/etc/sudoers и безопасность

[piyavking]

Добавил в /etc/sudoers строчку, освобождающую пользователей из группы 'sudo' (по факту - себя) от вбития пароля (я лентяй):

Код: [Выделить]

%sudo   ALL=(ALL:ALL)NOPASSWD: ALL
Вопрос: Насколько сильно я ослабил (если ослабил) свою безопасность?

Спасибо за внимание.

[koshev]

Не более чем полностью.

[piyavking]

KT315,
А поподробнее, с аргументацией?

[oermolaev]

piyavking, да брось, лениво заморачиваться безопасностью 

[maks05]

Не более чем полностью.

Скоорее, более чем полностью.

piyavking.
Если с аргументацией: то, что вы сделали, фактически привело к тому, что в вашей системе, кто угодно может сделать что угодно, в том числе и удалённо.
Записались в клуб самоубийц? Или, наоборот, вообразили себя Маклаудом?

[fisher74]

Ну надо ещё получить права пользователя из группы sudo. А таких в системе по дефолту весьма и весьма не много. Я бы сказал кол-во стремится к нулю.

[oermolaev]

Ну надо ещё получить права пользователя из группы sudo. А таких в системе по дефолту весьма и весьма не много. Я бы сказал кол-во стремится к нулю.

для ленивых можно использовать автологин

[fisher74]

Код: [Выделить]

grep sudo /etc/groupМного так к Вас пользователей? А если железка за маршрутизатором стоит?

piyavking, а для себя любимого админа в sudoers уже есть группа admin

[piyavking]

Код: [Выделить]

grep sudo /etc/groupМного так к Вас пользователей?

только я

А если железка за маршрутизатором стоит?

в смысле?

а для себя любимого админа в sudoers уже есть группа admin

ну это-то понятно. для определённости, вопрос даже можно сузить для случая NOPASSWD только для себя путём прописывания не группы sudo, а просто имени своего пользователя.

[Pilot6]

piyavking,
А зачем вы это сделали? Это дает возможность любой программе все вам поломать.
Смысла так делать нет. Если надо дать какой-то программе такие права, то можно это делать избирательно.
Спорить не буду. Если хотите так, то вы ССЗБ.

[fisher74]

Это дает возможность любой программе все вам поломать.

А вот это железный аргумент.

[vatslav7]

как компромисс могу посоветовать сделать длинный timout на повторный ввод пароля.

А вообще права на update, upgrade, install в sudoers + синонимы в .bash_aleases покрывают, как мне кажется, вполне достаточно

[boskor]

у меня сходная ситуация поэтому спрошу здесь же. Нужно было запускать скрипт после загрузки DE, но команда, выполняемые в скрипте были от sudo
пришлось освободить killall и пару приложений для запуска. разрешено только мне. На сколько сильно ослабило это защищенность системы?