আমি কীভাবে উবুন্টুতে রুট লগইন অক্ষম করব?


28

কিছুক্ষণ আগে আমি রুটটিকে একটি পাসওয়ার্ড দিয়েছিলাম যাতে আমি রুট হিসাবে লগ ইন করতে পারি এবং কিছু জিনিস শেষ করতে পারি। সুরক্ষা জোরদার করতে এখন আমি রুট লগইনটি অক্ষম করতে চাই, যেহেতু আমি আমার পরিবেশনাকে ইন্টারনেটে প্রকাশ করব। আমি এটি করার বিভিন্ন উপায় দেখেছি ( sudo passwd -l root, সাথে মশকরা করা /etc/shadow, ইত্যাদি) তবে এটি করার সর্বোত্তম / সবচেয়ে বুদ্ধিমান উপায় কোনটি বলে না। আমি করেছি sudo passwd -l rootকিন্তু আমি এমন পরামর্শ দেখেছি যা বলছে এটি থ্রি স্ক্রিপ্টগুলিকে প্রভাবিত করতে পারে এবং এটি এতটা সুরক্ষিত নয় যেহেতু এটি লগ ইন করার চেষ্টা করার পরিবর্তে অ্যাক্সেস অস্বীকার করার পরিবর্তে লগ ইন করার চেষ্টা করে তবে এটি এখনও পাসওয়ার্ড চেয়েছে। তাহলে সে অর্জনের উপায় কী হবে?

সম্পাদনা: পরিষ্কার করার জন্য, এটি মূল হিসাবে স্থানীয় লগইনের জন্য; আমি ইতিমধ্যে এসএসএইচ এর মাধ্যমে দূরবর্তী লগইন অক্ষম করেছি। এসএসএইচে রুট হিসাবে লগ ইন করার চেষ্টা করা সত্ত্বেও রুটের পাসওয়ার্ডের জন্য অনুরোধ জানানো হয় (যা সর্বদা ব্যর্থ হয়)। এটা কি খারাপ?


1
রুটের জন্য স্থানীয় অ্যাক্সেস অক্ষম করাতে প্রায় শূন্য সুরক্ষা সুবিধা রয়েছে। শারীরিক অ্যাক্সেস সহ একজন ব্যবহারকারী আপনার উপায়ে অসংখ্য উপায়ে বন্ধন করতে পারেন ।
jscott

পয়েন্ট নেওয়া হয়েছে। রুট হিসাবে লগ ইন করার প্রয়োজন নেই যদি আপনি কেবল হার্ড ড্রাইভগুলি বের করতে পারেন। আমি এখনও জানতে আগ্রহী যে এখন যদি কৌতূহলের বাইরে থাকে, তবে এটির পরিবর্তনের আগে মূল অ্যাকাউন্টটি কীভাবে ফিরে আসবে।
বেন হাইমারস

নীচে আমার উত্তর আপডেট দেখুন। আমি মনে করি আপনি এখন যা জিজ্ঞাসা করছেন তা আমি বুঝতে পেরেছি।
jscott

@jscott রুট অক্ষম করার সময় অনুপ্রবেশের বিরুদ্ধে সুরক্ষার সুবিধা না জোগাতে পারে, তবে রুট হিসাবে লগ ইন না করা ভুল জায়গায় প্রতিস্থাপিত rmকমান্ড বা এই জাতীয় রেকর্ডিং সিস্টগুলির বিরুদ্ধে সুরক্ষা সুইচ সরবরাহ করে । কিছু আমি হার্ড উপায় শিখেছি। হ্যাঁ, কেউ রুট হিসাবে লগইন করতে পারে না, তবে এটি অক্ষম করা সিস্টেমে অ্যাডমিন দৃষ্টিকোণ থেকে বোঝা যায়।
কোডেচিম্প

ভিপিএস বা হোস্টিংয়ের জন্য দুর্দান্ত মনে হচ্ছে, আসলেই কোনও মস্তিষ্ক নেই।
jjxtra

উত্তর:


34

এটি বিতর্কযোগ্য, আমার কাছে, যে অক্ষম মূলটি সম্ভাব্য সমস্যাগুলির পক্ষে মূল্যবান। আমি কখনও কখনও এ জাতীয় উপায়ে কনফিগার করা কোনও সার্ভার পরীক্ষা করি নি। আমার পছন্দটি হ'ল রুট স্থানীয় অ্যাক্সেসের অনুমতি দেওয়া। যদি কোনও আক্রমণকারীর আপনার সার্ভারে শারীরিক অ্যাক্সেস থাকে তবে আপনি আপনার ইনস্টলটিকে "সুরক্ষিত" করতে যা কিছু করেছেন তা ভুলে যেতে পারেন।

এগুলি sshসম্পাদনা করে রুট অ্যাক্সেস অক্ষম করুন /etc/ssh/sshd_config:

PermitRootLogin no

ফিডলিংয়ের মাধ্যমে /etc/shadow, chsh -s /bin/false rootসমস্ত একটি সাধারণ বুটেবল সিডি / থাম্বড্রাইভ দিয়ে পূর্বাবস্থায় ফেরা যায়।

আপনার মন্তব্য প্রতি আপডেট:

Help.ubuntu.com থেকে : "ডিফল্টরূপে, রুট অ্যাকাউন্টের পাসওয়ার্ড উবুন্টুতে লক করা আছে " is দয়া করে বিশেষ করে "আপনার মূল অ্যাকাউন্টটি পুনরায় অক্ষম করা" বিভাগটি দেখুন। রুটের অ্যাকাউন্টের অবস্থা পুনরায় সেট করতে, ইনস্টল-ডিফল্ট করতে নিম্নলিখিত কমান্ডটি ব্যবহার করুন:

sudo usermod -p '!' root

কোনও আক্রমণকারী যখন সেই সিস্টেমে শারীরিক অ্যাক্সেস পায় তখন কোনও সিস্টেমই সুরক্ষিত থাকে না। আপনি যখন / ইত্যাদি / ছায়া সম্পাদনা করতে পারেন, তখন আপনাকে কীভাবে সম্পাদনা / ইত্যাদি / এসএসএস / এসএসডি_কনফিগ থামিয়ে দেয়?
সোভেন

@ স্পেনডাব্লু: ঠিক এজন্য আমি সুরক্ষা-ভিত্তিক এমনকি "অক্ষম" মূলটিকে বিরক্ত করার বিষয়ে বিতর্ক করছি। হ্যাঁ, রুটের অ্যাক্সেসকে সীমাবদ্ধ করুন। অ্যাকাউন্টটি অক্ষম করুন, না।
jscott

4
sudo সার্ভিস ssh রিস্টার্ট ....... এটি করার পরে।
নাভিদ চৌগল

রেফারেন্সযুক্ত সহায়তা ফাইলটি এখন নিম্নলিখিত কমান্ডটি দেয়: sudo passwd -dl root
MrG 4'18

21

আমি ধরে নিই যে আপনি ssh এর মাধ্যমে রিমোট লগইনকে উল্লেখ করেছেন। নিম্নলিখিত লাইনটি এতে যুক্ত করুন /etc/ssh/sshd_config:

PermitRootLogin no

এবং ssh পরিষেবাটি পুনরায় চালু করুন

sudo service ssh restart

এটি কাজটি করা উচিত এবং আপনি আপনার মূল অ্যাকাউন্টটি যেমন রাখতে পারেন তেমন রাখতে পারেন (বা যদি আপনার প্রয়োজন মনে হয় তবে এটি অক্ষম করার চেষ্টা করুন)।


দুঃখিত, আমার বলা উচিত ছিল, এটি স্থানীয় লগইনের জন্য। আমি প্রশ্ন আপডেট করেছি।
বেন হ্যামারস

4

মূল প্রশ্নের বেশ কয়েকবার উত্তর দেওয়া হয়েছে, কিন্তু মাধ্যমিকটি দেয় নি। এসএসএইচ সুরক্ষা বৈশিষ্ট্য হিসাবে অক্ষম হওয়ার পরে রুট প্রবেশের পরে পাসওয়ার্ডের জন্য অনুরোধ করে। আপনি lkjfiejlksji হিসাবে লগ ইন করার চেষ্টা করলে এটিও ট্রিগার হবে।

এটি হ'ল কাউকে ব্যবহারকারীর নামগুলির গাদা পরীক্ষা করা থেকে বিরত রাখা, আপনার সিস্টেমে কোনটি বৈধ তা চেষ্টা করে দেখুন। তবে, সুরক্ষা দৃষ্টিকোণ থেকে, আপনি যদি এসএসএইচে রুট অক্ষম করে রেখেছেন তবে আমি একটি ব্রুটফোর্স সনাক্তকরণ প্রোগ্রামও তৈরি করেছি (ফেলফল 2 এর মতো), এবং এটি সেট করে রেখেছি যাতে যদি কেউ রুট হিসাবে লগ ইন করার চেষ্টা করে তবে এটি তাদের থেকে বাধা দেয় কোনও অতিরিক্ত আক্রমণ চেষ্টা করে।


ভাল উত্তর, ধন্যবাদ! আমি ইতিমধ্যে ব্যর্থ 2ban সেট আপ পেয়েছি, আমি এটি রুট হিসাবে লগ ইন করার প্রথম প্রচেষ্টাতে ব্লক করার জন্য কনফিগার করব, ভাল পরামর্শ।
বেন হাইমার

2

এনক্রিপ্ট করা পাসওয়ার্ডকে * ইন / ইত্যাদি / ছায়া (দ্বিতীয় ক্ষেত্র, প্রথম ':' এর পরে) দিয়ে প্রতিস্থাপন করা সেরা উপায়, আইএমএইচও। এছাড়াও, এসএসএসের জন্য রুট লগইন নিষ্ক্রিয় করুন (এসএসএসের মাধ্যমে রুট হিসাবে লগইন করা কেবল অসম্ভব) এবং সম্ভবত এসএসএসকে শংসাপত্রের লগইনগুলিতে সীমাবদ্ধ রাখুন যা পাসওয়ার্ড-ভিত্তিক লগইনগুলির চেয়ে অনেক বেশি সুরক্ষিত।

বেশিরভাগ ক্ষেত্রে, এসএসএইচটি বাইরে থেকে অ্যাক্সেসযোগ্য একমাত্র পরিষেবা হওয়া উচিত যা সম্ভাব্যভাবে রুট লগইন করতে দেয় তাই এই দরজাটি লক হয়ে যায়।

এটি আরও সীমাবদ্ধ করার জন্য, আপনি ব্যর্থ2ban এর মতো কিছু ইনস্টল করতে পারেন, যা বেশ কয়েকটি ব্যর্থ লগইন চেষ্টার পরে নির্দিষ্ট সময়ের জন্য আইপি অ্যাড্রেসগুলিকে নিষিদ্ধ করে।


গ্রহণযোগ্য উত্তর অনুসারে আমার অনুভূতি '*' 'এর মতো', সুতরাং আমিও এই উত্তরটি ভোট দিয়ে দেব।
বেন হাইমার

1

জেআর এট আল,

আপনার অনুমতিপ্রাপ্তরা আমাকে এই https://help.ubuntu.com/commune/SSH/OpenSSH/ কনফিগারিংয়ে নিয়ে গেছে

sudo vi / ইত্যাদি / ssh / sshd_config

পারমিটরটলগিন হ্যাঁ (না পরিবর্তিত)

(ফাইলের নীচে লাইন যুক্ত করুন) অস্বীকারকারী ব্যবহারকারী 1 ব্যবহারকারী 2

সংরক্ষণ করুন এবং প্রস্থান এবং তারপর

sudo সার্ভিস ssh পুনঃসূচনা

আমার সমস্যা সমাধান। সবাইকে ধন্যবাদ.


0

আপনি যদি স্থানীয় রুট লগইন অক্ষম করতে চান, আপনি / etc / passwd সংশোধন করতে এবং / বিন / মিথ্যা দ্বারা / বিন / বাশ প্রতিস্থাপনের চেষ্টা করতে পারেন। তবুও, যেহেতু আমি এটি পরীক্ষা করে দেখিনি, তাই আমি বলব যে কোনও মূল সেশনটি পাশের দিকে ছেড়ে দিন, এটি পরীক্ষা করুন এবং যদি কোনও অদ্ভুত পার্শ্ব প্রতিক্রিয়া থাকে তবে এটি আবার পরিবর্তন করুন।


0

পুন: সুরক্ষা।

আইএমএইচও আপনি কেবল তাই করতে পারেন, সুরক্ষা অনুসারে, বাক্সটি আনপ্লাগিংয়ের সংক্ষিপ্ততা, এটি নেটওয়ার্ক থেকে সংযোগ বিচ্ছিন্ন করে এবং একটি 3 "ঘন বুলেট-প্রুফ কার্বাইড-স্টিল বাক্সের ভিতরে .ালাই করা।

এটিকে এভাবে ভাবুন - লোকেরা যদি প্রতিরক্ষা বিভাগ, সিআইএ, এফবিআই এবং সিটি ব্যাঙ্ককে হ্যাক করতে পারে - আমাদের বাকী নিখুঁত প্রাণীরা আরও ভাল কিছু করতে পারে না।

পুনঃ এসএসএইচ সুরক্ষা।

আমি কেবল এসএসএসের মাধ্যমে রুট অ্যাক্সেস নিষিদ্ধ করি না, আমি আমার, এবং কেবলমাত্র আমার, ব্যবহারকারীর নামটিতে "মঞ্জুরিপ্রাপ্তদের" পরামিতি সেট করেছি। এইভাবে আমার নিজের ব্যবহারকারী ছাড়া আর কেউ এসএসএসের মাধ্যমে লগ ইন করতে পারে না। এটি আমার নিজের মতোই অপ্রয়োজনীয় হতে পারে, আমি যাইহোক যাইহোক কেবল একটি অ-রুট ব্যবহারকারী তৈরি করি।

দুর্ভাগ্যক্রমে, অন্যরা যেমন এর আগে অনেকবার বলেছে, কেউ বাক্সে শারীরিক অ্যাক্সেস পাওয়ার সাথে সাথে সমস্ত বেট বন্ধ রয়েছে!

Ssh লগইনের জন্য শংসাপত্র বিনিময়? Hmmmm। । । । ভাল লাগছে। তুমি এটা কিভাবে কর?

জিম (জেআর)

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.