (ну разве что для теста в виртуалочку на ноуте)

линь или бсд на сервак - это на мой взгляд больше религиозный вопрос, чем технический

0

Сообщение от remarkes самое забавное - это та ересь, которой они обосновывают это ограничение (на днях читал). мол, это создано с целью противодействия червям и ддос отакам.

Ага. Легендарной фразы "по просьбам трудящихся" не хватает...

Сообщение от remarkes если ставить дебу например в режиме эксперта

Ну дебиановский установщик - вообще отдельная песня. Да и сам debian как-то из всех линуксов больше понравился. На дремучем ноуте у меня уж не помню сколько лет живёт. Предустановленная windows xp home edition толком с самого начала не работала.

Сообщение от remarkes линь или бсд на сервак - это на мой взгляд больше религиозный вопрос

Можно, наверное, и так сказать... Но вот как сложился стереотип, что линукс - это такой учебный юникс, для начинающих, так и держится... И всё-таки, возвращаясь к теме, я за линукс в качестве десктопной ОС. Фрю когда-то пробовал как десктоп использовать - не задалось. Не, оно, конечно, работало, но... У меня примерно в то время "Москвич" был 2141 с реновским движком. Чувство было такое, что нажми гашетку чуть сильнее - вылетит это буржуйское чудо из-под капота к чёртовой матери. Вот как-то по ощущениям перекликалось... Ну а виндовс - это для любителей "игрового контента" по-моему больше подходит. Благо игр под него - не на каждый игровой девайс столько наберётся...

0

Сообщение от remarkes самое забавное - это та ересь, которой они обосновывают это ограничение (на днях читал). мол, это создано с целью противодействия червям и ддос отакам.

Ага. Легендарной фразы "по просьбам трудящихся" не хватает...

Сообщение от remarkes если ставить дебу например в режиме эксперта

Ну дебиановский установщик - вообще отдельная песня. Да и сам debian как-то из всех линуксов больше понравился. На дремучем ноуте у меня уж не помню сколько лет живёт. Предустановленная windows xp home edition толком с самого начала не работала.

Сообщение от remarkes линь или бсд на сервак - это на мой взгляд больше религиозный вопрос

Можно, наверное, и так сказать... Но вот как сложился стереотип, что линукс - это такой учебный юникс, для начинающих, так и держится... И всё-таки, возвращаясь к теме, я за линукс в качестве десктопной ОС. Фрю когда-то пробовал как десктоп использовать - не задалось. Не, оно, конечно, работало, но... У меня примерно в то время "Москвич" был 2141 с реновским движком. Чувство было такое, что нажми гашетку чуть сильнее - вылетит это буржуйское чудо из-под капота к чёртовой матери. Вот как-то по ощущениям перекликалось... Ну а виндовс - это для любителей "игрового контента" по-моему больше подходит. Благо игр под него - не на каждый игровой девайс столько наберётся...

0

Сообщение от easybudda Ну к примеру в BSD по ssh рутом не достучишься

Я именно под рутом захожу на FreeBSD. Или имелось ввиду, что не трогая конфиг?

0

Сообщение от remarkes осталось за малым - уговорить пользователя скомпилировать и установить эту гадость в систему.

в далекие 90-е годы у нас в общаге чувак каждый раз натыкался на грабли - в сети был выложен файл winupdate.exe, и каждый раз после переустановки винды он его запускал, а потом удивлялся, чей то у него то сдром откроется, то в блокноте матом само че то напечатается.
Обмануть рядового юзера - как 2 пальца об асфальт

0

Сообщение от easybudda То есть в каком-то из линуксовых дистрибутивов конфиг sshd просто из OpenBSD взят, или я чего-то не понял? А, дошло... "Было бы по умолчанию - было бы закомментировано"? Странная немного логика...

мной был процитирован файл sshd_config.rpmnew.
собственно, это как раз файл настроек по умолчанию, устанавливаемый в дистрибутиве линукса.
нужный параметр вы нашли, значение прочитали. в итоге, я показал вам

Сообщение от easybudda дистрибутив linux, в котором вход по ssh для root закрыт по умолчанию

но в ответ все-равно "смешочки"...
то есть, правило действует: спор - это разговор двух людей, после которого каждый уходит со своим мнением...

0

Сообщение от Humanoid Или имелось ввиду, что не трогая конфиг?

Да. В общем случае считается, что как-бы небезопасно. Если открываешь руту доступ, подразумевается, что понимаешь, что делаешь.

0

Сообщение от easybudda В общем случае считается, что как-бы небезопасно.

Я этого как-то не понимаю... ведь через ssh заходят для каких-то действий (софт установить/обновить и т.п.)... без рутовских прав этого не сделать. Я сомневаюсь, что кто-то будет через ssh запускать lynx что бы пользоваться интернетом... или в консольные игры играть

0

Dmitry, я просто не в курсе - это вовсех линуксовых дистрибутивах конфиг от sshd из OpenBSD?

0

я тоже не в курсе, взял из того, что использую сам

0

Сообщение от Humanoid Я этого как-то не понимаю... ведь через ssh заходят для каких-то действий (софт установить/обновить и т.п.)... без рутовских прав этого не сделать. Я сомневаюсь, что кто-то будет через ssh запускать lynx что бы пользоваться интернетом... или в консольные игры играть

Пару страниц назад было - заходишь пользователем, прописанным в судоерсах, пишешь sudo -s, и как бы рут... Судя по количеству пытающихся брутфорсить рутовый пароль, кому-то где-то когда-то это всё-таки удаётся, а так ещё имя пользователя подобрать нужно...

0

Сообщение от easybudda Судя по количеству пытающихся брутфорсить рутовый пароль, кому-то где-то когда-то это всё-таки удаётся

Или кто-то сильно надеется, что удастся
В любом случае, если кому-то когда-то и удалось, значит, что кто-то при установке системы не обратил внимания на то, что установщик сказал - "пароль у тебя гавно, чувак, рекомендую сменить". А это уже проблема админа, что он решил на сервере поставить слабый пароль. Его предупреждали.

Добавлено через 49 секунд

Сообщение от easybudda а так ещё имя пользователя подобрать нужно...

В общем-то на сервере тебе также имя пользователя подбирать нужно. root'а не будет там.

0

Сообщение от Vourhey Или кто-то сильно надеется, что удастся В любом случае, если кому-то когда-то и удалось, значит, что кто-то при установке системы не обратил внимания на то, что установщик сказал - "пароль у тебя гавно, чувак, рекомендую сменить". А это уже проблема админа, что он решил на сервере поставить слабый пароль. Его предупреждали.

Ну само собой это проблема админа, кто же спорит? Человек вообще во всех своих несчастьях виноват минимум на половину.

Сообщение от Vourhey В общем-то на сервере тебе также имя пользователя подбирать нужно. root'а не будет там.

А вот этого недопонял. В каком смысле рута не будет?

0

Сообщение от easybudda Фрю когда-то пробовал как десктоп использовать - не задалось. Не, оно, конечно, работало, но...

десктопный (точнее универсальный) вариант есть сейчас в дебе: с ядром фря. тоже ставил для любопытства. как бы не мой вкус. хотя юзать вообщем-то можно, и очень даже, т.е.: вроде все стабильно, не валится, что надо работает, не тормозит - вообщем, сразу видно, что не винда

часть конфига sshd по-умолчанию в дебе. "Прочти, Фродо - что ты видишь?"
# Authentication:
LoginGraceTime 120
PermitRootLogin yes
StrictModes yes
"Вот этого я и боялся..."
Т.о., ставить в ноу и ходить под судой.

Сообщение от easybudda В каком смысле рута не будет?

видимо опять же про судо. судо выполняет с правами рута, но от имени пользователя (бит SUID). то есть рута как пользователя нет, есть только его полномочия, в чем собственно его цимус. вообще, насколько я могу судить, это очень тру-вей. имхо, создателям за судо памятник вполне можно поставить. И Денису Ритчи за SUID тоже. Кстати, в курсе, что он недавно умер? Жалко - какой был человечище.
вообще октябрь как-то сразу не задался для ИТ индустрии.

0

Сообщение от remarkes PermitRootLogin yes

А чем вам это не нравиться?
Да и вообще, чем по вашему sudo лучше su? и чем это лучше прямого логина рутом?

Про SUID мимо кассы ИМХО, ведь не даром от него пытаються избавиться где только возможно...

0

PermitRootLogin yes

Сообщение от g_u_e_s_t А чем вам это не нравиться?

тут разговор был, дает ли в линукс ssh по-умолчанию разрешение на вход под рутом. я привел дефолтного конфига sshd. дает.

Сообщение от g_u_e_s_t Да и вообще, чем по вашему sudo лучше su? и чем это лучше прямого логина рутом?

просто это две совершенно разные вещи. знаете такую фразу? - "не сиди под рутом". команды судо выполняются от имени пользователя, но с полномочиями рута. это как раз работает благодаря SUID. имхо, это лучше su. в дебе (я выше это уже говорил) можно запретить вход рута. таким образом, рута как бы нет, но полномочия его есть.

Сообщение от g_u_e_s_t Про SUID мимо кассы ИМХО

-rwsr-xr-x 2 root root 144740 Мар 13 2011 /usr/bin/sudo
s - это и есть suid, без него судо не могла бы выполняться (как впрочем и су).
так что насчет "избавиться" я бы говорить не торопился.

Сообщение от g_u_e_s_t ведь не даром от него пытаються избавиться где только возможно...

ну как сказать... вообщем я не согласен но, я согласен - suid потенциально опасный, но тут больше вопрос кривизны рук. опять же nosuid и noexec никто не отменял.

Добавлено через 13 минут
кстати, да - судо можно ограничить. т.е. будет как бы ограниченный рут.

0

Сообщение от easybudda 1. Да не смешно уже. При желании и руках, растущих откуда надо - заиграешься. 2. Ересь. Вирусы, трояны, руткиты и прочее веселье всегда нацелено на уязвимости отдельно взятой системы. При чём в случае с *NIX как правило работают очень не долго, т.к. довольно быстро появляется информация, что, где и как нужно изменить, чтобы залатать свеженайденую дырку. В случае с виндой одна и та же уязвимость годами может от релиза к релизу качевать. 3. Опять ересь. У меня дети малолетние безо всяких проблем пользуются виндой, линухом и андройдом, при чём и объяснять особо ничего не приходится - при желании сами разбираются, да и гуглить умеют...

ну давай по порядку
1. растущие откуда надо руки.эта тема уже избита так что ударить некуда. Ведь защищающие линукс утверждают что он так же интуитивно прост как винда и даже проще. Ну..выходит не так жеш?) нужны ручки, да еще чтоб росли. пыряния в сетуп недостатошно
Ответь честно что интуитивно-примитивно проще в использовани гуи или консоль?

2. хм..т.е если мы берем 2 ПК. на одном ставим и настраиваем линукс на втором ставим и настраиваем винду. (при условии что распространенность систем 50\50 )- то.....включаем и.. на винде вдруг опа опа сами по себе ни с того ни сего полезли полезли вирусы? Это так понимать твое изречение надо?Т.е участие юзера оно тобой сведено к нулю? А кто ж тогда кликает и клацает по суперссылкам подсаживая в систему всякий хлам? А кто тогда согласится набрать в выскочившем окошке пароль админа или рута?

3. см п.1
тут многие хваляться типа я подсадил на лин девушку, а я дедушку. ток никто не пишет что эти девушка и дедушка там где их положили там и лежат.И если надо что то поставить то будут звать тех кто их подсадил. Если уж они сетуп толком не могли щелкать то куда им до консоли то? или вдруг на них снизойдет особое вдохновение если им поставить лин?

Добавлено через 5 минут
M128K145, ты уж это..будь мужчиной. Давай так - либо ты доводишь начатое до конца и хоть как то отвечаешь за то, что пишешь (т.е. все таки выкладываешь тот ролик который обещал), либо честно говоришь что опыта маловато, поторопился наобещать. И все. Всем все понятно. С кем не бывает. Так поступит на твоем месте нормальный. адекватный, уверенный в себе человек.
Если ты продолжишь эти вихляния, будет очень жаль. Сложно будет воспринимать твои копи пасты из гугла там или еще откуда. В твоем лице виделся сильный оппонент многим...наверное..

0

Сообщение от AzaKendler Ну..выходит не так жеш?

Да не, он еще проще, чем винда...

Сообщение от AzaKendler пыряния в сетуп недостатошно

Пыряния в сетап нужны в винде. В линухеможно обойтись без этих неавтоматизированных действий.

Сообщение от AzaKendler Ответь честно что интуитивно-примитивно проще в использовани гуи или консоль?

А никакой разницы... Консоль только гибче.

Сообщение от AzaKendler И если надо что то поставить то будут звать тех кто их подсадил.

Собственно, это актуально для всех систем. Хотя пользователи ставить софт привыкают быстрее на лине, чем на винде, где нужно бегать и качать разную лабуду с разных сайтов и каждую скачанную отдельно запускать.

Сообщение от AzaKendler Если уж они сетуп толком не могли щелкать то куда им до консоли то?

А их никто в консоль лезть и не заставляет. Хочет - в гуе, хочет в консоли. Причем, консоль многими воспринимается куда проще, чем "скачай то, запусти это".

Сообщение от AzaKendler или вдруг на них снизойдет особое вдохновение если им поставить лин?

Часто так и происходит

0

Сообщение от remarkes тут разговор был, дает ли в линукс ssh по-умолчанию разрешение на вход под рутом. я привел дефолтного конфига sshd. дает.

Где то дает, где то нет, линуксы они разные...
Только вот на вопрос "чем вам это не нравиться?" вы не ответили.

Сообщение от remarkes наете такую фразу? - "не сиди под рутом"

Она тут не причем. Речь о задачах которые можно выполнить только от рута и соответственно о методах этого рута получить. Их 3: логин, su, sudo. Я вот предпочитаю 1й (2й для последующего понижения привелегий рута), а вы как я понял 3й.
Вот и хочется узнать почему)

Сообщение от remarkes команды судо выполняются от имени пользователя, но с полномочиями рута

Что вы хотите сказать подчеркнутым?

Сообщение от remarkes suid потенциально опасный, но тут больше вопрос кривизны рук. опять же nosuid и noexec никто не отменял.

Чьих именно рук то? Кернельных программистов или афторов SUID программ?
Если проломят код работающий под UID 0, то nosuid равно как и noexec вам ни чем уже не могут)

0