Como evito o acesso root de todos os TTYs?

Question

Estou tentando proteger o acesso root em meus servidores Ubuntu (executando 14.04 desktop e 16.04 server). Eu gostaria de desativar o acesso root em todos os TTYs, exceto TTY1. Eu sei que isso pode ser feito editando / etc / securetty e comentando todos os dispositivos, exceto TTY1, mas não tenho certeza sobre o Local X displays . Devo comentar isso também? que tal o UART serial ports , Serial Mux devices , Chase serial card , Cyclades serial cards , etc, etc.

Existem tantos dispositivos, por isso não tenho a certeza sobre como lidar com a segurança deste ficheiro. Você pode me guiar na direção correta de quais dispositivos eu deveria desabilitar para um sistema em funcionamento, mas o root só pode logar a partir do TTY1?

    

Answer 1

Eu acho que você está gastando seu esforço em ninharias. Se o bandido pode anexar um terminal, Bad Guy pode arrancar a partir do seu USB.

Mas, como man securetty diz securetty - file which lists terminals from which root can log in , isso significa que você pode comentar tudo menos TTY1 . Comentar (ou não) linhas de hardware que você não tem faz diferença.

Desde que, se você mexer com /etc/securetty , você pode acabar bloqueado fora do seu sistema, você deve testar com cuidado. Se você tiver batch ou at configurado e em execução, poderá fazer isso configurando um trabalho em lote root para fazer ::

cp /etc/securetty /etc/securetty.original
cp /tmp/modified.securetty /etc/securetty
sleep 20m
cp /etc/securetty.original /etc/securetty

E faça seu teste nos próximos 20 minutos, após o qual o original (trabalhando) /etc/securetty será restaurado.