Es gibt einen klaren Vorteil, Root-Anmeldungen auf ssh zuzulassen
Es gibt einige Sicherungssysteme, die Root auf dem Remote-System benötigen, um tatsächlich eine Sicherung durchzuführen. Es ist nicht ungewöhnlich, dass Dinge mit schlüsselbasierter Authentifizierung eingerichtet werden, um Wartungsaufgaben auf Remote-Systemen auszuführen.
Ich wünsche mir dringend, dass die Standardeinstellung von PermitRootLogin yes
mindestens auf geändert PermitRootLogin without-password
wird. Dies würde nur eine schlüsselbasierte Authentifizierung ermöglichen. Eine Remote-Kennwortauthentifizierung für das Root-Konto ist fast nie erforderlich.
Auf Systemen (wie Ubuntu) wird es immer häufiger, dass das System mit einem Root-Konto mit einem deaktivierten Kennwort eingerichtet wird. Das Standard-Setup birgt kein großes Risiko, da es keine Möglichkeit gibt, sich direkt bei einem Konto mit einem deaktivierten Kennwort zu authentifizieren.
Bedenken Sie auch, dass ein Brute-Force-Versuch, sich über ssh remote bei root anzumelden, eine sehr geringe Erfolgschance hat, wenn Sie ein Root-Konto mit einem ausreichend komplexen Kennwort haben. Das Deaktivieren des Root-Kontos bietet zwar eine zusätzliche Sicherheitsebene, ist jedoch möglicherweise nicht erforderlich, wenn Sie über ein sicheres Kennwort verfügen. Wenn Sie ein sicheres Kennwort mit reaktiven Tools wie Denyhosts und Fail2Ban kombinieren, besteht normalerweise fast kein Risiko, dass ein Versuch, das Root-Kennwort brutal zu erzwingen, funktioniert.
Es ist immer eine gute Praxis, das System nach Abschluss der Installation basierend auf dem Risiko und den Anforderungen für Ihr Netzwerk zu härten. Ein System, das nicht kritisch ist und keine Benutzerdaten enthält, benötigt nicht wirklich den gleichen Grad an Härtung wie das System, in dem Kranken- oder Bankunterlagen gespeichert werden.
Erwägen Sie, Root-Anmeldungen als zusätzlichen Schutz zu verhindern. Vor einigen Jahren war Bruteforce auf dem Höhepunkt, heutzutage suchen sie nach Schwachstellen über das, was sie von den Deamons sehen können (Apache, pureftpd, ...). Das Verhindern von Root-Anmeldungen wird zu einer hervorragenden Idee, wenn morgen ein Exploit mit SSHD gefunden wird. Während SSHD ausgereift und sicher ist, wissen Sie nie. In letzter Zeit waren die Exploits eher auf die Eskalation von Privilegien mit dem Kernel oder die Verwendung einer Drittanbieter-App mit dem Kernel ausgerichtet, sodass das Verhindern von Root-Anmeldungen nichts geändert hätte.
Debian-basierte Distribution hat den Wechsel bereits vorgenommen, während RedHat-basierte Distributionen dies vorschlagen (wenn Sie die Best Practices-Dokumente lesen).
quelle
Nun, weil root ein gültiger Benutzer ist und sshd es erledigt, um es zuzulassen. Unter OpenBSD (dieselben Leute von OpenSSH) werden Sie beispielsweise nicht aufgefordert, während der Installation einen Benutzer zu erstellen. Daher müssen Sie root verwenden, um auf Ihre Box zuzugreifen.
Bei einigen Desktop-basierten Distributionen müssen Sie zusätzliche Benutzer erstellen, für Server benötigen Sie jedoch keinen.
Auch diese Argumente, dass sudo oder su sicherer sind als sich als root anzumelden, sind ein großer Mythos. Unter Ubuntu kann der Benutzer beispielsweise JEDEN Befehl standardmäßig mit sudo ausführen, sodass jeder Angreifer, der einsteigt, auch JEDEN Befehl als root ausführen kann. Aus Sicherheitsgründen ziemlich nutzlos.
quelle
Es ist ziemlich distro-spezifisch. Einige erlauben es, andere nicht.
Wenn ich eine Distribution verwalten würde, würde ich das System so konfigurieren, dass es bei der Installation so hart wie möglich ist. Es ist besser zu vergessen, eine Funktion zu aktivieren, als zu vergessen, eine Funktion zu deaktivieren.
quelle