root Login

[Klaus Schuehler]

Hallo,

ich suche verzweifellt nach der Einstellung in etc/login.defs um das
login von root zu verhindern. Es soll nicht Möglich sein das sich
root per ssh direkt einloggen kann. Nur als User und bei Bedarf mit
su.

Wo muss ich drehen das der Rechner das schnallt.

Viele Grüsse Klaus

[Roland M. Kruggel]

Post by Klaus Schuehler
Hallo,
ich suche verzweifellt nach der Einstellung in etc/login.defs um
das login von root zu verhindern. Es soll nicht Möglich sein das
sich root per ssh direkt einloggen kann. Nur als User und bei
Bedarf mit su.

du bist auf dem falschen Dampfer :)

in der /etc/ssh/sshd_config füge

DenyUsers root

hinzu

[Joerg Friedrich]

Post by Klaus Schuehler
login von root zu verhindern. Es soll nicht Möglich sein das sich
root per ssh direkt einloggen kann. Nur als User und bei Bedarf mit
Wo muss ich drehen das der Rechner das schnallt.

man sshd_config:
PermitRootLogin
Specifies whether root can login using ssh(1). The argument must
be ``yes'', ``without-password'', ``forced-commands-only'' or
``no''. The default is ``yes''.

If this option is set to ``without-password'' password authenti-
cation is disabled for root. Note that other authentication
methods (e.g., keyboard-interactive/PAM) may still allow root to
login using a password.

If this option is set to ``forced-commands-only'' root login with
public key authentication will be allowed, but only if the
command option has been specified (which may be useful for taking
remote backups even if root login is normally not allowed). All
other authentication methods are disabled for root.

If this option is set to ``no'' root is not allowed to login.
--
Jörg Friedrich

There are only 10 types of people:
Those who understand binary and those who don't.

[Gerald Holl]

Post by Klaus Schuehler
ich suche verzweifellt nach der Einstellung in etc/login.defs um das
login von root zu verhindern. Es soll nicht Möglich sein das sich
root per ssh direkt einloggen kann. Nur als User und bei Bedarf mit
su.

In der /etc/ssh/sshd_config

PermitRootLogin no

[Rainer Bendig aka Ny]

Moin Moin Roland M. Kruggel, *,

Post by Martin Mewes
PermitRootLogin no

Nicht wirklich. Das funktioniert nicht. Getestet von Windoof Putty -
ssh login. 'DenyUsers root' funktioniert dagegen.

Seltsam bei mir klappt es.
--
---------------------------------------------------------------------
Rainer Bendig aka "ny" GnuPG-Key 0x41D44F10

[Roland M. Kruggel]

Post by Gerald Holl

Post by Klaus Schuehler
ich suche verzweifellt nach der Einstellung in etc/login.defs
um das login von root zu verhindern. Es soll nicht Möglich sein
das sich root per ssh direkt einloggen kann. Nur als User und
bei Bedarf mit su.

In der /etc/ssh/sshd_config
PermitRootLogin no

Nicht wirklich. Das funktioniert nicht. Getestet von Windoof Putty -
ssh login. 'DenyUsers root' funktioniert dagegen.

[Gerald Holl]

Post by Gerald Holl

Post by Klaus Schuehler
ich suche verzweifellt nach der Einstellung in etc/login.defs
um das login von root zu verhindern. Es soll nicht Möglich sein
das sich root per ssh direkt einloggen kann. Nur als User und
bei Bedarf mit su.

In der /etc/ssh/sshd_config
PermitRootLogin no

Nicht wirklich. Das funktioniert nicht. Getestet von Windoof Putty -
ssh login. 'DenyUsers root' funktioniert dagegen.

Bei mir funktioniert's jedoch, bei fünf verschiedenen Rechnern, egal ob
mit putty unter Win/Linux oder dem Linux ssh client.

[Udo Mueller]

Hallo Roland,

Post by Gerald Holl

Post by Klaus Schuehler
ich suche verzweifellt nach der Einstellung in etc/login.defs
um das login von root zu verhindern. Es soll nicht Möglich sein
das sich root per ssh direkt einloggen kann. Nur als User und
bei Bedarf mit su.

In der /etc/ssh/sshd_config
PermitRootLogin no

Nicht wirklich. Das funktioniert nicht. Getestet von Windoof Putty -
ssh login. 'DenyUsers root' funktioniert dagegen.

sshd auch neu gestartet?

Udo Müller
--
ComputerService Udo Müller Tel.: [phone]
Böversweg 7 Fax.: [phone]
26131 Oldenburg ***@cs-ol.de Mobil: 0162-4365411

[Roland M. Kruggel]

Post by Udo Mueller

Nicht wirklich. Das funktioniert nicht. Getestet von Windoof
Putty - ssh login. 'DenyUsers root' funktioniert dagegen.

sshd auch neu gestartet?

Ja, aber sicher doch

[Martin Mewes]

Hallo KLaus,

Post by Klaus Schuehler
ich suche verzweifellt nach der Einstellung in etc/login.defs um das
login von root zu verhindern. Es soll nicht Möglich sein das sich
root per ssh direkt einloggen kann. Nur als User und bei Bedarf mit
su.

Du suchst an der flaschen Stelle.

/etc/ssh/sshd_config

PermitRootLogin no
AllowGroups $gruppe01 $gruppe02
AllowUsers $user01 $user02


bis dahin/kind regards

Martin Mewes

[Andreas Vögele]

Es soll nicht Möglich sein das sich root per ssh direkt einloggen
kann. [...]

Du musst in /etc/ssh/sshd_config "PermitRootLogin no" eintragen. Wenn
Du zusätzlich nur bestimmten Benutzern die Anmeldung erlauben möchtest,
ist AllowUsers nützlich.

[Eduard Bloch]

#include <hallo.h>

Post by Klaus Schuehler
Hallo,
ich suche verzweifellt nach der Einstellung in etc/login.defs um das
login von root zu verhindern. Es soll nicht Möglich sein das sich
root per ssh direkt einloggen kann. Nur als User und bei Bedarf mit
su.

man sshd_config

Ansonsten ist der "Sicherheitsgewinn" durch Restriktion sehr umstritten.
Wer dein System gezielt kompromitieren will, besorgt sich unauffällig
einen User-Account. Idealerweise deinen eigenen "normalen" User-Account.
Und für ungezielte Angriffe sollte das Passwort sowieso gut genug sein.

Eduard.
--
<stockholm> Overfiend: why dont you flame him? you are good at that.
<Overfiend> I have too much else to do.

[Roland M. Kruggel]

Post by Eduard Bloch
Ansonsten ist der "Sicherheitsgewinn" durch Restriktion sehr
umstritten.

Da muss ich dir aber widersprechen. Restriktionen bringen einen
enormen Sicherheitsgewinn.

In unserem Beispiel:
Der 'Einbrecher' braucht um Zugriff (über ein login) auf einen
rechner zu bekommen immer ein usernamen und ein passwort. Den user
root gibt es immer. Also braucht er nur noch das passwort zu
'erraten'. Wenn root für das login gesperrt ist sind die
möglichkeiten ein login zu erraten wesentlich größer. Wenn er dann
ein normales login hat, steht er noch immer noch vor root.

Post by Eduard Bloch
Wer dein System gezielt kompromitieren will, besorgt
sich unauffällig einen User-Account. Idealerweise deinen eigenen
"normalen" User-Account.

Das ist wohl war. Der größte Angriffspungt und die größt
Sicherheitslücke sitt immer vor der Tastatur.

Post by Eduard Bloch
Und für ungezielte Angriffe sollte das
Passwort sowieso gut genug sein.

Aber so was wie 'AskiI187_$Ssk8' sollte es dann schon sein und nicht
'hertha'. Weil gerade die Frau des Admin so heist.

[Klaus Schuehler]

Guten Tag Roland M. Kruggel,

Post by Roland M. Kruggel
Da muss ich dir aber widersprechen. Restriktionen bringen einen
enormen Sicherheitsgewinn.

Denke ich auch.

Post by Roland M. Kruggel

Post by Eduard Bloch
Wer dein System gezielt kompromitieren will, besorgt
sich unauffällig einen User-Account. Idealerweise deinen eigenen
"normalen" User-Account.

Das ist wohl war. Der größte Angriffspungt und die größt
Sicherheitslücke sitt immer vor der Tastatur.

Wie soll sich jemand unauffällig einen Useraccount organisieren.
An dem Rechner ist keine Tastatur.
Ich versuche nun meinen rootie so sicher wie Möglich zu machen.
Bin da sehr aktiv um einen sicheren Rechner zu haben.

Viele Grüsse Klaus

[Roland M. Kruggel]

[...]

Post by Klaus Schuehler

Post by Roland M. Kruggel
Das ist wohl war. Der größte Angriffspungt und die größt
Sicherheitslücke sitt immer vor der Tastatur.

Wie soll sich jemand unauffällig einen Useraccount organisieren.
An dem Rechner ist keine Tastatur.
Ich versuche nun meinen rootie so sicher wie Möglich zu machen.
Bin da sehr aktiv um einen sicheren Rechner zu haben.

Szenatio:

a) er geht mit die ein Bier trinken, er spendiert natürlich, macht
di sturz besoffen und due verplapperst dich.
b) er fragt deine Freundin/Frau. Die ist sehr geschwätzig und
verplappert sich auch. (Du sprichst ja im schlaf)
c) Du hast das Passwort natürlich deinem Chef gegeben. Der kann sich
solche kryptischen Zeichen nicht merken und hat es sich
aufgeschrieben. Sicher ist Sicher. Damit er es auch immer
wiederfindet liegt der Zettel unter der Schreibtschauflage. Sicher
ist Sicher.

Sicherlich ist das Konstruiert. Aber alles schon vorgekommen, und
gar nicht mal so selten.

[Roland M. Kruggel]

[...]

Post by Klaus Schuehler
Wie soll sich jemand unauffällig einen Useraccount organisieren.
An dem Rechner ist keine Tastatur.
Ich versuche nun meinen rootie so sicher wie Möglich zu machen.

^^^^^^^^^^^^^^^^^^^^^

Wenn man das Wörtlich nimmt, musst du sehr viel Geld in die Finger
nehmen.

[Andreas B.]

Den user root gibt es immer. Also braucht er nur noch das passwort zu

Wie wäre es mit der Idee root umzubenennen? Bringt vielleicht auch noch
das eine oder ander Minütchen ein? Standardmässig schaut wohl keiner, ob
root auch wirklich root heisst?!?
UID=0 User=blubber


hm


Andreas

[Roland M. Kruggel]

Post by Andreas B.

Den user root gibt es immer. Also braucht er nur noch das
passwort zu

Wie wäre es mit der Idee root umzubenennen? Bringt vielleicht
auch noch das eine oder ander Minütchen ein? Standardmässig
schaut wohl keiner, ob root auch wirklich root heisst?!?
UID=0 User=blubber

Bist du sicher das JEDES programm nur die UID abfragt?

Ich halte das für sehr gefährlich. ein Bekannter hat das mal auf
einem Suse-System gemacht. Hinterher hat er neu installiert.

[Andreas Vögele]

Post by Andreas B.

Den user root gibt es immer. Also braucht er nur noch das passwort zu

Wie wäre es mit der Idee root umzubenennen? Bringt vielleicht auch noch
das eine oder ander Minütchen ein? Standardmässig schaut wohl keiner, ob
root auch wirklich root heisst?!?
UID=0 User=blubber

Sinnvoller wäre es wohl, das Kennwort des root-Kontos zu deaktivieren
und sudo zu verwenden. Bei Mac OS X ist das zum Beispiel standardmäßig
der Fall.

[Matthias Haegele]

Andreas Vögele schrieb:
[...]

Post by Andreas Vögele
Sinnvoller wäre es wohl, das Kennwort des root-Kontos zu deaktivieren
und sudo zu verwenden. Bei Mac OS X ist das zum Beispiel standardmäßig
der Fall.

Ubuntu benutzt sowas wohl auch, evtl. könnte man da ein wenig
"abschauen", gibt es afaik auch als "live-cd"?.
Grüsse
Matthias Hägele