¿cuáles son las desventajas de ejecutar el demonio SSH sin root?

Question

¿cuáles son las desventajas de ejecutar el demonio SSH sin root?

#1 de Steffen Ullrich (3 votos)

1

¿Existe algún riesgo al ejecutar el demonio ssh sin privilegios de raíz usando este método: how-can-i-make-this-daemon-init-run-as-a-non-root-user?

Las mejores prácticas de desarrollo de Debian para la seguridad del sistema operativo dicen lo mismo:

• Inicia los privilegios de eliminación de daemon: si el software no realiza la llamada setuid (2) o seteuid (2), puede usar la llamada --chuid de start-stop-daemon.

asegurar-debian-howto

Es fácil y ofrece una buena capa de protección, pero no puedo encontrar información sobre cómo aplicar este método a sshd, y parece que nadie lo hace, ¿por qué? ¿Hay algún riesgo de usar esto con los demonios ssh? ¿sshd necesita root para algo? ¡Probé en mi entorno y no tuve ningún problema! ¿Por qué nadie habla allí de guías sobre esta gema?

Ya sé que no puedo enlazar con puertos inferiores a 1024 sin root, y no necesito hacerlo, soy el único administrador de este VPS, por lo que soy el único que ejecutará el sshd. ¿Qué es lo peor que podría pasar?

ssh hardening openssh vps

pregunta Badr Elmers 25.02.2018 - 09:50

fuente

1 respuesta

Lea otras preguntas en las etiquetas ssh hardening openssh vps

¿Es posible imponer un código cvv? El proxy no rechaza el encabezado de host ilegal cuando viene de la red de mi proveedor de VM

score 3 · Accepted Answer

El sshd se instala comúnmente en un sistema para permitir a los usuarios iniciar sesión en este sistema desde el control remoto. Para poder hacer esto, al menos partes de él necesitaría ejecutarse con permisos elevados porque de lo contrario no podría verificar a los usuarios con una base de datos de contraseñas local, acceda a la información clave (como authorized_keys file en OpenSSH) para la clave basada autenticación y finalmente poder iniciar sesión como usuario específico.

Pero, si todo lo que necesita es tener un sshd en ejecución para poder iniciar sesión como un único usuario específico con autenticación basada en clave, estos problemas no deberían importar. Pero lo que importa en este caso es que todo se ejecuta como la misma cuenta de usuario en esta situación y, por lo tanto, los errores en cualquier componente del sshd pueden afectar completamente a este único usuario. Si compara esto con la arquitectura de separación de privilegios del servidor OpenSSH luego verá que se ejecuta en partes críticas con privilegios muy bajos y en un espacio aislado, de modo que un error en estos componentes solo tiene un impacto bajo. Este tipo de separación de privilegios se debilita si todo se ejecuta como el mismo usuario, lo que significa que esta configuración podría proporcionar menos seguridad en comparación con la configuración común.