Comment puis-je accéder en toute security à «mes» services Web et counts sur un ordinateur dans lequel j'ai des droits sudo
, mais les administrateurs ont, naturellement, un access root à distance?
Détails
J'utilise un dekstop qui est connecté à un (grand) réseau fermé / restreint. Même la connection au système ne réussit que si elle est connectée au réseau local.
L'administrateur a, bien sûr, un access root à distance (que je proposerai de changer et d'opter pour une authentification par mot de passe sans mot de passe). De plus, mon userid est assigné au groupe sudoers, c'est à dire dans le file /etc/sudoers
, il y a:
userid ALL=(ALL) NOPASSWD: ALL
J'hésite à utiliser mes passwords pour accéder à mon client webmail et à mon count firefox. Et plus.
Des questions
Que puis-je faire pour que mes passwords, pour accéder aux services Web externes, soient protégés de toute autre personne que moi?
Par exemple, puisque j'ai les droits sudo
, comment puis-je m'assurer qu'aucun enregistreur de key ne fonctionne?
J'accède mot de passe-less-ly basé sur les keys SSH divers services. Comment puis-je protéger mon mot de passe d'être connecté?
Serait-il sûr d'avoir access à des services externes dans un tel cas d'utilisation?
Existe-t-il une collection de «pratiques sécuritaires utilisant un ordinateur Linux que d'autres peuvent accéder à distance en tant que root
?
Tu ne peux pas.
L'user root a un access complet à la machine. Cela inclut la possibilité d'exécuter des keyloggers, de lire n'importe quel file, de faire en sorte que les programmes que vous exécutez ne soient pas affichés dans l'interface user … Cela dépend de votre environnement, donc nous ne pouvons pas vous le dire. Même 2FA n'est pas sûr en raison de la possibilité de détournement de session.
En général, si vous pensez qu'une machine n'est pas sûre, vous ne devez pas l'utiliser pour accéder à vos services.
La réponse acceptée est techniquement correcte et probablement correcte pour environ 99% de la récolte habituelle des machines Unix / Linux utilisées aujourd'hui, je suppose. Cependant, nous pouvons aborder le problème avec une vue un peu plus différenciée et essayer de cibler votre question réelle (ce qui n'est pas exactement «peut faire tout faire dans ma machine» mais «comment puis-je me protéger»).
@ ceph3us a lié https://security.stackexchange.com/questions/7801/keeping-secrets-from-root-on-linux dans un commentaire. Cette question et ses réponses parlent des possibilités de garder les choses secrètes de la root
, disponibles aujourd'hui. Si vous êtes vraiment paranoïaque, et probablement que vous devrez réinstaller la machine, vous pouvez essayer certaines de ces choses. C'est-à-dire, SELinux avec des parameters très ressortingctifs.
SELinux a, dans votre scénario, un gros inconvénient. Les administrateurs distants sont des administrateurs distants car, bien, ils sont censés administrer votre machine. Cela signifie qu'ils ont besoin d'avoir un contrôle total sur absolument n'importe quoi, faire essentiellement n'importe quoi avec votre machine, y compris en le rendant sécurisé en premier lieu. Ce n'est pas un problème technique, c'est un problème d'organisation. Même si vous installez SELinux, ils auront toujours besoin d'un access complet pour faire leur travail.
Pour transcender la question de la root
, reformulons le problème comme suit: tout administrateur distant qui a le pouvoir de faire tout ce qu'un administrateur distant doit faire (y compris la configuration et le renforcement des aspects de security du système) est en dehors de la security aspects du système. Par définition. Aucune mesure technique ne peut changer cela, jamais.
Donc, en pratique, le seul angle que je vois pour vous est le suivant: réinstaller la machine avec votre propre installation, à partir de zéro. Maintenant, écoutez-moi. Il y a deux scénarios, que j'ai vécus dans différentes entresockets: un type d'entreprise reconnaît que même si la plupart des gens (surtout des non-Unix) s'en fichent, certaines personnes peuvent et peuvent faire confiance leur propre machine. Si vous êtes un de ces gars, alors vous échangez leur service potentiel pour votre liberté. Normalement, ils refuseront toute aide avec votre machine, après l'avoir prise. Ce qui est exactement ce que vous voulez.
Ensuite, vous pouvez le durcir autant que vous le souhaitez, et vos anciens administrateurs n'auront alors aucune possibilité particulièrement forte de pirater votre machine, par rapport à tout autre script kiddy là-bas.
Ce type d'entreprise a compris qu'un réseau local interne n'est pas en soi un endroit particulièrement sûr; c'est-à-dire qu'il gère toutes les machines du réseau local (même si elles sont probablement endurcies par l'équipe d'administrateurs de la société) en tant qu'attaques possibles. Dans ce scénario, ils pourraient se soucier less de vous installer vos propres trucs.
L'autre scénario est que votre entreprise l'interdit simplement. Alors il est time de découvrir pourquoi c'est le cas. Ont-ils peur que vous puissiez bousiller votre machine et ensuite les appeler à l'aide, ce qui sera difficile pour eux de faire? Assure-leur que tu vas te débrouiller. Y a-t-il un problème de licence? Sur Linux? Ne le pense pas. Ont-ils peur que vous puissiez exécuter du code malveillant / installer des trucs à partir d'Internet, peu importe? Vous pouvez déjà le faire, vous avez déjà la racine. Est-ce qu'ils pensent que vous pouvez faire la machine pour faire des choses malveillantes sans leurs enregistreurs de frappe / screenloggers le voir? Ensuite, vous travaillez probablement à la NSA et ils surveillent leurs propres gars (je plaisante, je n'ai aucune idée des internes de la NSA;)).
Vous voyez où je vais, j'espère. Il n'y a aucune raison pratique de supposer que vous utilisez votre installation (vous disposez d'un access root complet) vous rend plus sûr que vous n'utilisez votre propre installation et que vous n'y avez pas access.
Essayez de les convaincre, ou découvrez pourquoi ils ne seront pas convaincus. Cela devrait vous dire quelque chose, peut-être.