регулярный ввод пароля, разве не подрывает безопасность?
Нет, а в чём проблема? Про варианты «можно подсмотреть/украсть/перехватить» можешь не рассказывать, т.к. в таком случае проще напрямую использовать уязвимость, чем морочиться с добыванием пароля.
Давно хотел спросить чем же ключ безопаснее пароля? По мне так наоборот: флешку с ключем можно потерять, а против пароля только паяльник...
Или такой вариант: локалхост с которого ходят на удаленные сервера. В случае ключей (если они лежат в хомяке у юзера) достаточно получить доступ к этому локалхосту... С паролями, учитывая что они еще и разные, такое не прокатит.
А почему бы тогда просто не ломануть иксы, ведь они работают от рута?
Иксы от рута только у криворуких работают. Тем не менее иксы позволяют перехватывать нажатия клавиш, а shell-ы позволяют подсунуть alias вместо sudo.
Таким образом, твой пароль может увести любая программа которую ты запустишь. Может даже не сама, а например через уязвимость. Например при открытии специального сформированного файла котики.jpg твоим любимым вьювером и не запертым в изолированный контейнер. Так, что я например не считаю ввод пароля из пользовательского сеанса безопасным.
Или такой вариант: локалхост с которого ходят на удаленные сервера. В случае ключей (если они лежат в хомяке у юзера) достаточно получить доступ к этому локалхосту...
Ключи должны быть под паролем, пользоваться ключами нужно через агента. Агент расшифровывает ключи единожды например одновременно с pam авторизацией и далее никому их не даёт, а производит работы по шифр/дешифр самостоятельно. Таким образом кража ключей еще и не конец.
Тем что пароль можно подобрать. Только не рассказывай мне что ты запоминаешь все 100500 паролей вида a'cWznOAi1-932&^ от всех машин куда ты логинишься.
Для этого тебе нужно зайти от имени пользователя, т.е. пароль юзера тебе уже известен. Повторю специально для тебя - есть есть уязвимость, то пароль не нужен.
Специально для тебя. Уязвимости бывают разного типа, например, которые позволяют прямо поднять привилегии как DirtyCOW или те которые выполняют произвольный код при обработке некоторых данных. Я говорю про второй тип. Ты открыл котиков. А они тебе подкинули alias sudo='fakesudo' в .bashrc, через час ты запускаешь sudo вводишь пароль, считая, что это безопасно, но это уже не так. И вот теперь да, пароль уже не нужен.
А они тебе подкинули alias sudo='fakesudo' в .bashrc, через час ты запускаешь sudo вводишь пароль, считая, что это безопасно, но это уже не так. И вот теперь да, пароль уже не нужен.
Ок, во-первых alias su='fakesu'. Дело в том, что если тебе НУЖНО запускать команды от рута, то su или sudo тебе необходимы. Само по себе использование sudo в таком сценарии ничем не подрывает безопасность.
Во-вторых, именно «те которые выполняют произвольный код при обработке некоторых данных» я и имел в виду. Зачем получать пароль , если можно сделать всё что нужно, от имени того, кого нужно и без пароля, взломав соответствующий сервис?
Само по себе использование sudo в таком сценарии ничем не подрывает безопасность.
Практически любое возможное повышение привилегий подрывает безопасность. Безопасно может быть только понижение.
Дело в том, что если тебе НУЖНО запускать команды от рута, то su или sudo тебе необходимы.
Не необходимы. Можно переключиться на другой VT, войти под пользователем с нужными привилегиями и выполнить необходимые действия. Но это не удобно, по этому все пользуются костылем под названием sudo.
sudo не подрывает безопасность. Надо только его настроить под свои требования. У меня на домашнем компьютере помимо root, 3 пользователя и из них только я могу пользоваться sudo, да и то, ограничен разрешенный список команд.
А почему бы тогда просто не ломануть иксы, ведь они работают от рута?
Не всегда же. А вот слушать клавиатуру (да и мышь) может любое окно. А при особом желании — ещё и притворяться клавиатурой и напрямую что-нибудь послать в sudo/su-консоль.
Отличный способ для хакера забанить ssh для админа. IP spoofing, нет не слышал.
А ты видел ? Я - нет. Опять же, заманается угадывать, какой IP надо спуфить. Плюс смысл где ? Одно дело - пароль угадать, другое - помешать зайти когда-то. Ну пусть развлекутся, жалко что ли ?
Всё лучше, когда 100500 ботов у тебя пароли подбирают (пусть и бесполезно из-за ключа), ставя систему раком.