Grub and....root secutity

[Dklearhos]

Κάνω παρακάτω παράθεση ένα κομμάτι του menu.lst του grub ποθ με προβληματίζει:

 

.....

title Ubuntu, kernel 2.6.17-10-generic (recovery mode)

root (hd1,0)

kernel /boot/vmlinuz-2.6.17-10-generic root=/dev/sda1 ro single

initrd /boot/initrd.img-2.6.17-10-generic

boot

.......

 

Επειδή χρειάστηκε κάποια στιγμή να εκκινήσω από recovery mode προς έκπληξή μου είδα ότι επιλέγοντας recovery mode με κάνει σύνδεση ως root χωρίς να ζητάει το root password.Κάνω restart και normal εκκίνηση και ανοίγω ένα terminal και ως δια μαγείας είμαι ένας απλός user.Έτσι παρατήρησα ότι βάζοντας την παράμετρο single μπορεί ο καθένας να έχει προσβαση στα δεδομένα μου και όχι μόνο.Νομίζω είναι πολύ εύκολο για κάποιον που γνωρίζει λίγα πράγματα από grub και linux να απολτήσει πλήρη προσβαση στον υπολογιστή μου και στο κάθε υπολογιστή.

Αυτό που ρωτάω είναι άν γίνεται να "διαγραφεί" για πάντα η παράμετρος single γιατί ακόμα και password να βάλω κατά το boot(που δεν με βολεύει γιατί κάνουν dualboot σε XP άλλοι χρήστες)με μια επεξεργασία του menu.lst δεν θα έχω κάνει τπτ...

Καλώ τους ειδήμονες να με διαφωτίσουν και...ευχαριστώ για τον χρόνο σας....

[NullScan]

Δεν βλέπω τον λόγο για τον οποίο δεν μπορείς να το βγάλεις το single. Και για να το κάνουμε λίγο πιο γενικό το θέμα δεν καταλαβαίνω τι είδους recovery mode είναι αυτό που έχεις σαν entry στον grub. Το single user mode δεν θα έλεγα οτι θεωρείται recovery...

[Dklearhos]

Το πρόβλημά μου είναι ότι το έχω βγάλει αλλά μπορεί κάποιος πολύ εύκολα να το ξαναπροσθέσει οπότε δεν έγινε και τίποτα.Και επίσης αυτό το recovery υπάρχει από default στο ubuntu(τον κώδικα τον αντέγραψα από κάποιο forum με τις default τιμές).

Όσων αφορά το πώς θα έχει πρόσβαση?Ένας πολύ απλός τρόπος είναι με windows xp σε καποιον άλλο δίσκο ένα προγραμματάκι ext2fs(κάπως έτσι) που είναι ένας driver ext2/ext3 για windows.

[apoikos]

Για κάνε ένα paste το /etc/inittab.

Επιπλέον, προφανώς αν ο καθένας έχει πρόσβαση στα windows, έχει το δίσκο offline και μπορεί να κάνει ό,τι θέλει. Η μόνη ασφάλεια είναι να κρυπτογραφήσεις το rootfs.

[Bspus]

Νομιζω (χωρις να ειμαι σιγουρος) οτι ακομα και αν βγαλεις αυτο που λες, εφοσον θα αφησεις αλλες επιλογες για boot και δεν βαλεις password για το bootloader menu, μπορει καποιος που ξερει να κανει edit μια απο τις επιλογες που εχεις αφησει και να την κανει (προσωρινα) να εχει το ιδιο αποτελεσμα με αυτο που εβγαλες.

 

Μπορει επισης καποιος να μπουταρει απο δισκετα/cd καποιο μικρο linux και μετα να κανει mount ο,τι filesystems βρει, εκτος αν βαλεις password στο bios setup.

 

Γενικως οταν υπαρχει φυσικη προσβαση σε καποιο συστημα δεν μπορεις ποτε να εισαι απολυτα ασφαλης

 

Ισως η εννοια του recovery ειναι επειδη αν μπεις single user μπορεις να κανεις reset το root password αν το εχεις ξεχασει

[Dklearhos]

apoikos auto to inittab den to brisko....

όταν λες κρυπττογράφηση???

 

Bspus Σωστά αυτό που λές αλλά έχω την εντύπωση ότι κάτι αντίστοιχο δεν ισχύει στο win(στα XP τουλαχιστον), δηλαδή δεν μπορείς να μπείς σαν administrator και να δουλεύεις το pc σαν root χρήστης(για αρχεία δεν αμφιβάλλω ότι θέλεις παίρνεις)

[Bspus]

apoikos auto to inittab den to brisko....

όταν λες κρυπττογράφηση???

 

Bspus Σωστά αυτό που λές αλλά έχω την εντύπωση ότι κάτι αντίστοιχο δεν ισχύει στο win(στα XP τουλαχιστον), δηλαδή δεν μπορείς να μπείς σαν administrator και να δουλεύεις το pc σαν root χρήστης(για αρχεία δεν αμφιβάλλω ότι θέλεις παίρνεις)

 

Θα περιμενε κανεις οτι μια τετοια διαδικασια ειναι πιο δυσκολη σε λινουξ απ οτι windows.

Στα windows ειναι λιγο πιο δυσκολο γιατι θες οπωσδηποτε καποιο εξτρα εργαλειο, ειτε αυτο ειναι το ERD Commander, ειτε το NT Offline password recovery (ενα μινι mandrake σε δισκετα ειναι με προγραμμα για windows registry editing kai password reset).

 

Αλλα μην αμφιβαλεις, γινεται πολυ ευκολα και αν παρεις και backup το SAM και αντιστοιχα log files του event viewer και τα ξαναβαλεις πισω μετα δεν υπαρχει περιπτωση να φανεις πουθενα.

[apoikos]

@Dklearhos, είναι το αρχείο /etc/inittab, δε νομίζω να μην υπάρχει στο σύστημά σου ;-)

 

@Bspus: μου κάνει εντύπωση που το ubuntu δε ζητάει root password σε single user mode, οι περισσότερες διανομές που θυμάμαι ζητάνε (εκτός από κάτι αρχαίες mandrake).

[Dklearhos]

@Dklearhos, είναι το αρχείο /etc/inittab, δε νομίζω να μην υπάρχει στο σύστημά σου

 

Φίλε μου άποικε το μόνο που βρήκα βρίσκεται εδώ /usr/share/vim/vim70/syntax και είναι το inittab.vim που μάλλον δεν είναι χρήσιμο.

 

Επίσης βρήκα έναν φάκελο /etc/init.d/ ο οποίος περιέχει απ'ότι βλέπω ότι εκτελείται κατά το boot.Εκεί μέσα βρήκα ένα εκτελέσιμο αρχείο ονόματι single, άνοιξα να δω τον κωδικά του αλλά δεν κατάλαβα και πολλά και το ξαναέκλεισα

[apoikos]

Μάλιστα, φαίνεται ότι έχουν πετάξει το κλασσικό init και χρησιμοποιούν κάτι ονόματι Upstart (δεν το σχολιάζω). Γενικά το πρόβλημα είναι ότι σε single-user mode θα έπρεπε να καλεί την sulogin, ενώ απλά σηκώνει ένα (bourne?) shell. Αν μπορέσεις να βρεις που γίνεται αυτό, άλλαξε το shell με /sbin/sulogin. Γενικά πάντως, αν σε ενδιαφέρει η ασφάλεια, το ubuntu είναι η λάθος διανομή γι' αυτή τη δουλειά. Όχι γιατί δεν είναι ασφαλής (έχει ενδιαφέρουσες default policies), αλλά γιατί η φιλοσοφία της διανομής δε σου επιτρέπει να πειράξεις διάφορα πράγματα.

 

/edit: Άκυρο, τώρα θυμήθηκα ότι το ubuntu συν τοις άλλοις δεν έχει και root account ενεργοποιημένο :-P. Ιδού λοιπόν από τη manpage του sulogin:

>
If the root account is locked, as is the default on Ubuntu, no password prompt is displayed and sulogin behaves as if the correct password were entered.

 

Δοκίμασε λοιπόν να ενεργοποιήσεις το root account με `sudo passwd' και μετά ξαναδοκίμασε το single-user mode.

[Dklearhos]

Οκ άποικε.Αυτό ακριβώς ήθελα.Αλλά με προβληματίζει το γεγονός ότι από default λειτουργεί χωρίς password.Τελοσπάντων, οι απορίες/ανησυχίες μου λύθηκαν...