su und sicherheit

[fran]

hallo,
ich hab da eine grundlegende frage:
wie verhält es sich mit dem befehl 'su' bezüglich sicherheit. wenn ich mich z.b. als normaler user anmelde und ins internet gehe - und dann gleichzeitig auf einer konsole mittels su root-befehle ausführe.
öffne ich damit eine potenzielle sicherheitslücke?

grüße - fran

[Sloter]

Nein

Wichtig ist nur das du eine SSH verbindung verwendest, so kann keiner deine Daten mit einem Sniffer auslesen.

Sloter

[artemisia]

@kismet

was meintest du mit ssh? darüber ins i-net?
so wie ich fran verstanden hab, hat er eine maschine und die ist über ppp oder sonst was ans i-net gebunden.
in der regel ist die anbindung ans netz so konfiguriert (so sollte es zumindest sein und jeder port der geöffnet wird, stellt per se ein risiko dar, da darüber ein prozess gestartet werden kann), daß von außen keine remote-verbindungen zugelassen sind (es sei denn, es besteht ein grund dafür).
nicht so wichtig erscheint mir, ob ein prozess unter der root-id läuft (obwohl auch das ein risiko darstellt (buffer overflow)), sondern ob über einen port ein prozess mit rootrechten gestartet werden kann.

ist ne interessante diskussion. vielleicht geht es ja noch weiter.

greetz
artemisia

[Sloter]

Jo, da habe ich etwas falsch verstanden.
Dachte er logt sich mittels SSH als User ein und wechselt nacher auf den root.

So nun zur Diskusion

<jeder port der geöffnet wird, stellt per se ein risiko dar
Nich wenn dahinter kein Dienst lauscht, da kannste lang einen Befehl oder Exploit suchen

<daß von außen keine remote-verbindungen zugelassen sind
Warum nicht, wenn ein sichere Übertragung inkludiert ist wie bei SSH, sehe ich da kein Problem.

Sloter

[artemisia]

Original geschrieben von Sloter

<jeder port der geöffnet wird, stellt per se ein risiko dar
Nich wenn dahinter kein Dienst lauscht, da kannste lang einen Befehl oder Exploit suchen

lol .... darin besteht doch das risiko, daß ein unbedarfter anwender gar nicht weiß, ob ein kleiner lauscher hinter dem port steht und ein prozess mit dem set-bit gestartet wird.

<daß von außen keine remote-verbindungen zugelassen sind
Warum nicht, wenn ein sichere Übertragung inkludiert ist wie bei SSH, sehe ich da kein Problem.

jo sicher ...
aber dieser satz klingt so ähnlich wie: das netzwerk kann beruhigt benutzt werden, wenn es sicher ist. (*lol is der schiach)

greetz
artemisia

[MZ]

nur, daß eure beiträge nix mit der frage zu tun haben...

@fran: wenn du neben internettätigkeiten in einer anderen konsole auf root wechselst ist das kein Problem.

[Sloter]

@mz
Sei ein wenig lockerer

Wir haben ja die Frage beantwortet nur halt etwas ausführlicher

Sloter

[_m3]

Original geschrieben von fran
wenn ich mich z.b. als normaler user anmelde und ins internet gehe - und dann gleichzeitig auf einer konsole mittels su root-befehle ausführe.

So die Maschine durch einen Cracker noch nicht kompromitiert wurde, hast Du kein Sicherheitsproblem. Wenn allerdings z.B. schon ein root-kit installiert wurde, kannst Du sehrwohl Probleme bekommen - aber nicht durch den su-Befehl per se.

=> Wenn die Maschine mit einer FW abgesichert ist, Verbindungen auf Ports von aussen (INet) nicht oder nur sehr beschränkt (z.B. ssh von aussen über einen hohen Port wie 22022) zugelassen werden, ist su sicherlich kein relevantes Sicherheitsproblem.

Bei mehr Intresse bzw. Paranoia empfiehlt sich übrigens der Linux Administrator's Security Guide

[MZ]

Original geschrieben von Sloter
@mz
Sei ein wenig lockerer

Wir haben ja die Frage beantwortet nur halt etwas ausführlicher

Sloter

Jojo - mich nervt es nur seit einiger Zeit schon hier, daß nur mehr gelabert wird und von einem OT zum nächsten OOT gegangen wird. Sollte sich dann zufällig ein sinnvoller Post hierher verirren, postet man dann lieber saublöde bash-skripts, die einen Newbie doch etwas verzeifeln lassen.

Achja: DEBIAN muß ja hier auch in jedem Thread vorkommen, also übernehm das ich mal - paßt zwar hier auch nicht - aber egal :P

j my 2 c

[Sloter]

Das hast du leider recht, aber so schlimm ist es auch wieder nicht.
Bevor wir aber abgleiten und ich eine Ermahnung kassiere, hören wir lieber auf

Sloter

Ps: Arti muß man(n) ein wenig kritisieren und beistehen,
sie bettelt direkt danach