Auhent.: Wie verhindern, das Admins Login verändern?

[qeldroma]

Hallo zusammen,

angenommen, ich richte unsere Systeme so ein, daß man immer, wenn man über's Netz kommt, sich ausschließlich über ein Protokoll(LDAP/Kerberos/Radius) authentifizieren muß.
Außerdem bei serieller Verbindung zusätzlich noch über files (/etc/passwd, /etc/group) mit einem Notfall-Root-Account.

Jetzt ist es bei uns so, daß jeder Admin in allen Verzeichnissen grundsätzlich erstmal Schreibrechte hat, da wir einen rotierenden Notdienst haben, welcher dies erfordern kann (Festplatte voll, Plattencrash, IP-Änderungen,...etc.).

Wenn nun ein Admin, welcher bei uns praktisch root-Rechte bekommen müßte, sich an einem Server anmeldet, kann ich ja nicht verhindern, daß dieser sich eine Hintertür einbaut, um z.B. über's Netz sich per Files zu authentifizieren?

Oder kann ich es irgendwie schaffen, die Authentifizierungseinstellungen gegen alle Admins außer root zu isolieren?

Neugieriger Gruß, Florian

[meinereinerseiner]

eine idee wär es vielleicht die rechner mit einem IDS auszustatten, oder ganz einfach von allen relevanten files die md5 und sha1 checksumme sichern und täglich via script checken?

der tom

[bischi]

Oder halt nicht root-Rechte zu geben ;) Aber ich seh irgendwie den Punkt nicht ganz: Wenn du den Leuten schon volle Zugriffsrechte auf alles gibst, dann solltest du ihnen eigentlich auch vertrauen können... (oder anders gesagt: Wieso braucht der ne Hintertür, wenn er sowieso den Schlüssel zur Vordertür hat?!)

MfG Bischi

[Blackhawk]

root darf alles, auch ein ids manipulieren, logiles loesches usw.
jemand, der kein root ist, kann natuerlich eingeschreankt werden.

Wenn du nur ueber LDAP authentifizieren willst, ausser fuer root ueber das serielle Terminal, dann schau Dir mal PAM an...

[jan61]

Moin,


root darf alles, auch ein ids manipulieren, logiles loesches usw....

Jein. Stichwort RBAC (Role Based Access Control) - wie es z.B. in SELinux realisiert ist. Dann kann man die Rechte sehr differenziert festlegen. Dann hat man aber auch etliche Nachtstunden zum Verstehen des Konzepts und der Umsetzung vor sich ;-)

Jan

[Blackhawk]

Bevor ich mir das antue, schmeisse ich lieber nicht-vertrauenswuerdige Admins raus.