Discussion :

[fatima-titima]

Bonjour ;

si on modifie le fichier de configuration sshd_config et on met : PermitRootLogin no
alors si je me connecte avec mon compte en ssh ( connexion établie ) , et je tape apres sudo -s . dans ce cas je peux pas passer en root ? c'est ça ?
on fait je n'ai pas bien compris le principe de désactivation de Root

et l'administrateur fait comment alors pour faire les opérations senseibles en ssh sur la machine ( qui sont autorisées seulement pour root ) ?

Merci

[chrtophe]

c'est ça.

Tu te connectes en ssh avec un utilisateur standard et tu fais un su/sudo dedans.

[LittleWhite]

Bonjour,

L'option PermitRootLogin, permet d'autoriser (ou d'interdire) un accès direct par root, c'est-à-dire : ssh root@ip.
Bien sûr, l'utilisateur peut toujours faire un sudo ou un su pour passer/se faire passer root.

Du coup, que faut t-il faire pour avoir de la sécurité (et bloquer l'accès à root sur une machine sensible) ? (Note : je ne suis pas expert en matière de sécurité, mais je vais proposer une solution qui me semble déjà bien.)

Interdire l'accès root par SSH (PermitRootLogin). C'est la base et ça évite des attaques par dictionnaire ou autre, directement en SSH. Note : la machine doit obligatoirement un fail2ban, de toute façon, c'est aussi la base.
Interdire l'accès à sudo/su pour tous les utilisateurs qui doivent utiliser un mot de passe pour se logguer en SSH (et pour tous les utilisateurs de base). Attention : si on permet d'exécuter une commande en temps que root (configuration du sudoers), il faut bien vérifier que cette commande ne permette pas d'exécuter d'autres commandes (c'est le cas de git, vi, ls...). On peut remarquer ce genre de faille dans pas mal de concours de hack CTF.

L'utilisateur "administrateur" ne devra se connecter que grâce au système de clé (et non avec un mot de passe). Ainsi, seul celui qui détient la clé, peut se loguer et accéder au root. Si pas d'utilisateur "simple", on peut désactiver complètement le login grâce à un mot de passe.

[chrtophe]

On peut aussi utiliser le port knocking.