it-swarm.com.de

Ist es in Ordnung, Requetty zu deaktivieren?

Ich versuche, ein Bereitstellungsskript mit Capistrano einzurichten. In einem Schritt cap deploy:setup script stellt eine Verbindung zu meinem Server her und versucht, Befehle auszuführen, die Verzeichnisse erstellen. Dann sehe ich einen Fehler: msudo: sorry, you must have a tty to run Sudo

Es gibt eine vorgeschlagene Lösung zum Deaktivieren von Requetty auf meinem Server. https://unix.stackexchange.com/a/49078/26271

Ich frage mich, ob es sicher ist?

39
dev.e.loper

Es gibt einen sehr begrenzten Sicherheitsvorteil, wenn requiretty auf einem Server vorhanden ist. Wenn ein Nicht-Root-Code ausgenutzt wird (z. B. ein PHP -Skript)), bedeutet die Option requiretty, dass der Exploit-Code seine Berechtigungen nicht direkt durch aktualisieren kann Ausführen von Sudo.

Es kann eine andere Möglichkeit für den Angreifer geben, Root zu werden, und natürlich kann der Angreifer Ihre Site weiterhin entstellen. Wenn der Angreifer jedoch nicht Root erhält, bedeutet dies, dass andere Dienste, die als andere Benutzer ausgeführt werden, normal weiterlaufen und der Angreifer gewinnt. ' Systemprotokolle können nicht gelöscht werden. Wenn keine Ihrer Sudo Regeln etwas Gefährliches wie das Erstellen eines Verzeichnisses erfüllt, ist dies kein Problem.

Darüber hinaus - und noch schlimmer für requiretty - ist kein Privileg erforderlich, um eine tty zu erstellen, z. mit erwarten . Sie können also genauso gut requiretty deaktivieren: Allein bietet es keinen Sicherheitsvorteil. Es bietet einen leichten Vorteil für die Überprüfbarkeit, wenn es von Benutzern ausgeführt wird (da die Protokolle eine bessere Vorstellung davon geben, wer Sudo aufgerufen hat und woher sie kommen), jedoch nicht, wenn es von einem Hintergrundjob ausgeführt wird.