ну естественно - действия совершаеиые тем батником вполне себе легитимны, и докторвеб в нём не узрел ничего например. а меж тем испортить жизнь юзеру может очень некисло..
вся проблема в том что уровень вирусописателей сейчас по большей части вообще никакой и вся эта защита в основном от них..

глупо и небезопасно.
вот представь нет у тебя ни пояса по карате ни дубинки ни пушки, сунешься ты в гетто? пойдешь срезать по подворотням? пойдешь мимо толпы чуваков гонического вида? ессно нет если не совсем дурак. а значит останешься цел и жив
а вот у тебя пушка в кармане? ессно попрешься в те места - у тебя же ПУШКА! там то тебя и пристрелят или кирпичом по затылку...
ложное чувство безопасности сыграет с тобой злую шутку.
то же самое твой аваст только он даже не пушка а газовый балончик который хорош только комаров да болонок пугать.

Rosenfeld
рука-лицо.
иди учи матчасть.

я не собираюсь комментировать твою ахинею.
кому нужно тот разберётся почему то что ты пишешь я считаю бредом.
и можешь дальше не стараться - теперь твои сообщения я больше не увижу ибо надоел своей глупостью и неадекватностью.

извини пропустил както этот момент
вот что делает недостаточное знание как оно работает!
что есть флэшка? это юсб устройство то бишь разъём + чтототам внутри (мы же не сверхчеловеки чтоб видеть насквозь и по разводке чипа определять что он делает)
так вот про юсб клавиатуру думаю слышал? и про юсб хабы и про составные устойства?
втыкаем флэшку, система находит диск и клавиатуру (в нашем случае виртуальную)
и та клавиаура посылает системе заранее запрограммированные сочетания клавиш.
то есть совсем грубо флэшка сама откроет диск и запусти зловред который на нём. для системы это будет выглядет как юзер набравший на клавиатуре команды для запуска. и отключение авторана тут не спасёт.
и линупс тоже ибо команды то от "юзера" идут.
и такие "флэшки" уже есть.
ну и опять же китайцы быстро фишку ловят и подозреваю что подобная фигня с троянчиком работающим на них уже массово выпускается под видом обычных..

Ну вот я включил USB-клавиатуру, что я должен на ней нажать, чтоб гарантированно в своём линупсе запустить какое-нибудь ` /usr/bin/printf 'PWND\n'` или что-нибудь типа того?  На винде, конечно, есть гарантированный Win-R (или как там оно у вас?), но это, мягко говоря, будет заметно.

Для поднятия настроения окружающих:

Эта проблема существует не с момента "где-то весной проскальзывала новость", а о ней официально было объявлено почти три года назад - на конференции Black Hat USA, 2014.

Авторы исследования - немцы Karsten Nohl (Карстен Ноль) и Jakob Lell (Якоб Лелль) из Security Research Labs - https://srlabs.de/

Уязвимость называется "Bad USB".

Замечу: проблема на самом деле достаточно глобальна, и относится ко всем типам устройств класса USB HID (human interface device), призванных стандартизировать и облегчить взаимодействие пользователей с множественными девайсами. Это достаточно удобная технология, потому что она позволяет выдавать одно HID устройство сразу за несколько. Примеры: фотоаппарат/видеокамера - он же выносной носитель; звуковая гарнитура - одновременно и наушники (out), и микрофон (in).

Что сделали немецкие исследователи? Они провели успешный реинжениринг и потом впоследствии перепрошили USB-контроллер Phison, внедрив на носитель софт для нескольких типов атак, предназначенных для:

1) заражения иных USB HID-носителей;
2) имитации выносной клавиатуры;
3) имитации сетевой карты, например - с подменом DNS-сервера на сервер злоумышленника и последующего перенаправления на фальшивые сайты;
4) выхода за пределы изолированного окружения виртуальной машины с последующим повышением привилегий;
5) заражения ОС при использовании загрузочной/инсталляционной флэшки.

Подробно проблема описана в сетевом журнале "Wired" - https://www.wired.com/2014/07/usb-security/

Слайды презентации (PDF) опубликованы на сайте Security Research Labs - https://srlabs.de/wp-content/uploads/20 … sec-v2.pdf (ах, да, совсем забыл, что okkamas_knife боится скачивать и открывать PDF!)

Исходный код прошивки, включая софт для атак, был впоследствии размещен на GitHub - https://github.com/brandonlw/Psychson

... Так что некоторые школьники вполне могут ощутить себя "настоящим ксакепом" и потренироваться с инфицированием родного виндоофтопика, равно как фотоаппарата сестры и маминого смартфончика!

Теперь о главном. Винда меня не интересует полностью, и я отдаю себе отчет в том, что с ее "безопасностью" можно творить ЛЮБЫЕ чудеса! Поэтому рассмотрим применение уязвимости в GNU/Linux. Я провел небольшой анализ; исходя из презентации, приведен всего лишь один способ "заражения" Linux-машины, и он тесно связан с совпадением сразу(!) нескольких условий:

А. ОС должна поддерживать использование Б-гомерзского sudo (привет, Убунточка!) - то есть систему временного повышения привилегий обычного пользователя.

Вот что, кстати, говорит моя любимая "Красная Шапочка" про использование sudo: https://diasp.org/posts/5814100 (почитайте, там действительно смешно, и даже имеется эротическая картинка! а еще - ссылка на прикольное мнение о Линуксе небезызвестного lleo)

B. Соответственно, ОС должна использовать Polkit (бывшую PolicyKit) - https://en.wikipedia.org/wiki/Polkit

C. Пользователь обязательно должен быть принужден(!) к осуществлению некоторых действий, связанных с введением своего (НЕ-администраторского!) пароля - например, при разблокировании хранителя экрана. Естественно - с последующим перехватом пароля.

D. К этому времени у пользователя в USB-порту уже(!) должна находиться чужая злонамеренная USB-флэшка!

Таким образом, без раскрытия-перехвата пользовательского (даже не администраторского) пароля активация вредоносного ПО гипотетически(!) может произойти только(!) в пределах обычного "урезанного" пользовательского окружения: ~/

К тому же, лично мне из презентации не столь ясно - где именно расположено прикладное вредоносное ПО, непосредственно осуществляющее несанкицонированные действия. Насколько я понял, перепрошивка была совершена для того, чтобы добавить в нее дополнительный идентификатор HID и выдать носитель, скажем, за выносную клавиатуру. Я абсолютно не уверен, что в микроскопической по объему прошивке могут разместиться все средства несанкционированного доступа/модификации, описанные выше в пп. 1-5. А это значит, что они в "открытом виде" хранятся на основном носителе. Что само по себе смешно! Правда, могу здесь ошибаться.

... А что уж там будет делать в пользовательском разделе /home наш "зловред" - сказать трудно. Наверное, попытается исполнить rm -Rf * (но к счастью, во всех вменяемых дистрибутивах GNU/Linux такая возможность давным-давно блокирована). Или попробует запустить знаменитый "молдавский вирус-шифровальщик" имени okkamas_knife - да-да, тот самый, который хранит свой пароль в открытом виде!

Замечу, что каждый контроллер уникален, и для любого из них надо разрабатывать отдельную зараженную прошивку. Уникальны даже разные версии одного и того же контроллера. К тому же не забывайте - исходные коды закрыты производителем, и вам предстоит вначале осуществить предварительный и тщательный реинжениринг!

Так что подготовить "универсальное" ПО и использовать его на любом микроконтроллере невозможно. К тому же, у всех контроллеров отличаются процедуры прошивок. То есть подготовить "универсальную" прошивку на все случаи жизни, со всеми вариантами атак и для всех ОС невозможно в принципе!

Таким образом, делаю промежуточные выводы:

Первое. Чтобы "заразить" (перепрошить) какую-то другую флэшку, параллельно подмонтированную в ОС, необходимо, чтобы нашему "зловреду" повезло настолько, что вторая оказалась бы с аналогичным контроллером. Причем исследователи создавали прошивку под конкретный случай: PS2251-03 firmware version 1.03.53 и честно предупреждают: мы тестировали, но не знаем, повезет ли вам с другими! Оно "может заработать", но "будьте осторожны". Вот здесь, кстати, на основе пользовательских откликов составлен список совместимого и несовместимого железа - https://github.com/brandonlw/Psychson/w … ed-Devices

Второе. Данный вид атак достаточно туп по своей сути. Так, он имитирует STDIN, но не может контролировать STDOUT - то есть исходящий поток информации, отображаемой в том числе и на мониторе. Соответственно, ПОЛНОСТЬЮ отсутствует обратная связь между злонамеренным софтом и непосредственной реакцией на его действия со стороны ОС. "Вирус" будет тупо пытаться выполнять какие-то заранеее предопределенные действия, не обращая внимания на правильность их выполнения. То есть - биться головой об стену. К тому же он, бедный, выдавая себя за "клавиатуру", на самом деле не в состоянии определить текущую пользовательскую раскладку или такой простой факт - выполнен ли вообще вход в ОС.

Третье. Я с трудом могу представить, чтобы в ОС, снабженной системой безопасности SELinux, мог бы пройти незамеченным любой чих, связанный с попыткой переопределения политик, изменения ролей, равно как и с другими "необычными" и нехарактерными действиями.

Четвертое. Практически уверен, что не пройдет и "незаметная" попытка создания нового сетевого соединения через новую фальшивую "карту", равно как и переопределение DNS-сервера на фейковый. Тем более, в моем личном случае - когда я использую DNSCrypt и осуществляю резолвинг не с внешнего, а с "внутреннего" нестандартного адреса - 127.0.0.2 (...т-с-с, адрес 127.0.0.1 недавно запрещен Роскомнадзором!)

Пятое. Необходимо слишком много совпадений условий, чтобы атака прошла благополучно. Так, к примеру, лично я не использую sudo, не применяю хранитель экрана (именно о нем упоминают немецкие исследователи) и, естественно, работаю с донельзя урезанными правами. К тому же, я принципиально не вставляю чужие носители в ОС, содержащую критичную информацию (это общепринятое ГЛОБАЛЬНОЕ правило безопасности), равно как и не подключаю к ней потенциальные источник угроз - смартфоны, фотоаппараты и т.п., даже если они "просто поставлены на зарядку". А уж  тем более - чужие!

Шестое. Атака Boot Injection возможна только в том случае, если я окажусь полным идиотом и оставлю где-нибудь в порту USB-устройство; тем более - в такой критичный момент, как перезагрузка ОС. К тому же, в этом случае носитель должен содержать вирус уже не в своей прошивке, скрытой от глаз обычного пользователя, а непосредственно в общедоступной области. И надо быть полным кретином, чтобы невооруженным глазом не заметить на своем(!) накопителе посторонние файлы! Да и откуда они там возьмутся?

[UPDATED] А еще забыл упомянуть вот о какой смешной вещи - ведь этому бедному вирусу надо ж где-то жить! Не будет же вечно у меня в машине торчать чужая флэшка. Мы уже убедились, что "перепрошить" он может лишь девайс с аналогичным или схожим контроллером, если тому доведется физически присутствовать в машине. Значит, он постарается прописаться на винчестере. А это означает, что он, как и любой другой вирус, может быть найден и обезврежен. Вон, уже и антивирусное средство выпущено, которое блокирует запуск таких флэшек... Ссылку давать не буду, так как терпеть эту контору не могу! Они постоянно распространяют новости "про СТРАШНЫХ ВИРУСОВ В ЛИНУПСЕ" не хуже чем okkamas_knife.

ОБЩИЕ ВЫВОДЫ (только для GNU/Linux):

0. Атака является теоретической.

1. Атака является целевой, подготовленной для конкретной ОС, и не предназначена для "массового поражения".

2. Для проведения атаки ОБЯЗАТЕЛЕН физический доступ к компьютеру, причем в момент его работы.

3. Для проведения атаки ОБЯЗАТЕЛЕН доступ к USB-портам.

4. Без перехвата пользовательского пароля (который обязан ввести сам владелец машины) и последующего повышения привилегий ущерб для ОС от проведения атаки стремится к нулю или ничтожен.

Таким образом, это очередной вирус из разряда "Дяденька, запустите меня, пожалуйста, руками! И, умоляю, дайте мне пароль!" ... Я уже писал о чем-то подобном ранее.

МЕРЫ БЕЗОПАСНОСТИ:

Выражусь грубо, но очень четко и емко:

Это были простейшие правила гигиены от Rosenfeld'a. Они касаются как безопасности при использовании съемных носителей и сторонних девайсов, так и вашей интимной жизни.

Всем желаю счастья и успехов! (с) "Вы там держитесь..."

Оригинал публикации: https://diasp.org/posts/6484328

Отредактировано Rosenfeld (13-12-2016 08:22:00)

Экая лафа наступила: теперь не наблюдаешь, как тебя тут, аки котенка, тычут мордочкой в экск... я хотел сказать - в очередной раз ловят на неграмотности. Зато другие-то участники форума видят! И смеются!

Мне лень повторяться, поэтому я тебе приведу цитату "из Розенфельда". Кстати, из разговора с тобою. Ты, наверное, запамятовал малость или, как вариант, косишь под дурачка:

Дружище, ОЧЕНЬ прошу: ну не выставляй себя малокомпетентным болтуном, а? Ты - отличный генератор самых безумных идей; но вот с доказательной базой и их реализацией у тебя неизменно туго!

P.S. Ты скоро такими темпами (когда окончательно кончатся "аргументы" типа "дыры в роутерах") будешь хвататься за любую желтую опен-нетовскую "новость" об "уязвимостях" в умных часах или скороварках и вопить от радости: "Ну вот же! Вот в вашем линупсе опять уязвимость обнаружили!"

скрытый текст

Linus Torvalds как бы намекает...

Отредактировано Rosenfeld (13-12-2016 12:22:28)

Поучи-ка меня ещё, ламер виндовозный.
Ну переключился в tty1.  Печатай что хочешь в приглашение о вводе логина, не проблема.

Пф, а открытие-закрытие окна ты не заметишь, конечно.

Как можно определить операционку по реакции на клавиши?  Клавиатуре-то кто скажет, какая там реакция?  Разве что велят LED переключить.

Думаю, что большинство windows-пользователей не смутит, если при втыкании флэшки быстро появится-исчезнет какое-нибудь окно. Скорее всего, пользователь примет это за установку драйверов к новому устройству или вроде того, так как винда часто так делает при втыкании незнакомой до этого флэшки. Другой вопрос, чем тут может помочь антивирус? Если флэшка смогла прикинуться клавиатурой, то для антивируса она так и будет клавиатурой. Если ОС не может отличить настоящую клавиатуру от фэйковой, то как тут антивирус поможет?

С тезисом о том, что антивирус не нужен, согласен, так как для того, чтобы те или иные способы обеспечения безопасности работала, администратор системы  (в данном случае он же пользователь) должен полностью их контролировать, а для этого он должен понимать, на чём основана и как работают эти самые способы обеспечения безопасности.
Например, про права доступа всё предельно ясно: если у процесса нет прав доступа к файлу, соответствующее действие ему не удастся (например, вызов open () вернёт ошибку). Кстати, именно поэтому система прав доступа в linux, будучи в теории менее гибкой, чем ACL в windows, на практике зачастую оказывается более эффективной засчёт того, что она на порядок проще, в результате чего большинство пользователей linux понимает, как она работает, и грамотно выставляют права доступа к файлам (чего не скажешь обольшинстве пользователей windows). Конечно, okkamas_knife тут же скажет, что грамотный пользователь и в windows с правами доступа разберётся --- я не спорю, это действительно так, однако под windows это будет объективно сложнее (опять же, это не значит, что этого нельзя сделать --- ещё как можно, и даже нужно). Но важно даже не это. Как в windows, так и в linux, человек, настраивающий права доступа, имеет возможность понимать, ЧТО он делает и ЗАЧЕМ, так как предельно прозрачен механизм работы. Это позволяет правам доступа быть эффективной мерой безопасности.
Антивирус же --- эдакий магический чёрный ящик. Что и как он делает, пользователь не знает, да и знать, что интересно, не может: производитель антивируса вряд ли выложит описание принципов его работы. На самом деле подозреваю, что даже разработчики антивируса зачастую не знают всего, что их продукт может делать: всё-таки современные антивирусы --- программы достаточно сложные и разрабатываются много лет. Поэтому как ни крути, понимания того, что происходит, добиться практически невозможно.
Я уже не говорю о том, что вирусы выходят и новые, а эвристическим анализов всего не предусмотреть чисто теоретически (проблема останова всё-таки неразрешима...). Да и потом, что считать вирусом (или, говоря обобщённо, вредоносным ПО)? Обычный ssh сервер может быть как полезной программой, если пользователь его поставил для себя, и контролирует ситуацию, так и частью трояна, если его установил втихаря "доброжелатель"... А экспериментальный вирус, который пользователь написал для себя в образовательных целях? Для него это полезная программа, до тех пор, пока он её контролирует, а если она попадёт на чей-то ещё комп, то тут же станет вредоносной. Вот и получается, что даже для того, чтобы определить, является ли программа вредоносной, нужна информация о том, знает ли о ней пользователь, и что ему нужно. Антивирусу такую информацию добыть просто неоткуда. Поэтому антивирус не может являтся эффективным средством для обеспечения компьютерной безопасности.

Добавлено 13-12-2016 22:26:29

А что используете? Логинитесь под root-ом из текстовой консоли?

Отредактировано X Strange (13-12-2016 22:26:29)

от розенфельда линуксит подхватил?

а ты втыкая флэшку в экран непрерывно смотришь? там времени то много не надо
ну и ещё раз повторяю - погугли там все было подробно было расписано
то что я написал это просто грубая прикидка как действовать, написанная с ходу без гугления и проверки.
ты ж погромист вроде и должен знать что всегда всплывает куча нюансов и мелочей
даже в простой задаче скопировать файл, можно написать copy a b  а потом выясняется то файла такого нет то прав нет то еще чтото..
вот там люди  поковырявшись и решили эти нюансы.

чем сложнее?
принципы в общем одни и теже так что тут дело знаний и привычек.

с тем что написано ниже согласен. всё упирается в пользователя.

именно. я выше приводил пример.
кстати про команду в твоей подписи - изза чего её запретили? ага изза тех кто как розенфельд слепо верит всему что пишут в интернетах вместо того чтоб читать справку и думать головой..
команды это всего лишь инструменты и надо самому разбираться что и как работает и что хочешь получить в итоге, а не слепо следовать чьим то указаниям.

На невежество и хамство я отвечаю резко.
А на линуксах я сижу с 2007 года.  С 2009 — исключительно на линуксах.  Розенфельд тогда ещё XMLки расширений лисьих в блокноте ковырял.

Тем не менее, обычно это требует некоторого времени.  Недостаточно для того, чтобы прервать что-то, это правда.

Сейчас, всё бросил и стал искать то, не знаю что.

Что-то сомнительно.
То, что типовая установка убунты тоже может быть заражена при условии, что пользователь залогинен, sudo настроен по умолчанию и т.д., я склонен признать вполне возможным.  А вот что «предусмотрено (почти) всё»…

Ради справедливости замечу, что у всех распространённых файловых системах есть ACL.  Правда, я их в деле не видел ни разу.

Хаять sudo может только хронический убунтофоб холо^Wлокалхоста: всем известно, что sudo — важная и полезная вещь.

С удовольствием! Хотел было в двух словах, но не получилось - слишком много проблем обрисовалось... Ну ничего, все, что написал, однозначно сгодится для очередной книжки...

Итак:

ПОЧЕМУ НИКОГДА НЕ СЛЕДУЕТ ИСПОЛЬЗОВАТЬ SUDO?

0. ПРЕАМБУЛА

Вначале приведу несколько цитат из интернета, утверждающих обратное, мол sudo - это более новое, прогрессивное и безопасное средство администрирования!  Логин и пароль root'a не используются в принципе, а значит - жизнь чудесна и замечательна!

Допустим, с русскоязычного сайта/форума техподдержки Ubuntu (раздел "Официальная документация"):

... Увы, но кроме данного голословного и категоричного заявления администраторы форума не приводят никаких доказательств.

Еще одна цитата, почерпнутая с какого-то сайта, найденного наобум по ключевым словам "su" и "sudo", несколько проясняет "радости жизни" с sudo:

1. КОНСТАТАЦИЯ

Таким образом, мы видим, что за главное преимущество в работе выдается "удобство" исполнения административных и, следовательно - потенциально опасных функций. В системах, подобных Ubuntu и ее многочисленным форкам, практически любой пользователь, включая, конечно же, первого зарегистрированного в системе (при ее инсталляции), может с легкостью, используя свой собственный(!), а отнюдь не администраторский пароль, управлять ОС...

Кто вообще решил, что такая ситуация нормальна?! Кто вообще решил, что ОДИН пароль на ВСЕ случаи - это нормально?! С точки зрения безопасности - это полный бред!

2. ВАРИАНТЫ УГРОЗ

1. Главная опасность - резкое повышение административных прав пользователя с урезанными полномочиями. Причем для этого нет нужды применять отдельный пароль root: пользователь вводит свой обычный пароль!

2. Дискредитация обычного пользователя, имеющего права запускать sudo, однозначно приводит к дискредитации и последующему несанкционированному доступу к системе.

3. Атакующей стороне нет необходимости получать доступ к паролю root'a - единственного(!) человека, обязанного отвечать за администрирование и безопасность ОС. Достаточно заполучить пароль некомпетентного или безответственного пользователя.

4. Практически невозможно предотвратить следующую ситуацию, когда уполномоченные лица - сборщик, системный администратор и т.п. - занимающиеся массовой установкой и подготовкой компьютеров для последующей работы на них людей с низкой квалификацией или недостаточным уровнем подготовки, могли бы заблокировать некорректное выполнение ими административных команд.

Примеры: OEM-продажи или массовая установка ОС на компьютеры в пределах какого-либо внутреннего подразделения (бухгалтерия, отдел кадров и т.п.). В таких случаях при инсталляции ОС на компьютерах традиционно создается одна(!) пользовательская учетная запись, и она неизбежно обладает администраторскими правами! ... Что может натворить некомпетентный человек, обладающий неограниченными правами, всецело зависит только от его фантазии!

5. Возможность "беспарольного" использования sudo - если при инсталляции ОС от пароля отказались, либо он намеренно был отключен впоследствии. Это - жутчайшая дыра в безопасности, тем не менее, я знал многих пользователей "Убунточки", которые с радостью отказывались от паролей: "А зачем он мне нужен?"

Пример: Для нормальных и уважающих себя дистрибутивов GNU/Linux, ориентированных на безопасность, такая ситуация невозможна в принципе! Более того, даже при инсталляции система (такая, как RHEL, CentOS, Fedora и их "спины") не даст назначить слабый, короткий или априорно уязвимый пароль.

6. Система какое-то время помнит введённый пароль (сохраняет открытой sudo-сессию, инициированную обычным пользователем).  В случае с "истинным" компетентным root'ом, запускающим административную сессию, последний, как правило, более внимательно относится и к ее корректному и своевременному завершению.

7. "Привычность" возникновения множественных запросов на использование sudo и, особенно, ее графического аналога - gksu, в тривиальных ситуациях: при изменении даты/времени и т.п. может привести к тому, что при появлении нового запроса, исходящего от вредоносного ПО, "обычный" пользователь так же привычно и особо не разбираясь в ситуации, введет свой пароль.

8. Пароль обычного (первого зарегистрированного при инсталляции ОС) пользователя, использующего sudo, применяется ВО ВСЕХ ситуациях. В частности - и для частичного(!) дискового шифрования ОС (если, конечно, поклонники Ubuntu вообще обременяют себя подобными "мелочами"). Это означает, что при завладении паролем первого пользователя, зарегистрированного в ОС при ее инсталляции, будет получен доступ к разделу /home на HDD, зашифрованного подобным паролем. Примечание: системные разделы в Ubuntu  НЕ шифруются никогда - да и зачем, правда ведь?

Примеры: Это очень важная тема, и я остановлюсь на ней подробнее. В Red Hat такая ситуация невозможна в принципе:

а) там существует полноценное шифрование всех разделов, включая "/", "/swap", "/home";

б) пароли root и первого "обычного" пользователя запрашиваются на этапе инсталляции ОС. И они, конечно же, различны;

в) сразу после исполнения GRUB дальнейшая загрузка ОС прекращается - до правильного введения ОТДЕЛЬНОГО пароля или даже РАЗДЕЛЬНЫХ паролей, последовательно расшифровывающих системный раздел и раздел подкачки. Обращаю особое внимание: эти пароли НЕ имеют никакого отношения к паролю root'a или к паролям непривилегированных пользователей;

г) после загрузки ОС пользователю предлагается ввести свой отдельный логин и пароль, не имеющие ни малейшего отношения к выполнению root-привилегий. Эта связка расшифровывает ТОЛЬКО пользовательский "домашний" каталог /username на отдельной партиции /home и предоставляет доступ ТОЛЬКО к нему;

д) при получении злоумышленниками физического доступа к компьютеру не сработает даже принудительный сброс пароля root'a сразу после запуска GRUB (да-да, такая возможность предусмотрена и документирована самими разработчиками!) ... Почему? Да потому что, даже если сбросить пароль root'a, при полнодисковом шифровании все вышеперечисленные разделы все равно окажутся зашифрованными ОТДЕЛЬНЫМИ паролями - не зависящими от пароля root. Следовательно, дальнейшая ЗАГРУЗКА ОС или ДОСТУП к любым системным и пользовательским областям окажутся НЕВОЗМОЖНЫМИ!

Подтверждение пункта "д" с официального сайта (раздел "Сброс администраторского пароля):

... Ну а о том, насколько катастрофичным окажется легкий и доступный сброс пароля в Ubuntu - см. чуть ниже.

9. Любой обычный пользователь многопользовательской системы (т.е. равный среди многих), имеющий возможность повышения привилегий (т.е. используя sudo), может с легкостью перехватить на себя "истинно" рутовские функции, задав ему явный пароль и активировав в lightdm отображение окна ввода логина/пароля. Даже несмотря на заверения, что root в Ubuntu якобы "запрещен! Вот как просто это осуществляется (информация почерпнута с русскоязычного сайта поддержки Ubuntu):

Таким образом, активировав учетную запись root, любой злонамеренный пользователь может полностью перехватить на себя административные функции в многопользовательской среде - со всеми вытекающими последствиями. Поэтому утверждение, процитированное krigstask'ом по ссылке http://unix.stackexchange.com/questions … 5344#35344

выглядит смехотворным! От пользователя, заполучившего полновесные права root'a, "isolates permission between multiple sudoers" НЕ спасет! 

10. На русскоязычном сайте поддержки Ubuntu честно признаются (см. предыдущую ссылку):

Вы поняли? вы вчитались? "ВНЕЗАПНО ПЕРЕСТАЕТ требовать пароль САМ ПО СЕБЕ!"

Лично я - в полном ужасе! Если дело обстоит именно так, и любой убогий модем от стороннего производителя может с легкостью АННУЛИРОВАТЬ парольный запуск sudo ... то я в шоке! Даже и не знаю, как прокомментировать! К тому же, даже причина обнуления паролей не установлена точно: "возможно, что насрал модем!"... А если не модем? А если проблема кроется в реализации самой sudo?!

Так что ребята с рускозычного сайта поддержки Ubuntu явно неправильно истолковали давнее правило "НИКОГДА не РАБОТАЙ из-под рута!" (тут имеется в виду обыденная и повседневная пользовательская работа с прикладным ПО), вот почему придумали свое, с абсолютно другим подтекстом: "Никогда не пользуйся правами рута". А это - две большие разницы.

3. ВЫВОДЫ

Надеюсь, что для всех вменяемых и трезвомыслящих людей они очевидны:

Оригинал сообщения: https://diasp.org/posts/6488989

Отредактировано Rosenfeld (14-12-2016 23:57:30)