Защита

1. Управление пользователями

Управление пользователями — это важная часть контроля безопасности системы. Неэффективное управление пользователями и привилегиями часто приводит многие системы к компрометации. Однако, важно, чтобы вы понимали, как можно защитить ваш сервер простыми и эффективными техниками управления пользовательскими учётными записями.

1.1. Где root?

Разработчики Ubuntu сделали сознательное решение по умолчанию отключить административную учётную запись root во всех инсталляциях Ubuntu. Это не означает, что аккаунт root был удалён или что к нему нельзя получить доступ. Он просто получил пароль, соответствующий невозможному значению, так что войти в систему напрямую под root нельзя.

Вместо этого, пользователям для выполнения административных задач предлагается использовать инструмент sudo. Sudo позволяет авторизованному пользователю временно повышать свои привилегии, пользуясь их собственным паролем вместо пароля учётной записи root.

Эта простая и эффективная методика предоставляет возможность учёта всех действий пользователей и даёт администратору точечный контроль на тем, какие действия пользователь может выполнять с указанными привилегиями.

•Если по какой-то причине вам хочется включить учётную запись root, просто дайте ей пароль:

sudo passwd

Sudo запросит ваш пароль, а затем предложит ввести новый пароль для root, как показано ниже:

[sudo] password for username: (введите ваш пароль)

Enter new UNIX password: (введите новый пароль для root)

Retype new UNIX password: (повторите новый пароль для root) passwd: password updated successfully

•Для отключения учётной запись root используется следующий синтаксис passwd:

sudo passwd -l root

• Вам стоит прочитать больше о Sudo, обратившись к его man-странице.

172

Защита

man sudo

По умолчанию исходный пользователь, созданный инсталлятором Ubuntu

— член группы "admin", который добавляется в файл /etc/sudoers как авторизованный пользователь sudo. Если вы хотите предоставить любым другим учётным записям полный доступ root через sudo, просто добавьте их в группу admin.

1.2. Добавление и удаление пользователей

Процесс управления локальными пользователями и группами совершенно понятный и почти не отличается от большинства других операционных систем семейства GNU/Linux. В Ubuntu и других дистрибутивах, основанных на Debian, рекомендуется использовать для управления учётными записями пакет "adduser".

•Чтобы добавить учётную запись пользователя, используйте следующий синтаксис и следуйте указаниям системы, чтобы назначить учётной записи пароль и указать другие данные, такие как полное имя, номер телефона и прочее.

sudo adduser username

•Чтобы удалить учётную запись пользователя и его основную группу, используется следующий синтаксис:

sudo deluser username

Удаление учётной записи не уничтожает соответствующий ей домашний каталог. На вас остаётся решение, удалить ли папку вручную или оставить в соответствии с желаемыми политиками хранения.

Помните, любой пользователь, добавленный позже с такими же UID/GID, как предыдущий владелец, получит доступ к этому каталогу, если вы не примете требуемых мер предосторожности.

Вы можете захотеть заменить значения UID/GID на что-то более подходящее, такое как учётная запись root, и, возможно, даже переместить каталог во избежание будущих конфликтов.

sudo chown -R root:root /home/username/ sudo mkdir /home/archived_users/

sudo mv /home/username /home/archived_users/

•Чтобы временно заблокировать или разблокировать учётную запись пользователя, используется соответственно следующий синтаксис:

173

Защита

sudo passwd -l username sudo passwd -u username

•Чтобы добавить или удалить конкретную группу, используется соответственно следующий синтаксис:

sudo addgroup groupname sudo delgroup groupname

• Чтобы добавить пользователя в группу, используется следующее:

sudo adduser username groupname

1.3. Безопасность пользовательских профилей

Когда создаётся новый пользователь, утилита adduser создаёт новый соответствующий домашний каталог, называющийся /home/username. Профиль по умолчанию создаётся на основе содержимого, найденного в папке /etc/ skel, включающей всё базовое содержимое профиля.

Если ваш сервер будет использоваться многими пользователями, нужно уделить большое внимание правам доступа к домашним каталогам пользователей, чтобы гарантировать конфиденциальность. По умолчанию, пользовательские домашние каталоги в Ubuntu создаются с правами чтения/выполнения для всех. Это означает, что все пользователи могут просматривать и читать содержимое домашних каталогов других пользователей. Это может не подходить для вашего рабочего окружения.

•Чтобы проверить текущие права доступа к домашним каталогам ваших пользователей, используйте следующий синтаксис:

ls -ld /home/username

Следующий вывод показывает, что у всех есть право доступа к папке /

home/username на чтение.

•Вы можете удалить полномочия чтения для всех, используя следующую команду:

sudo chmod 0750 /home/username

Некоторые люди необдуманно склоняются к использованию рекурсивной опции (-R), которая модифицирует все дочерние

174