admin-user management überprüfen

[Stephan Richter]

Das Ticket nur, um einmal die Frage in den Raum zu stellen.

Hier ein paar, wie ich finde, gute Einwände gegen ein root-login: ​https://serverfault.com/questions/1094265/root-login-or-sudo-user-for-server-administration

[Rüdiger Kupper]

Da hast du völlig Recht. Root-Login sollte es in einer abgesicherten Produktivumgebung heute nicht mehr geben. Er ist auch nicht notwendig, wenn die Umgebung gut eingerichtet ist.
Bislang stehen wir auf dem Standpunkt, dass unsere Schule kein Hochsicherheitsrechenzentrum ist (oder sein muss). Das heißt natürlich nicht, dass wir nicht die Sicherheitsvorkehrungen treffen sollten, die mit vertretbarem Aufwand möglich sind.

[Rüdiger Kupper]

Was schlägst Du vor?

[bau]

Nun, wir stehen vor allem auf dem Standpunkt, dass ein ssh-root-Login, der nur mit einem Pub/PrivKey möglich ist kein Problem darstellt. Es wäre etwas anderes, wenn sich irgendwelche User auf unseren Servern einloggen könnten und per Passworteingabe root werden könnten, das ist aber nicht so. Ich sehe keinen Handlungsbedarf, befürchte aber einen erheblichen Mehraufwand, wenn ich jedesmal auf der Maschine sudo benutzen oder root werden muss.

[Stephan Richter]

Ja, das stimmt, es ist etwas mehraufwand. Dafür wird es geloggt und hat man hat quasi eine 2FA.

Wenn bei mir jetzt jemand meinen Laptop zu Hause kompromittiert und Key+Passphrase hat, dann hat er vollen root-Zugriff. Und wir würden es vermutlich gar nicht merken.

Es war wie gesagt auch nur eine Anregung und als Schule sind wir sicherlich nicht so stark Angriffen ausgesetzt.

[Stephan Richter]

Replying to kup:

Was schlägst Du vor?

Eine möglichst einfache Variante wäre ein gemeinsamer Nutzer "netzwerkteam" oder "nt", der auf allen Maschinen existiert und sudo-Rechte hat. (Ich weiß nicht, ob wir das automatisiert haben/machen können.)

Wir können uns dann auf einer login-node (also bei uns paedml) als dieser Nutzer anmelden (mit eigenem ssh-key). Von dort aus kann man dann zu seiner Maschine springen (theoretisch sogar mit einem key ohne Passphrase).

(bis hierher ist der Aufwand gleich oder geringer)

Sobald man root-Rechte benötigt, muss man sich die mit sudo und unter Eingabe des Passworts des Nutzers holen. <-- das ist natürlich mehr Aufwand, aber eben auch die zusätzliche Hürde für einen Angreifer (und für einen selbst, bevor man was kaputt macht ;))

[bau]

OK, hört sich umsetzbar an.
Mit

sudo su

erhalte ich auch eventuell benötigte Root-Rechte - oder?

[Stephan Richter]

Replying to bau:

OK, hört sich umsetzbar an.
Mit

sudo su

erhalte ich auch eventuell benötigte Root-Rechte - oder?

Ja, damit bekommst du eine root-shell.

[bau]

OK, dann kann das mal in die Planung.

• SSH-Zugang zu paedml als User bau, kup, rich
• sudo su (mit Passwort) wird dann protokolliert
• ab da geht alles wie gewohnt
• oder: Zugang zu den anderen Servern als User bau, kup, rich und dann dort weiter per sudo

[Stephan Richter]

oder: Zugang zu paedml und den anderen Rechnern mit einem unpriviligierten, gemeinsamen Nutzer
--> wir müssen nicht drei Nutzer auf allen Rechnern pflegen
--> ich kann trotzdem Arbeiten ohne Root-Rechte transparent für alle anderen durchführen (z.B. habe ich heute die Sourcen für netbox heruntergeladen --> die würden dann im HOME des gemeinsamen Nutzers liegen, was ich besser fände, als nur in meinem HOME.)