Por que é mais seguro conceder direitos sudo a um usuário não root?

Question

Instalei recentemente o Amazon Linux no EC2 para executar aplicativos NodeJS.

Recomenda-se executá-los como um usuário não raiz. Este usuário ainda será eu, então não há nenhuma preocupação de que alguém tenha acesso ao vim, que está fora da lista.

Eu adicionei um novo usuário e agora o novo usuário tem os mesmos direitos de sudo que o root. Então, como é mais seguro agora? É só porque newuser terá que digitar uma senha para executar comandos?

Configurar um ambiente de produção do NodeJS

    

Answer 1

Porque você pode definir um conjunto específico de comandos em /etc/sudoers que o novo usuário está limitado a executar com privilégios elevados. O ideal é você descobrir quais comandos mínimos são necessários e limitá-lo a isso. Não permita que a conta sudo todos os comandos como root, se puder ajudá-lo.

Em seguida, você não permite que o root faça o login via ssh. ( /etc/ssh/sshd_config , defina PermitRootLogin no ). Você sempre faz o login ssh como você mesmo, não como root, então apenas use o sudo conforme necessário.

    

Answer 2

Se um usuário mal-intencionado tiver acesso ao seu login e você tiver acesso sudo irrestrito, estará correto: sudo access não forneceria nenhuma barreira adicional se comparado ao uso de apenas root shell diretamente. (Provavelmente, a primeira coisa que eles fariam com o sudo de qualquer maneira.)

No entanto, se for apenas você usando, usar privilégios normais, exceto quando você precisar , pode evitar erros desagradáveis.

Não é um ponto de segurança; é um ponto de prevenção de acidentes.

Isso foi amplamente discutido em outras partes deste site:

• Por que eu tenho que usar o sudo para quase tudo?

Nota: Configurar sudo em um ambiente corporativo com acesso restrito a comandos muito específicos é, naturalmente, uma vantagem real de segurança. Com minha declaração acima, estou me referindo a computadores pessoais e respondendo à pergunta: "Por que o acesso sudo irrestrito é preferível a usar um shell root diretamente, mesmo em um computador pessoal?" preferível porque evita acidentes.