Vlákno názorů k článku
Anonymous kompromitovali pětinu dark webu od oNeDaL - Překvapuje mě, jak byl útok triviální, očekával bych...

Překvapuje mě, jak byl útok triviální, očekával bych zabezpečení na úplně jiné úrovni :)

Souhlas, sudo -i na serveru?

A to měli všichni uživatelé právo na sudo? Takže vlastně každý uživatel byl i root?

Ne, jen ti, kteří se mohli přihlásit přes SSH, a dost možná jen někteří.

sudo je na serveru úplně normální (-i akorát spustí výchozí shell), závažné jsou možnost z Apache procházet soubory mimo directory root, možnost číst soubory jiného uživatele, nota bene obsahující hesla, a možnost resetovat heslo pro uživatele s přístupem přes SSH.

Na žádném serveru nemám sudo na libovolný příkaz či shell, jen na konkrétně vyjmenované příkazy pro konkrétní uživatele v sudoers. Mně to na serveru úplně normální nepřijde.

A máš mezi nimi i "su root" nebo máš povolený root přístup přes ssh?

A když je něco potřeba udělat pod rootem?

1. dokud nějakou úpravu připravuji, tak mi stačí obyčejný uživatel, a sudo použiji jen pro aplikaci (least privilege)
2. uživatelské klíče lze spravovat, a tedy i vyměňovat, centrálně přes FreeIPA, přičemž lze nastavovat i různá práva na různých serverech (někde sudo smí použít volně, jinde jen na určité příkazy a jinam se třeba ani nepřihlásí)
3. i když někdo nějak získá přístup k mému klíči (třeba nějakou budoucí chybou jako Heartbleed nebo cold-boot útokem na SSH agenta), tak bez znalosti hesla roota stejně nezíská (v podstatě dvoufaktorová autentizace)
4. když někdo něco rozbije, je zalogované, kdo to byl

Takže jsi jednou zkoušel ty linuksy ve virtuálu... A teď nám něco řekneš o svých serverech. :D

sudo -i je interaktive , tzn. env variables se ti prepnou na cesty uzivatele root (env | grep -i home)
sudo -s je simulation, tzn. mas prava roota, ale env mas nastaveny na sveho uzivatele (env | grep -i home)

mas to napsany v manualu ;) Takze oni opravdu byli vsichni root :D

Rozdíl z hlediska zabezpečení je nulový, protože sudo -i nastaví stejné prostředí jako sudo -s bash -l (kromě změny aktuálního adresáře).