제가 진행 중인 토론에 무게를 더하기 위해 /root 디렉토리를 모두 읽을 수 있게 하는 것이 보안 관점에서 왜 나쁜지에 대한 구체적인 예를 찾으려고 노력하고 있습니다.
나는 /root say, 755 perms를 제공하는 것이 실제로 좋지 않다는 만트라를 반복하는 사람들의 온라인 사례를 많이 발견했지만 추가 증거는 없습니다.
이 경우 시스템 보안이 손상될 수 있는 시나리오를 누군가 제공해 주실 수 있습니까? 덜 인위적일수록 더 좋습니다. 예를 들어 /root에 755개의 권한이 있는 경우 새로 설치된 Centos 시스템이 어떻게 문제를 겪을 수 있습니까?
편집 - 답장을 보내주셔서 감사합니다. 하지만 아직까지 구체적인 예는 없습니다. 달리 말하면, /root가 표시된다는 사실을 어떻게 이용하여 시스템을 손상시킬 수 있습니까? 모든 사람이 /root에 액세스할 수 없다고 가정하고 설치되는 프로그램의 예가 있습니까?
편집 2 - 지금까지의 합의는 누군가가 권한을 확인하지 않고 디렉터리를 마치 루트에 비공개인 것처럼 사용하는 것 외에는 큰 보안 위험이 아니라는 것입니다.
답변1
이는 다른 사용자가 다른 사용자의 홈 디렉터리를 읽지 못하도록 방지하는 권장 사항과 근본적으로 다르지 않습니다.
기본값이 누구나 읽을 수 있는 경우 비공개로 유지하려는 새 파일을 저장할 때 기회가 생길 것입니다. 당신이 복사하기 전에 누군가가 복사할 수 있는 가능성은 항상 존재합니다 chmod go-r.
답변2
근본적으로 그것은 핵심 개발자들의 선택에 달려 있으며 그 이상은 아니라고 생각합니다. 왜? 기본적으로 /root. 일반 작업에서는 누구도 루트 사용자로 로그인해서는 안 됩니다.
예를 들어, FreeBSD에서는 누구나 읽을 수 있습니다 /root. 보안상의 이유로 일부 파일은 /root읽을 수 없지만 해당 파일이 있는 것을 "볼" 수는 있습니다 ls(단지 읽을 수는 없음). 예를 들어 .history은 설정 -rw-------되었지만 .login입니다 -rw-r--r--.
FreeBSD는 보안에 대해 Linux와 약간 다른 접근 방식을 사용합니다. 역사적으로 FreeBSD는 서버용이었고 데스크탑으로 실행될 수 있지만 (기본적으로) 서버로서 더 좋습니다.
개인적으로 저는 이 설정에 아무런 문제가 없다고 생각합니다( /root읽을 수 있음).
FreeBSD /root에는 실제로 구성을 제외하고는 거의 아무것도 없습니다. 메일은 실제 사용자에게 전달되어야 합니다. 누구도 루트 사용자로 로그인해서는 안 됩니다. 이 계정은 소프트웨어 설치 및 구성과 유지 관리 작업에만 사용해야 합니다. 몇 가지 보안에 민감한 파일(예: ) 외에 FreeBSD에는 .history숨길 것이 아무것도 없다고 /root생각합니다.
이에 대한 자세한 내용을 보려면 다음을 시도하십시오.보안에 관한 FreeBSD 핸드북 섹션. 나는 빠른 스캔으로 읽을 수 있도록 선택한 항목에 대해 아무것도 보지 못했지만 /root거기에는 많은 정보가 있습니다.
답변3
아마도 부주의한 관리자가 쉽게 해독되는 비밀번호를 검색하고 결과를 남겨둘 수도 있습니다(올바른 호출이 아닐 수도 있지만 아이디어는 얻을 수 있습니다).
# john-the-ripper /etc/shadow > ~/cracked-passwords.txt
답변4
쓰기 가능한 경우 ~root모든 사용자는 SSH 키를 에 추가한 ~root/.ssh/authorized_keys다음 를 통해 간단히 루트 액세스 권한을 가질 수 있습니다 ssh root@some-host.
~root"단순히" 읽을 수 있는 경우에는 여전히 root사용자의 .bash_history파일에 액세스할 수 있으며, 여기에는 명령줄에 입력된 암호나 기타 자격 증명이 포함될 수 있습니다. 또는 실수로 명령 프롬프트에 입력하거나 붙여넣었습니다.
물론 명령줄에서 보안 데이터를 전달하면 안 되지만 해당 경고는 일반적으로 위험도가 낮은 것으로 간주됩니다. 왜냐하면 비행 중에 이를 포착하는 것이 적절하고 어쨌든 다른 사용자가 환경 변수를 읽을 수 없어야 하기 때문입니다. . root님의 파일 에 액세스할 수 있는 경우 실수 여부에 관계없이 그런 방식으로 입력되었을 수 있는 .bash_history모든 민감한 데이터에 액세스할 수 있습니다 .root
root물론, 키 인증을 사용하더라도 SSH에 로그인하는 것을 허용하지 않는 등 이러한 문제에 대한 완화 방법이 있습니다 . 또는 쉘 기록을 비활성화합니다. 아니면 청소에 대해 열심히 노력합니다. 하지만 이것들은완화; 그들은 보안 양파의 계층입니다.
0700이라는 것은 ~root해당 보안 양파의 또 다른 계층입니다. 울고 싶지 않다면 필요 이상으로 양파 껍질을 벗기지 마세요.