Безопасность - прежде всего!

Приветствую Вас товарищи!
У меня 2 вопроса к Вам:
1) Давненько читал уже что значительно безопаснее будет если "отключить" логин от имени Рута!
То есть помню точно что это можно сделать в /etc/security/ но в каком файле поставить этот запрет не нашел!
Для тех кто не понял: Отключить возможность изначального логина от имени Рута, и чтобы была возможность получить его права только через "su"!

2) Создание новых юзеров - это хорошо, и то что у них очень ограниченные возможности - это тоже хорошо... интересует так же реализация того, чтобы после того как я создам юзера "mybot", у него не было возможности не просто "развлекаться" только в /home/mybot/ но и чтобы он не мог даже пройти и просмотреть что находится даже в папке /home!

Всем заранее спасибо! smile

Сначало нужно настроить sudo. хотябы один из пользователей должен иметь право выполнять какие-то действия от имени суперпользователя.
[console]
# passwd -l root
[/console]
После этого учётная запись будет отключена, кстати такое правило из коробки применено в Бубунтах.
Что бы вернуть учётную запись:
[console]
$ sudo passwd -u root
[/console]

vint написал:

Сначало нужно настроить sudo. хотябы один из пользователей должен иметь право выполнять какие-то действия от имени суперпользователя.

Эт-то оно конечно хорошо. Только вот эффективность сего действа на десктопах для меня сомнительна. А именно - до сих пор меня никто еще не смог убедить в том, что если интрудер имеет физический доступ к компьютеру, то компьютер полностью в его власти. Так что остаются для этого только сервера, которые стоят в выделенном помещении с контролируемым доступом.

А на дескопах проблем загрузить линукс беспарольно - проблем нет. В grub'е.
1. жамкаем при включении компьютера стрелочки, чтобы получить консоль груба.
2. в грубе выбираем желаемую версию линуха и жмем на клавишу "e"
3. Строку вида

kernel /vmlinuz-2.6.33.5-112.fc13.i686.PAE ro root=/dev/mapper/vg_aser-LogVolRoot rd_LVM_LV=vg_aser/LogVolRoot rd_NO_LUKS rd_NO_MD rd_NO_DM LANG=ru_RU.UTF-8 KEYTABLE=ru rhgb quiet

превращаем в строку вида (изменения выделены жирным

kernel /vmlinuz-2.6.33.5-112.fc13.i686.PAE [b]rw[/b] root=/dev/mapper/vg_aser-LogVolRoot rd_LVM_LV=vg_aser/LogVolRoot rd_NO_LUKS rd_NO_MD rd_NO_DM LANG=ru_RU.UTF-8 KEYTABLE=ru rhgb quiet [b]init=bin/bash[/b]

Жмем на "enter", потом на "b"... После чего линукс грузится... (проверял лично) далее passwd (а это уже не делал, но думаю что сработает).

Craken,
RBAC вас спасет)

Cruiser78, Это можно отключить в каком-то конфиге. Сам не делал, но читал про такое.
В мандривах, например, естьь безоппастная зугрузка linux, которая беспарольно даёт консоль суперпользователя, я использовал один раз, когда не не знал пароля root. -- это так же можно выключить.

vint написал:

Cruiser78, Это можно отключить в каком-то конфиге. Сам не делал, но читал про такое.
В мандривах, например, естьь безоппастная зугрузка linux, которая беспарольно даёт консоль суперпользователя, я использовал один раз, когда не не знал пароля root. -- это так же можно выключить.

Возможно... Однако - все равно доступ интрудера к телу компьютера равнозначен его гарантированному взлому. Я не знаю ни одного надежного способа (кроме одного) противостоять этому. Даже если мы заблокируем груб, то интрудер будет пытаться загрузиться с CD или флешки. Если заблокируем это в БИОСе и закроем паролем или повесим электронный замок (типа Соболя), то инрутудер вскроет корпус и сковырнет наши шелушки.
К чему веду - если у тебя есть действительно ценные данные, то помещай их на выделенном сервере, который работает в выделенном охраняемом помещении. Плюс криптография (на дисках и в каналах связи) в полный рост. Тогда интрудер помимо всего прочего будет решать задачу криптоанализа. А это совсем иная цена взлома. Правда, термальноанальный правдовыколупыватель сильно облегчает поставленную задачу...