Переход организации на Simply Linux 7.0.5

[dango]

Код: [Выделить]

%wheel ALL = (ALL) ALL
означает:
все - везде - все - всё

При этом пароль пользователя запрашивается.

Код: [Выделить]

%wheel ALL=(ALL) NOPASSWD: ALL
А вот это: все из группы wheel - везде - все - всё БЕЗ ПАРОЛЯ
И как следствие, медный таз для безопасности...
Но sudo можно и надо настраивать.

[berkut_174]

Пароль запрашивается и меня это устраивает.

[ruslandh]

Код: [Выделить]

%wheel ALL = (ALL) ALL
означает:
все - везде - все - всё

При этом пароль пользователя запрашивается.

Код: [Выделить]

%wheel ALL=(ALL) NOPASSWD: ALL
А вот это: все из группы wheel - везде - все - всё БЕЗ ПАРОЛЯ
И как следствие, медный таз для безопасности...
Но sudo можно и надо настраивать.

Таз одинаковый, так-как любой зловред меняет командой passwd свой пароль, на тот, что у него запрограммирован, ставит любой  rootkit c blackdoor и дальше говорить о какой-то безопасности не стоит.

[ruslandh]

Пароль запрашивается и меня это устраивает.

Запрашивает пароль, или нет - роли не играет.

[ruslandh]

А да, забыл последний этап - стирает свои следы от "вторжения"

[ruslandh]

Специально посмотрел в виртуалке - пользователь (из wheel) через sudo может выполнить любую команду - набор их не ограничен.

[berkut_174]

passwd же запрашивает текущий пароль ? То есть сменить пароль, не зная текущего, пользователь не сможет.

[ruslandh]

Ну, возможно, в любом случае - это снижение уровня безопасности.

[berkut_174]

Ну и ладно, меня так устраивает:

Код: [Выделить]

$ passwd
Changing password for admin.
Enter current password:


[ruslandh]

А зачем администратору все команды?

[dango]

Таз одинаковый

Соглашусь. Но с NOPASSWD это фактически ничем не ограниченный root из-под пользователя.

Специально посмотрел в виртуалке - пользователь (из wheel) через sudo может выполнить любую команду - набор их не ограничен.

Применение ALL само собой чревато. Применять sudo надо в исключительных случаях, обдуманно и точечно. Но лучше избегать по возможности.

[ruslandh]

Любой "учебник по безопасности *nix" учит, что взлом состоит из двух этапов
- получение прав пользователя
- получение прав root

Применяемая в Simply политика облегчает решение второго этапа.

[ruslandh]

И кстати, ну я понимаю зачем вам хочется иметь возможность запускать через sudo любую команду, но зачем вы разрешаете это делать по ssh с любой машины?

[dango]

И кстати, ну я понимаю зачем вам хочется иметь возможность запускать через sudo любую команду, но зачем вы разрешаете это делать по ssh с любой машины?

Если это вопрос ко мне, то в используемых мною сборках xfce с sysv на Сизифе в /etc/sudoers "%wheel ALL = (ALL) ALL" нет. Считаю это правильным. Пользователю - пользовательское, руту - рутовское. Повышать своему пользователю привилегии через sudo ради незначимых удобств перестал практиковать, а исключительных случаев пока не возникало. Да и какие случаи могут возникнуть на двух домашних станциях

[ruslandh]

Если это вопрос ко мне,

Не к вам