disable root login

Mene isto zanima za ClarkConnect

ok bom...zdaj mi pa še odgovori na prvo moje vprašanje
kako?

/etc/ssh/sshd_config: PermitRootLogin no

saj to bi rad da samo su ostane :)

Oh ja, tkole brez premisleka pa tudi ne kaze kr disablat in spreminjat reci...
Po moje je najbolj smiselno, ce bootas iz cd-ja in popravis /etc/passwd, potem pa pazi kaj delas.

Upam, da imaš nastavljeno pri bootu, da nekaj sekund počaka na boot: promptu. To je zelo uporabna zadeva, saj lahko podajaš parametre za štartanje sistema.

Torej, menda imaš slacka, torej imaš najverjetneje lilo?
Ko ta počaka na boot promptu, vpišeš ime lilo konfiguracije, ki naj se boota (tisto, kar piše v lilo meniju) in naprej še init=/bin/sh.

Npr.
Jaz imam v /etc/lilo.conf vpisan, da se boota konfiguracija Linux (label = Linux), zato v boot prompt vpišem: Linux init=/bin/sh

Potem se linux zažene "samo na pol", še manj kot single user mode (= runlevel 1). Tam, kjer zažene init (kmalu po loadanju kernela), namreč kar padeš na prompt z vsemi root pravicami. Potem lahko haraš po sistemu. Prej moraš sicer premountati root disk na read-write, ker je na tej točki še read-only: mount -o remount,rw /

Če imaš kakšno drugo distribucijo, ki ne uporablja lilo ampak grub, je še lažje. Ob boot promptu na koncu samo dodaš init=/bin/sh.

To je najbolj simpl zadeva, če si kaj zaštrikaš in sploh ne rabiš nobenih CDjev ali emergency boot diskov.

Vse si zbluzil!

Pod nobenim pogojem se ne ustvarja userja z istimi pravicami kot root niti se ne spreminja pravic na /etc/passwd in /etc/shadow!!!

Root account se blokira tako, da popraviš /etc/shadow (password zamenjaš z zvezdico). Ne spreminjaj shell-a v /etc/passwd, ker se ne boš potem na noben način mogel interaktivno logirati.

Potem imaš pa dve varianti... ena je jasno sudo, druga (meni ljubša) pa pam.

Za sudo je najbolje če z visudo poeditiraš /etc/sudoers in dodaš nekaj v stilu:

root ALL=(ALL) ALL
%leet ALL=(ALL) ALL

...dodaš grupo leet in sebe vanjo. Potem jasno "su komanda" in svoj password. Za interaktivni root login pa "su -i" in svoj password. Pa brez kompliciranja!

Pri pam-u gre pa nekako takole. Po vsej verjetnosti boš editiral /etc/pam.d/su (lahko tudi /etc/pam.conf). Začneš z:

# Tole je pogoj , da se root lahko su-ja v vsakem primeru brez vprašanja,
# in je zadosten. Nadaljnje preverjanje se ne izvaja.
auth sufficient pam_rootok.so
# Tole je opcija in pomeni, da mora biti vsak, ki hoče uporabljati su naveden v
# /etc/su.allow, če ga ni v tem fajlu zadeva takoj pade ven in se logira.
auth requisite pam_listfile.so item=ruser sense=allow onerr=fail file=/etc/su.allow
# Tole je pa še en zadosten pogoj za su (brez uporabe passworda). Ta ti brez
# drugih pogojov dovoli su na kogarkoli.
auth sufficient pam_wheel.so trust use_uid group=leet
# Od tu dalje pa vse ostalo kar še ostane...

...Opisi vseho modulov so ponavadi v /usr/share/doc/pam-version

Aha, en typo vidim... za interaktivni root login uporabiš "sudo -i" + svoj password in ne "su -i" kot sem najprej napisal.

@kekz: Eno distribucijo razen Slackware-a in derivatov mi povej, ki ne uporablja PAM-a in jo uporablja več kot 3% linuxašev.

Povej mi eno konkretno varnostno luknjo v katerem koli PAM modulu, ki jo lahko trenutno zlorabiš.

Problem pri PAM-u je največkrat to, da ga ljudje ne znajo pravilno skonfigurirati in si s tem ustvarjajo varnostne luknje, lahko pa si tudi z eno potezo spravijo sistem na kolena.