Warum ist Magic SysRq auf einigen Systemen nicht standardmäßig aktiviert? Gibt es ein Risiko?

Bei der Fehlerbehebung bei einem Oracle Linux 6.3-Server (RHEL Derivative) habe ich zum ersten Mal versucht, einige der Magic SysRq Key-Befehle zu verwenden. Kein Glück, also musste ich hart neu starten. Als es wieder hochkam, überprüfte ich, ob SysRq aktiviert war ...

> sysctl kernel.sysrq
kernel.sysrq = 0

Aber auf unseren Oracle Linux 7.2-Systemen (RHEL Derivative) ...

> sysctl kernel.sysrq
kernel.sysrq = 16

Mit Blick auf die Kernel - Dokumentation für sysrq :

0 - disable sysrq completely
1 - enable all functions of sysrq
>1 - bitmask of allowed sysrq functions (see below for detailed function
description):
     2 =   0x2 - enable control of console logging level
     4 =   0x4 - enable control of keyboard (SAK, unraw)
     8 =   0x8 - enable debugging dumps of processes etc.
    16 =  0x10 - enable sync command
    32 =  0x20 - enable remount read-only
    64 =  0x40 - enable signalling of processes (term, kill, oom-kill)
   128 =  0x80 - allow reboot/poweroff
   256 = 0x100 - allow nicing of all RT tasks

Laut Fedoras Qualitätssicherung für Sysrq :

Stock Fedora- und RHEL-Kernel haben diese Funktionalität zum Zeitpunkt der Kompilierung aktiviert, aber die Distributionen deaktivieren sie beim Start standardmäßig mithilfe von sysctl.conf.

Die standardmäßige Aktivierung dieser Funktionalität auf allen unseren Systemen scheint eine gute Idee zu sein. Wenn ein System ausfällt, können Sie es zumindest halbwegs ordnungsgemäß herunterfahren.

Meine Fragen...

Wenn dies eine offensichtlich gute Idee ist, warum ist die Funktion in 6.X deaktiviert und in 7.X nur auf die Synchronisierung von Dateisystemen beschränkt?
Gibt es irgendwelche Risiken bei der Festlegung kernel.sysrqauf 1auf alle unsere Systeme?

fedora rhel kernel oracle-linux magic-sysrq Caesar Kabalan
quelle

Antworten:

Möglicherweise möchten Sie nicht die Möglichkeit haben, dass eine zufällige Person zur Tastatur geht und das Gerät zurücksetzt, oder, noch schlimmer, mit dem Drucken von Registern, Syslog oder allen Aufgaben auf der Konsole beginnt, ohne sich anzumelden. Dies ist ein potenzielles Sicherheitsproblem.

Ich aktiviere es selektiv zum Beispiel auf Hardware in unserem Rechenzentrum, die an einen seriellen Konsolenkonzentrator angeschlossen ist. Ich deaktiviere es auf unseren Endbenutzer-Workstations.

jsbillings
quelle

Vielen Dank für Ihre Antwort. Ich habe es als Antwort akzeptiert. Im Zusammenhang mit dieser Frage ist die Konsole eine VM-Konsole, aber Sie haben Recht, sie gibt jemandem, der keine Systemanmeldung hat, die Möglichkeit, auf irgendeine Weise Zugriff auf das System zu erhalten (Protokollausgabe, Neustart usw.) ein Sicherheitsrisiko.

Caesar Kabalan

Warum ist ein Neustart dann standardmäßig zulässig?

NeverMind9

Wahrscheinlich aufgrund des Grundsatzes des geringsten Erstaunens. Ich schalte es auf Kiosksystemen aus. Neustart startet den Computer sicher neu (oder versucht es zumindest), während das Zurücksetzen von sysrq dies nicht tut.

jsbillings