Hoe root-gebruiker in Linux in of uit te schakelen

Ieder van ons die Windows- of Mac-computers heeft beheerd en gebruikt, moest de beheerder of rootgebruiker in- of uitschakelen. Tegenwoordig moeten we weten hoe we het moeten doen in een Linux-distro, noem het Fedora, Debian, Ubuntu, enz. We kennen het belang en de reikwijdte van de rootgebruiker binnen het systeem, aangezien deze gebruiker de macht heeft om het besturingssysteem volledig te beheren zonder enige beperking.

Dit is belangrijk voor onze rollen als beheerders, maar het kan gevaarlijk zijn voor de hele infrastructuur als het op een verkeerde manier wordt gemanipuleerd door mensen zonder autorisatie of zonder de benodigde kennis.

We weten dat in sommige Linux-distributies een gebruiker geen toegang kan hebben tot rootgebruiker, dus we moeten de term sudo toevoegen zodat de opdracht die we uitvoeren correct kan worden verwerkt, maar sommige taken moeten uitsluitend als root worden uitgevoerd door beveiliging en niet alleen met sudo.

Het hebben van een rootgebruiker brengt risico's met zich mee, aangezien deze absolute privileges heeft over systeemwijzigingen. Dit account moet goed beveiligd zijn, iets wat problematisch is als we ons wachtwoord vergeten. Een detail in sommige Linux-distributies is dat het root-account standaard is uitgeschakeld, wat leidt tot het gebruik van het sudo-commando. Maar als we liever hebben dat ons account root is zonder dit commando te hoeven gebruiken, kunnen we het direct inschakelen.

Vandaag zullen we zien hoe we deze rootgebruiker uit onze Linux-omgevingen kunnen verwijderen om dit soort ongemak te voorkomen. Hoewel we je laten zien hoe je het voor elke distro kunt doen, is hier een voorbeeld van hoe je het in Ubuntu kunt doen:

Houd er ook rekening mee dat we in UNIX-besturingssystemen specifiek over Linux praten, we kunnen gebruikers maken met beheerdersrechten, maar de gebruiker die meer macht heeft over de anderen en die er heel voorzichtig mee omgaat, is de rootgebruiker die kan worden geactiveerd of gebruik de machtigingen door het voorvoegsel sudo te geven, maar als het op de verkeerde manier wordt behandeld, kan het ongetwijfeld negatieve gevolgen hebben voor zowel de structuur van het systeem als de informatie of services die daar worden gehost.

De rootgebruiker heeft toegang tot alle opdrachten en bestanden met volledige lees-, schrijf- of uitvoeringsrechten en kan worden gebruikt om elk type taak binnen het besturingssysteem uit te voeren, zoals het maken, bijwerken of verwijderen van andere gebruikersaccounts, evenals installeren, bijwerken of softwarepakketten verwijderen waarvan de gevolgen ingrijpend kunnen zijn.

Een goede gewoonte, als de informatie gevoelig of vertrouwelijk is, is om de Linux-rootgebruiker te deactiveren, maar hiervoor moeten we een account hebben met beheerdersrechten waarmee het sudo-commando kan worden gebruikt om root-gebruikersrechten te verkrijgen.

We kunnen bijvoorbeeld een account als dit aanmaken:

 useradd -m -c "Solvetic" admin passwd admin 

Met het useradd-commando maken we de gebruiker aan, de parameter -m betekent dat we de homedirectory van de gebruiker gaan maken en met de parameter -c kunnen we een opmerking voor deze gebruiker specificeren.

Hierna moeten we de gebruiker toevoegen aan de systeembeheerdersgroep met behulp van de usermod-opdracht, met de schakelaar -a die het gebruikersaccount toevoegt en -G die een groep specificeert om de gebruiker toe te voegen:

 usermod -aG wiel admin (CentOS / RHEL) usermod -aG sudo admin (Debian / Ubuntu) 

Solvetic zal de verschillende manieren uitleggen om deze gebruiker op Linux uit te schakelen. (ook een om het te activeren).

1. Schakel root-gebruiker in op Linux

We beginnen met de manier om te weten hoe u een rootgebruiker kunt inschakelen.
Stap 1
Als we de root-gebruiker een tijdje hebben gedeactiveerd en we hem opnieuw moeten gebruiken, kunnen we hem opnieuw inschakelen in het systeem met behulp van de volgende opdracht:

 sudo passwd root

Met dat commando is het klaar.

Stap 2
In het weergegeven venster moeten we een wachtwoord instellen voor de rootgebruiker.

2. Schakel root-gebruiker uit en verwijder wachtwoord in Linux

Stap 1
Om dit proces uit te voeren, moeten we de gebruiker waarmee we zijn ingelogd bij de rootgebruiker wijzigen, hiervoor voeren we het volgende commando uit en voeren we ons beheerderswachtwoord in.

 sudo -s

Stap 2
Zodra we root-gebruikers zijn, moeten we de volgende opdracht uitvoeren om het root-wachtwoord te verwijderen:

 passwd --lock root 

Stap 3
Met dit commando kunnen we de toegang tot de root-gebruiker volledig uitschakelen, om dit te controleren zullen we proberen binnen te komen als root-gebruiker door ons wachtwoord in te voeren en we zullen het volgende zien:

Stap 4
Een andere van de beveiligingsopties die we met de root-gebruiker kunnen gebruiken, is om hun huidige wachtwoord te wijzigen met behulp van de opdracht:

 passwd -d root

Met dit commando zou het gedaan zijn.

3. Root-gebruiker uitschakelen vanuit Shell

De eenvoudigste manier om de root-gebruikersaanmelding uit te schakelen, is door uw shell te wijzigen van de /bin / bash- of /bin / bash-directory naar /sbin / nologin, in het /etc / passwd-bestand dat met elke editor kan worden geopend. :

 sudo nano / etc / passwd

We zullen het volgende zien:

VERGROTEN

Daar moeten we de regel root: x: 0: 0: root: / root: / bin / bash door root: x: 0: 0: root: / root: / sbin / nologin:

VERGROTEN

We slaan de wijzigingen op met de toetsen Ctrl + O en verlaten de editor met Ctrl + X.
Vanaf nu, wanneer de root-gebruiker inlogt, wordt het bericht "Dit account is momenteel niet beschikbaar" weergegeven, dit is het standaardbericht, maar als we het willen wijzigen en een aangepast bericht willen configureren, kunnen we dit doen in de / etc /nologin-bestand.txt.

4. Schakel rootgebruiker uit via Console Device (TTY)

Deze methode maakt gebruik van een PAM-module genaamd pam_securetty die root-toegang alleen toestaat als de gebruiker inlogt op een beveiligde TTY, zoals gedefinieerd in de lijst in:

 / etc / beveiliging

Met dit vorige bestand is het mogelijk om aan te geven op welke TTY-apparaten de rootgebruiker mag inloggen, zodat, als we dit bestand verlaten, de login vanaf elk aangesloten apparaat wordt voorkomen.

Om een ​​leeg bestand aan te maken, voeren we het volgende uit:

 sudo mv / etc / securetty /etc/securetty.orig sudo touch / etc / securetty sudo chmod 600 / etc / securetty 

Hiermee wordt het gemaakt.

VERGROTEN

Deze methode is alleen van toepassing op schermbeheerders zoals gdm, kdm en xdm) en andere netwerkservices die een TTY starten, maar voor andere programma's zoals su, sudo, ssh zal het root-account worden geopend.

5. Schakel root-boot uit via SSH

Het is een veelgebruikte methode om als root toegang te krijgen via SSH, dus om de login van de rootgebruiker te blokkeren, moet het bestand / etc / ssh / sshd_config worden bewerkt:

 sudo nano / etc / ssh / sshd_config

Daar moeten we de regel "PermitRootLogin" verwijderen en de waarde op nee zetten.

VERGROTEN

Hierna moeten we de wijziging bijwerken met een van de volgende regels:

 sudo systemctl herstart sshd

OF

 sudo-service sshd opnieuw opstarten

Daarmee zal het gebeuren.

6. Schakel root uit via PAM

PAM (Pluggable Authentication Modules), is een gecentraliseerde, modulaire en flexibele authenticatiemethode op Linux-systemen. PAM, in de /lib/security/pam_listfile.so module, staat je toe om bepaalde taken uit te voeren om de privileges van specifieke accounts te beperken.

In deze module zal het mogelijk zijn om een ​​lijst op te stellen van gebruikers die niet mogen inloggen via bepaalde doeldiensten zoals login, ssh en elk programma dat compatibel is met PAM.
Om dit te bereiken moeten we het bestand voor de bestemmingsservice in de /etc/pam.d/ directory openen en bewerken met een van de volgende opties:

 sudo nano /etc/pam.d/login

OF

 sudo nano /etc/pam.d/sshd

Daar voegen we het volgende toe:

 auth vereist pam_listfile.so \ onerr = geslaagd item = gebruikerszin = bestand weigeren = / etc / ssh / geweigerde gebruikers

VERGROTEN

We slaan de wijzigingen op en verlaten de editor.
Nu gaan we het platte bestand /etc /ssh /denedusers maken dat één element per regel moet bevatten en niet toegankelijk is voor andere gebruikers:

 sudo nano / etc / ssh / geweigerde gebruikers

We gaan over tot het verlenen van toestemmingen:

 sudo chmod 600 / etc / ssh / geweigerde gebruikers

Met elk van deze methoden hebben we de rootgebruiker in Linux uitgeschakeld.

We hebben gezien hoe we dit beveiligingsvoordeel kunnen verkrijgen door de rootgebruiker uit te schakelen, maar we moeten dit indien nodig doen, want als ons systeem niet door veel gebruikers wordt gebruikt of als we weten dat de mensen die toegang hebben vertrouwd en geautoriseerd zijn, het niet nodig is om deze taak uitvoeren. Als we het nog steeds nodig hebben, heb je al gezien hoe gemakkelijk het is om deze rootgebruiker opnieuw in te schakelen in een van de secties.

Misschien bevindt u zich ook in de situatie dat u de rootgebruiker in Ubuntu moet uitschakelen en hier ziet u een eenvoudige manier om dit te doen.