Izguba administratorskih pravic kot sudo uporabnik

BivšiUser2 je 14. nov 2018 ob 14:30 izjavil:

To nategovanje drug drugega je itak brezvreze, ker je Linux opensource, in bo prej ali slej kdo našel exploit kako priti do root accounta brez kakršnekoli "zgoščene" vrednosti.

Še en tepec, ki misli, da je zaprtokodno programje bolj varno, ker ti ne vidiš kode?

SeMiNeSanja je 14. nov 2018 ob 10:19 izjavil:

Odkar se igram tudi z 2FA, me predvsem moti, da je password avtentikacija tako globoko vkoreninjena v sisteme, da jo 3rd party ponudniki praktično ne morejo v celoti nadgraditi s svojo 2FA alternativo.
Tako npr. lahko rešijo interaktivni login, medtem ko na nivoju network login-a ali servisov vse ostaja po starem.

Seveda. 2FA je interaktivna reč za končne uporabnike. Servisi imajo lahko javno/zasebne ključe za šifriranje.

Mimogrede, 2FA ni ravno čudežen. Če ti sp*zdijo shared secret bodisi s strežnika ali tvojega telefona, ti nič ne nuca več. Geslo imaš po drugi strani lahko izključno v glavi in če je dobro, ni variante, da ti ga pohekajo. Drugo je, če gre za phishing, keyloggerje itd. Ampak takrat si pa screwed v vsakem primeru.

Ales je 14. nov 2018 ob 15:05 izjavil:

BivšiUser2 je 14. nov 2018 ob 14:30 izjavil:

To nategovanje drug drugega je itak brezvreze, ker je Linux opensource, in bo prej ali slej kdo našel exploit kako priti do root accounta brez kakršnekoli "zgoščene" vrednosti.

Še en tepec, ki misli, da je zaprtokodno programje bolj varno, ker ti ne vidiš kode?

Kaj ti si nepismen? Kje se v celotni temi omenja zaprta koda? Objektivno noben sistem ni varen, subjektivno pa mislim, da je Linux celo bolj varen.

SeMiNeSanja je 14. nov 2018 ob 13:01 izjavil:

Prvotna trditev je bila, da ni nastavljeno. Vendar si dejansko potrdil, da je 'nekaj' nastavljeno kot geslo.
Ali je to zdaj 'razrešljivo' ali ne, niti ne igra bistvene vloge pri tem, kar sem jaz trdil: da ni dobro imeti accounta brez gesla.

Uhm, v bistvu sem zlo hitro dal pojasnilo, da dejansko ne gre za account, ki bi omogocal prijavo brez vnosa gesla (ker geslo ne bi bilo nastavljeno). V prvi moji izjavi sem se nekoliko nerodno izrazil. Zato sem se tudi popravil.

SeMiNeSanja je 14. nov 2018 ob 13:01 izjavil:

Res je, da si s poti umaknil eno geslo, katerega vsi poznajo - pridobil pa si nekaj novih accountov, za katere ne veš, kako solidna gesla imajo in kako jih varujejo posamezniki.

Za varovanje gesel imas ustrezno definirane standarde in pravila. Dostopa do sudo pac ne das vsakomur, se posebaj ne tistim za katere sumis, da ne znajo ravnati s svojimi gesli. Je pa popolnoma vseeno ali taki osebi das dostop do sudo ali pa ji das root geslo. Oboje je enako zanic.

SeMiNeSanja je 14. nov 2018 ob 13:01 izjavil:

Pri 10-ih pa bi že dobro premislil, če se nebi malo globlje zakopal v konfiguracijo sudo-ja.

Kot sem ze zgoraj napisal, popolnoma vseeno je ali ima uporabnik moznost sudo ali pa operira z geslom za root uporabnika. Ce je neskrben z enim ali drugim je lahko oboje nevarno.

Klasični TOTP 2FA kot je npr. Google Authenticator ima zadaj še vedno neko "geslo", s poznavanjem katerega boš lahko vedno dobil trenutno veljavno kodo.

Pri push je dovolj dostop do (neodklenjenega) devicea.

c3p0 je 15. nov 2018 ob 07:01 izjavil:

Klasični TOTP 2FA kot je npr. Google Authenticator ima zadaj še vedno neko "geslo", s poznavanjem katerega boš lahko vedno dobil trenutno veljavno kodo.

Pri push je dovolj dostop do (neodklenjenega) devicea.

Kdo to pravi?

Je dovolj - če tako nastaviš.

Ampak ker si očitno paranoik, a) se ti bo telefon sam zaklepal in b) boš tudi tu dodal še geslo ali drugo zaporo za dostop do app-a, mar ne?

Meni se telefon samodejno zaklepa, tako da mi ne pade na pamet, da bi si 2FA za moje potrebe po nepotrebnem dodatno kompliciral.

Mislim, da je treba ločiti med različnimi scenariji uporabe.
Eno so scenariji v okoljih z visokim tveganjem. Karikirano rečeno, kjer varuješ dostop do sistemov za izstreljevanje raket. Tam boš seveda šel tudi v opcije, ki se ti v normalnem vsakdanu zdijo popolna bedastoča.

Popolnoma druga zgodba pa so okolja, s katerimi se vsakodnevno srečujemo. VPN dostop do službenega omrežja, RDP dostop do službenega računalnika, itd. itd.
Zadeve, ki jih 95% uporabnikov danes še vedno počne zgolj z navadnim geslom, katero je kakršno pač je. Če v takšna okolja želiš vnesti nekaj napredka, boš hotel zadeve za uporabnika naresti čim manj 'stresne'. Zadnje kar hočeš, je to, da bodo uporabniki preklinjali tisto 'bedarijo', ki si jim jo navlekel. Nočeš, da je 'napredek' za uporabnika zaznamovan z nevem koliko dodatnimi pritiski na tipke, katere bo uporabnik 'občutil' kot trikratno podaljšanje postopka za prijavo (in se posledično ne bo odjavljal, ko bo šel npr. na wc?).

Tako je v 90% primerov navadna push notifikacija povsem sorazmerna. Za tistih preostalih 10% pa lahko stvari tudi zaostriš.

Nenazadnje pa je tudi neprestano vnašanje gesla v telefon določeno varnostno tveganje, saj te lahko pri tem kdo opazuje ali celo posname! Potem pa ti rabi samo še telefon ukrast...

Btw: koliko ljudi poznaš, ki bi pri Google avtentikatorju imeli vključeno še potrebo po vnašanju nekega dodatnega gesla v app? Jaz prvič slišim za to... Vedno sem videl samo varianto, kjer je TOTP app rolal številke, ki si jih lepo pretipkal v spletni brskalnik...

"Dodatno geslo" potrebuješ v sami aplikaciji v katero se prijavljaš, saj 2FA ne izklopi uporabe osnovnega gesla, temveč tega samo še dodatno 'zavaruje'.

c3p0 je 15. nov 2018 ob 11:50 izjavil:

Seveda lahko sam izbereš kar ti ustreza glede na zahtevano stropnjo varnosti in/ali paranojo. Npr. google sign-in nudi precej opcij. Lahko je ta device tudi Trezor wallet (+geslo) ipd.

Ampak trdil si, da je Push slabša varianta od TOTP. S tem pa se ne strinjam.

Pri klasičnem TOTP se lahko isti token namesti na več naprav. Tako tudi obstaja nevarnost, da ti nekdo ukrade token. Ko se potem prijavlja namesto tebe, ti nič o tem ne veš. Lahko traja mesece, predenj ugotoviš, da se še nekdo prijavlja kot ti. Ker si lažno prepričan, da je pod 2FA to nemogoče, boš še manj pozoren na to, kdaj in od kje se je kdo prijavljal na tvoj account.

To se ti pri Push metodi praktično ne more zgoditi. Celo če je nekdo samo poskusil uporabiti tvoj username, boš dobil notifikacijo in vedel, da se nekaj dogaja. Token se lahko namesti izključno na eno samo napravo. Če potrebuješ več naprav za avtentikacijo na isti account, se kreira nov token, kateri se ob namestitvi 'zapečen' na tisto drugo napravo (strežnik si zapomni 'prstni odtis' oz. 'Mobile DNA' naprave).
Ob poskusu prijave (npr. Windows Administrator account z dvema administratorjema), bi Push notifikacija prišla na obe napravi. Tako še vedno veš, da se skuša prijaviti kolega, če se ti nisi in lahko tudi preveriš IP naslov v notifikaciji, če je ok.

Razni trezorji in čudežni ključki, ki so zadnje čase v prodaji skrivajo isto slabost kot TOTP: če nekomu uspe (social engineering,...) na tvoj account registrirat dodaten token, potem se lahko prijavlja kakor mu je volja, pa ti o tem nič ne veš.

Push notifikacije so mi zelo všeč za scenarije kot je 'root account'. Kdor je 'pooblaščen' ve geslo accounta - ampak se ne more z njim prijaviti, če mu 'nadzornik' ne potrdi push notifikacije.
Da ne bo pomote - ne govorim o root accountu na Ubuntu, temveč o admin accountih na routerjih, firewall-ih, switch-ih, itd. Vse kar podpira radius avtentikacijo se da dodatno zaščititi na tak način.

Podoben scenarij je pri GDPR, če moraš loviti pooblaščenca za varstvo osebnih podatkov (DPO), da ti odklene dostop do deanonimiziranih prometnih podatkov. Če ga boš klical več kot 1x/teden mu bo ta vloga hitro zrasla na vrh glave. Sploh bo vesel, če ga boš klical med sestanki, dopustom ali bolniško. Preko Push notifikacije ti lahko odklene dostop na daljavo, ne glede na to, kje se nahaja. Pošlješ mu SMS, da najaviš potrebo po dostopu, vtipkaš 'znano' geslo in počakaš na odobritev notifikacije s strani DPO. To ti pa lahko pošlje od kjerkoli, po potrebi tudi z drugega kontinenta, če le ima dostop do interneta.

Real-life scenariji, ki ti jih razni ključki in wallet-i ne omogočajo.

Seveda pa imajo tudi ti ključki in wallet-i svoje prednosti v nekih drugih scenarijih.
To ti je tako, kot navadno, zidarsko in tesarsko kladivo. Vsako ima svoje področje, kjer je bolj uporabno.

SeMiNeSanja je 15. nov 2018 ob 14:02 izjavil:

Ampak trdil si, da je Push slabša varianta od TOTP. S tem pa se ne strinjam.

Nobena omenjena rešitev ni slabša od druge, vsako se da nastavit dobro ali slabo, si pa odvisen potem od varnosti tega devicea. Vsa debata pa izvira iz non-issue glede root gesla, "ranljivost" za katere izrabo še ni nihče nikoli slišal.