jail

, а админ этот же комп использует по сети. Ну или вариант проще, есть дома комп который используешь как по сети так и непосредственно садясь за него, этот комп перестал быть десктопом и стал сервером?

Это всё редкие сценарии использования. Я ж не писал что sshd не десктопах вообще не бывает, я писал что его нет в большинстве случаев. Для большинства десктоп это комп за который можно сесть и ничего другого.

И на виндовом тоже?

😱

Ну, на самом деле, желательно иметь и к нему ssh в комплекте, чтобы было через что пробрасывать rdp. Не открывать же его напрямую в интернет.

Сомневаюсь что в selinux бекдоры, но он в любом случае просто ненужен, он костыль по своей сути.

Сомневаюсь что в selinux бекдоры

оно и есть один большой бэкдор :)

а админ этот же комп использует по сети. Ну или вариант проще, есть дома комп который используешь как по сети так и непосредственно садясь за него, этот комп перестал быть десктопом и стал сервером?

Это всё редкие сценарии использования.

Редкие? Использование админом компуков пользователей это большая редкость?

Для большинства десктоп это комп за который можно сесть и ничего другого.

Угу... сесть и в случае чего позвонить админу.

Редкие? Использование админом компуков пользователей это большая редкость?

Да. У большинства десктопов нет отдельного админа вообще. Большинство десктопов расположены в чьих-то домах, а не в организациях.

Да. У большинства десктопов нет отдельного админа вообще. Большинство десктопов расположены в чьих-то домах, а не в организациях.

Угу, угу и админы теперь окучивают домашних пользователей используя всякие teamviewer.

А, так я только для RISC-V делаю.

У тебя нерепрезентативная статистика.

все vpn клиенты являются проприетарным бинарным блобом, который надо запускать от рута!

неправда. Во-первых не все блоб, во-вторых строго говоря vpn-клиенту вообще не нужен root: повышенные привиллегии нужны только для поднятия tun/tap интерфейсов и перенастройки маршрутов. Обе операции можно выполнять вне vpn-клиента, либо предоставить sudo-обертки как описано тут для openvpn.

Конечно может быть и так что блоб так спроектирован, что в принципе не работает без root. Такое можно запускать в контейнере. И не столько по соображениям безопасности, а скорее из-за удобства поддержки и администрирования.

Но тема вообще не про root. Любая программа юзера тоже может читать и воровать ваши приватные ключи из ~/.ssh

хранить секреты в $HOME отдельного пользователя.
Это правда не спасет от кражи временных паролей, типа cookie в веб-браузере. Но можно и веб-браузер под другим пользователем запускать.

Вообще тема - «боян». Вот ссылка на недавнее обсуждение - Защита данных приложения linux_app_data_sec (песочницы для приложений) (комментарий) (а там ссылка на предшествующее).

А я и не собирал статистику, описал только лишь то с чем сталкивался сам и читал на просторах интернета в том числе в описании вакансий.

Судить о статистике использования домашних десктопов по «описаниям вакансий» - крайне странное решение.

И то с чем сталкивался тоже видимо «странное решение», я смотрю вы один весь в белом.

Подумалось тут на днях: ведь любое запущенное приложение, тем более бинарный квн-блоб под рутом, может прочитать твои приватные ключи в ~/.ssh

Всё верно.

Как вы от такого защищаетесь? Уповаете на passphrase?

passphrase проставлен, да. Хотя не думаю, что он добавляет безопасность, т.к. он, конечно же, сохранён в gnome keyring, который этот самый бинарный квн блоб даже без всякого рута может легко прочитать.

Или firejail какой? Или по хардкору поднимаете виртуалку для броузера и торрента?

Никак не защищаюсь. Основной фронт защиты - я не запускаю квн блобов. Если речь про VPN, то я использую встроенный в ядро wireguard. Остальной софт стараюсь подбирать доверенный. Или от дистрибутива, или от доверенных поставщиков вроде Oracle. Если приходится запускать недоверенный софт - использую виртуальные машины. Тоже не очень в них верю, недавно узнал огромную дырень в qemu by design, а про сколько этих дыреней я не в курсе…

Но что поделаешь, така жись. Линукс по сути самая небезопасная ОС из популярных. Нужна будет безопасность - достану макбук и буду страдать в макоси. А пока и так сойдёт.

Конкретно ssh ключи, думаю, можно через yubikey защитить. По идее должно работать. Или через TPM, хотя тут менее надёжно. Своровать - не своруют, но если на твоём компьютере хозяйничают, то просто будут пользоваться твоими ключами, пока не заметишь.

Любой квн клиент требует рута

На самом деле это неправда. Ты можешь создать tun интерфейс руками, дать доступ к этому интерфейсу определенному пользователю и дальше VPN клиент может его использовать, без всякого рута.

Ещё альтернативы: дать только CAP_NET_ADMIN или использовать network namespaces.

Если VPN клиент запускается от рута безальтернативно, значит его писали люди, не заботящиеся о твоей безопасности и лучше им не пользоваться.

Осеннее обострение у параноиков, не иначе.