Passos a serem dados para levar para compartilhar com segurança meu pequeno servidor com os colegas

Question

Recentemente, minha escola deu a cada aluno um Chromebook. Eles são obviamente bloqueados e limitados, mas eles suportam SSH. Alguns de meus amigos e eu estamos interessados em programar e eu pensei que seria divertido para todos nós ter uma conta na minha pequena caixa Ubuntu (um computador Windows Vista convertido de ~ 2007) apenas para fins de teste e experimentação, para que eles todos poderiam ter uma chance de brincar em Python, C ++, administrar um servidor Minecraft, ignorar o filtro do Chromebook, etc.

Eu geralmente confio nos caras, e o computador não é crítico para nenhuma das nossas atividades do dia-a-dia, mas fiquei me perguntando se havia alguma consideração de segurança específica que eu deveria tomar antes de permitir que eles configurassem as contas. Se um deles fosse criar algum programa nocivo, como eu poderia me certificar de que ele não excluiria nenhum dos arquivos da minha conta?

    

Answer 1

Não atribua sudo / root access. Independentemente dos servidores que você criar, verifique se o servidor está sendo executado pelo próprio acesso em seu próprio espaço. Por exemplo, se você estivesse executando um servidor da Web, ele estaria sendo executado como o usuário www-data . www-data pode fazer alterações em sua área, mas não pode fazer alterações fora do controle de acesso.

Portanto, verifique o nome do userid e groupid do servidor em execução para verificar se está sendo executado em seu próprio espaço.

A maioria dos servidores já vem com este design.

Além disso, você mesmo pode considerar ser cuidadoso ao executar comandos elevados de sudo . Será necessário um comando elevado para fazer alterações em todo o sistema. Portanto, se, como você sabe, um dos seus alunos guru quisesse obter o controle do seu servidor, ele tentaria fazer com que você executasse um script ou um problema que ativasse o acesso elevado a ele ou a um de seus programas. Se você executou os programas de teste como um usuário normal, não poderá fazer alterações prejudiciais inadvertidas.

Execute somente os comandos sudo quando você estiver intencionalmente ciente dos detalhes que deseja instalar ou configurar.

Seu espaço pessoal

Por padrão, seu diretório inicial é navegador e legível pelo mundo. Você no comando de permissão é o O para os outros. O x em um diretório é permissão para inseri-lo. O r em um diretório ou arquivo significa permissão para ler o conteúdo.

A sua pasta de início é algo como isto se você não a alterou:
(A saída de ls ~/ , que é o seu diretório pessoal)

$ ls -l ~/
drwxr-xr-x 24 apollo apollo 4096 Sep 25 18:03 apollo

Nesse caso, apollo é o ID do grupo do ID do usuário. As permissões estão em grupos de três, uuugggooo . Os três primeiros são você, o usuário. O segundo três é a permissão do grupo, e os três últimos são outros ou todos.

Os bits de permissão são:

r - Read
w - write
x - execute (or for a directory enter)

Portanto, se você observar a permissão padrão acima, poderá ver que todos podem ler e entrar no diretório. Isso pode ser alterado com o comando chown . Por exemplo:

$ chmod go-rx ~/

Esse comando tornaria o diretório específico inacessível para os grupos e outros. A pasta inicial ficaria assim:

drwxr----- 24 apollo apollo 4096 Sep 25 18:03 apollo

Tendo esse tipo de permissão, ninguém pode navegar em seu espaço pessoal. É claro que se fosse algo que você quisesse compartilhar, você poderia executar esse comando na sua pasta ~/Documents ou em qualquer outra pasta que você queira ter certeza de que ninguém possa navegar.

Embora, por padrão, muitas de suas pastas possam ser navegadas, elas não podem ser alteradas por outras pessoas.

Você pode considerar fazer uma conta de teste para si mesmo e usá-la para testar o que está disponível para os alunos.

Você provavelmente tem bons alunos, mas a maioria das crianças, assim como a maioria das pessoas, ficará curiosa e tentará ir a um lugar onde possam se sentir fora do limite por curiosidade. Além disso, seu aluno, embora não deva compartilhar a senha com amigos e irmãos que possam ser mais curiosos.