staging.inyokaproject.org

Hallo, für eine Anwendung (backup per rsync / ssh) benötige ich root-Rechte an einen Host.

https://wiki.ubuntuusers.de/Skripte/Backup_mit_RSYNC/

Auf User-Ebene habe ich bereits Schlüssel generiert und ausgetauscht, ein Einloggen auf dem jeweiligen Gegenüber ist problemlos möglich. Nun habe ich das root-Konto mit Passwort sowohl auf dem Host als auch Client, per passwd, aktiviert und kann mich direkt sowie auch per user-ssh als root anmelden. Als root habe ich jeweils mit ssh-keygen einen Schlüssel erzeugt der unter /root/.ssh/ abgelegt ist, eine Übertragung der Keys per ssh-copy-id an den jeweiligen Gegenüber, analog dem dem Vorgehen auf User-Ebene, schlägt jedoch fehl da das root-passwort nicht akzeptiert wird. Was mache ich falsch - ist das überhaupt die richtige Weg?

Gruss pac

Das Login per SSH für root per Passwort ist standardmässig deaktiviert. Du müsstest den Key unter einem anderen Benutzer rüberkopieren und dann in die ~root/.ssh/authorized_keys einfügen.

Oder Du erlaubst über die /etc/ssh/sshd_config kurz das Login per Passwort für root, das solltest Du dann aber unbedingt sofort wieder abschalten. Also eigentlich würde ich den ersten Weg gehen.

pacmexx schrieb:

[…] ist das überhaupt die richtige Weg?

Eine Aktivierung des Benutzers root zur Anmeldung per Netzwerk (SSH oder anders) ist ein vermeidbares sicherheitstechnisches Risiko und somit immer als Fehler zu bewerten.

Besser ist z.B. eine Anmeldung als normaler Benutzer und die Verwendung von sudo.

kB schrieb:

pacmexx schrieb:

[…] ist das überhaupt die richtige Weg?

Eine Aktivierung des Benutzers root zur Anmeldung per Netzwerk (SSH oder anders) ist ein vermeidbares sicherheitstechnisches Risiko und somit immer als Fehler zu bewerten.

Der einzige Vorteil für den Angreifer ist, dass es diesen Account bei jedem UNIX/Linux gibt. Sonst gibt es keinen Vorteil für Angriffe.

DJKUhpisse schrieb:

[…] Der einzige Vorteil für den Angreifer ist, dass es diesen Account bei jedem UNIX/Linux gibt.

Und es ist ein Fehler, seinen Gegnern diesen vermeidbaren Vorteil zu gewähren.

Sonst gibt es keinen Vorteil für Angriffe.

Das wirst Du nicht beweisen können. Und selbst, wenn es stimmen sollte, begehst Du mit dieser generalisierenden Aussage einen weiteren Fehler: Du unterschätzt die Kreativität Deiner Gegner.

kB schrieb:

DJKUhpisse schrieb:

[…] Der einzige Vorteil für den Angreifer ist, dass es diesen Account bei jedem UNIX/Linux gibt.

Und es ist ein Fehler, seinen Gegnern diesen vermeidbaren Vorteil zu gewähren.

Sonst gibt es keinen Vorteil für Angriffe.

Das wirst Du nicht beweisen können.

Wie soll ich das auch? Es ist einfach nur ein Benutzername. Inwiefern, außer dass es diesen Benutzer immer gibt, ist das ein zusätzliches Risiko?

Es ist bei anderen Distributionen völlig normal als root zu arbeiten.

Doc_Symbiosis schrieb:

... Du müsstest den Key unter einem anderen Benutzer rüberkopieren und dann in die ~root/.ssh/authorized_keys einfügen.

mmh - das habe getan, ein einloggen als root auf den anderen Rechner ist weiterhin nicht möglich - das ist so auch gar nicht beabsichtig, es hat einen anderen Hintergrund bzw. Funktionsweise, nicht wahr?

pacmexx schrieb:

..., ein einloggen als root auf den anderen Rechner ist weiterhin nicht möglich ...

Dann stimmt etwas an deiner Konfiguration nicht.

pacmexx schrieb:

... - das ist so auch gar nicht beabsichtig, es hat einen anderen Hintergrund bzw. Funktionsweise, nicht wahr?

Was genau meinst Du mit "so auch gar nicht beabsichtigt"?

DJKUhpisse schrieb:

Es ist einfach nur ein Benutzername. Inwiefern, außer dass es diesen Benutzer immer gibt, ist das ein zusätzliches Risiko?

Es ist zwar nicht direkt eine Zweiwegeauthentifizierung, aber sehe doch mal den Nutzernamen als einen Schlüssel, und den SSH-Key als den 2. Schlüssel. Wenn root via SSH zum einloggen zulässig wäre, dann hätten Angreifende direkt schon mal den ersten Schlüssel, ohne sich auch nur die geringste Mühe geben zu müssen.

Zeige mal die Berechtigungen von ~root/.ssh/authorized_keys, also

ls -al ~root/.ssh/authorized_keys

Die muss root gehören und die Rechte 600 haben.

pacmexx schrieb:

Doc_Symbiosis schrieb:

... Du müsstest den Key unter einem anderen Benutzer rüberkopieren und dann in die ~root/.ssh/authorized_keys einfügen.

Hat doch funktioniert, irgendetwas ist beim erstenmal wohl schief gelaufen.

Danke+Gruß pac