root passwort?

[curt123]

Ich hab gerade debian 10.4 von einer live-iso installiert.
Dabei gab es während der Installation keine Abfrage eines root-Passwortes. Wo kann ich das setzen oder wie geht ein reset?

[MSfree]

Wo kann ich das setzen oder wie geht ein reset?

Code: Alles auswählen

sudo passwd

[curt123]

Wo kann ich das setzen oder wie geht ein reset?

Code: Alles auswählen

sudo passwd

Danke das wars; root hat mit der Installation zunächst das gleiche Passwort wie der angelegte user.

[curt123]

Ich verstehe es offenbar doch nicht so richtig.

Habe ich als der bei der Installation angelegter User auch volle Rechte wie als root?

Nachdem ich das Passwort für root geändert hatte, kann ich mich bei der Synaptic-Paketverwaltung mit dem user-Passwort legitimieren statt extra als root.

Also muß ich diesem User Rechte entzeihen, oder einen weiteren als "Alltagsuser" anlegen?

[TomL]

Also muß ich diesem User Rechte entzeihen,...?

Code: Alles auswählen

deluser curt123  sudo

[MSfree]

Habe ich als der bei der Installation angelegter User auch volle Rechte wie als root?

Nein, zumindest nicht direkt. Ich gehe davon aus, daß der bei der Installation angelegte Benutzer in der sudo-Gruppe ist und darüber root-Rechte erhalten kann. Immerhin wird es dadurch nicht nötig, ein voreingestellte root-Paßwort in das CD-Image zu brennen, was mit Default-Paßwörtern für Schindluder getrieben werden kann, brauche ich wohl nicht extra zu erwähnen.

Ich bin trotzdem, kein Freund von sudo und deinstalliere das wo immer möglich. Ich halte gar nichts davon, mit einem normalen Benutzerkennwort zusammen mit sudo root-Rechte bekommen zu können.

[Blue]

Deshalb in einem anderen Thread mein Rat, Debian nicht aus einem Live-Zustand heraus zu installieren, sondern neu zu Booten und die direkte Installation zu wählen...

[Animefreak79]

Moment mal... Wenn ich das hier so lese, sieht es danach aus, als ob Debian automatisch mit sudo eingerichtet wird, wenn man von einem Live-Image installiert? Ich kenne es eigentlich so, dass sudo nur dann eingerichtet wird, wenn man während der Installation kein Passwort für root vergibt.

[curt123]

<Nachtrag>

Moment mal... Wenn ich das hier so lese, sieht es danach aus, als ob Debian automatisch mit sudo eingerichtet wird, wenn man von einem Live-Image installiert? Ich kenne es eigentlich so, dass sudo nur dann eingerichtet wird, wenn man während der Installation kein Passwort für root vergibt.

Eine solche Möglichkeit wurde mir gar nicht erst angeboten, ich hatte im Livebetrieb einen Menupunkt "Installation" genutzt.
</Nachtrag>

Danke für die Hinweise, ich habe jetzt den user gelöscht und neu angelegt; wenn ich nun Synaptic starte, erfolgt die Abfrage nach dem Passwort von root.

Immerhin wird es dadurch nicht nötig, ein voreingestellte root-Paßwort in das CD-Image zu brennen, was mit Default-Paßwörtern für Schindluder getrieben werden kann, brauche ich wohl nicht extra zu erwähnen.

Ich bin trotzdem, kein Freund von sudo und deinstalliere das wo immer möglich. Ich halte gar nichts davon, mit einem normalen Benutzerkennwort zusammen mit sudo root-Rechte bekommen zu können.

Ich halte das inkonsistente Verhalten der Installationsvarianten für einen Fehler, irgendwie sollte es doch möglich sein, vom Live-Betrieb umzuschalten oder ein neues Passwort für root zu erfragen.

Ansonsten finde ich es praktisch, wenn ich im Terminal per su den user wechseln kann. Deine Forderung wäre dann wohl, dass so etwas aus Sicherheitsgründen gar nicht geht, es ist ja wohl ähnlich wie sudo.

Deshalb in einem anderen Thread mein Rat, Debian nicht aus einem Live-Zustand heraus zu installieren, sondern neu zu Booten und die direkte Installation zu wählen...

Ja, da war ich zu schnell. Wenn es deswegen keine weiteren Fallstricke mehr gibt, dann ist es jetzt, mit root-Passwort und "normalem" user, wohl egal?

Jetzt sollte ich wohl erstmal Fehlersuche betreiben, beim update gab es Meldungen "Possible missing Firmware ... for module r8169" und für "i915".
Und irgendwo gab es doch auch noch Protokolldateien vom Hochfahren des PC, wo Probleme gefunden werden könnten.

Ärgerlich (10.4 / Xfce) die Energiesparfunktionen, z.B. schwarz bleiben des Bildschirms, das hatte ich schon unter debian 9 auf dem anderen PC, also erstmal alle Spargeschichten deaktivieren.

[MSfree]

Ich halte das inkonsistente Verhalten der Installationsvarianten für einen Fehler, irgendwie sollte es doch möglich sein, vom Live-Betrieb umzuschalten oder ein neues Passwort für root zu erfragen.

Zu den Live-Systemen und die Installation mittels dieser kann ich nichts sagen, das habe ich nie benutzt. Allerdings muß ein Live-System ja irgendwie einen root-Zugang bereitstellen, da man ohne root-Rechte auch nichts installieren darf. Eine Möglichkeit wäre natürlich, root auf dem Live-System mit eine Standardpaßwort auszustatten, aber das ist so ziemlich die dämlichste Idee seit Erfindung der EDV. Also wird root ohne Paßwort ausgestattet, damit man sich nicht als root einloggen kann. Der alternative root-Zugang ist dann allerdings immer sudo, der Stadardbenutzer solcher Live-Systeme hat allerdings auch ein Standardpaßwort, so daß die vermeintliche "Sicherheit" die man durch das fehlende root-Paßwort erzeugen will, durch den Standardbenutzer mit sudo aushebelt.

Ansonsten finde ich es praktisch, wenn ich im Terminal per su den user wechseln kann. Deine Forderung wäre dann wohl, dass so etwas aus Sicherheitsgründen gar nicht geht, es ist ja wohl ähnlich wie sudo.

Die Inkonsistenz, die du oben vermutest, gibt es bei der normalen Installation mit einer Installations-CD statt Live-CD nicht. Bei der normalen Installation muß der Benutzer vor dem Rechner ein eigenes root-Paßwort eingeben, es landet dann also ein selbsterstelltes root-Paßwort in verschlüsselter Form in der Datei /etc/shadow. Läßt man das root-Paßwort aus, in dem man den Schritt in der Installation überspringt, wird der Erstbenutzer, den man bei der Installation angeben muß, in die sudo-Gruppe eingetragen. Auch hier wird ein selbst erstelltes Paßwort in die /etc/shadow eingetragen. Man vermeidet bei dieser Installationsart das Problem mit Stadardpaßwörtern in jedem Fall.

Problematisch sehe ich eine Installation ohne root-Paßwort und automatischer sudo-Eintragung dennoch. Denn kennt ein Angreifer das Paßwort des Erstbenutzers, hat er auch einfach root-Zugang zur Maschine mittels sudo, ohne ein (zusätzlches) root-Paßwort zu kennen. Ich empfinde den su-Mechanismus, bei dem immer auch ein root-Paßwort benötigt wird, für deutlich sicherer als sudo, bei dem das Benutzerpaßwort ausreicht.

Bei einer Installation ohne root-Paßwort läßt sich der Zugang mittels su aber immer nachholen, in dem man wie oben geschrieben, mit sudo passwd ein root-Paßwort erstellt. Man sollte aber dabei nicht vergessen, daß das sudo nicht abschaltet und der normale Benutzer durch sudo bash eine alternativen root-Zugang (ohne root-Paßwort) hat. Es bedarf einiger Konfigurationsänderungen, um sudo bash zu verhindern, die einfachste ist, den Benutzer aus der sudo-Gruppe zu nehmen, man kann aber auch radikal sudo deinstallieren oder sich in die umfangreiche Konfiguration von sudo einlesen, und die Möglichkeiten der/des Benutzers einschränken.

[Radfahrer]

Problematisch sehe ich eine Installation ohne root-Paßwort und automatischer sudo-Eintragung dennoch. Denn kennt ein Angreifer das Paßwort des Erstbenutzers, hat er auch einfach root-Zugang zur Maschine mittels sudo, ohne ein (zusätzlches) root-Paßwort zu kennen.

Naja, kennt er das root-Passwort hat er Zugang zur Maschine, ohne ein (zusätzliches) user-Passwort zu kennen. Er muss also entweder das Passwort des Erstbenutzers kennen, oder das von root. Gehupft wie gesprungen.
Ich stimme dir aber dennoch zu. Sudo auf einer Maschine, wo man es nicht wirklich braucht, und wo es nicht seiner Bestimmung gemäß eingesetzt wird (also z.B. auf allen Ubuntu-Rechnern), ist Unsinn.

[MSfree]

Naja, kennt er das root-Passwort hat er Zugang zur Maschine, ohne ein (zusätzliches) user-Passwort zu kennen.

Jein. Über SSH kommt er so nicht an die Maschine ran, root über user/passwd ist nicht per Default erlaubt. Wenn der Angreifer natürlich die Hardware direkt anfassen kann, dann braucht er auch kein Paßwort mehr, das geht mit einem Rettungssystem einfacher, da hilft dann nur ein verschlüsseltes Dateisystem.

Er muss also entweder das Passwort des Erstbenutzers kennen, oder das von root. Gehupft wie gesprungen.

Nicht ganz. Für Benutzer gelten in der Regel geringere Hürden zum (remote) Login als für root.
Ich halte es auch für eine gute psychologische Hürde, wenn man als Nutzer für Adminaufgaben das root-Paßwort eingeben muß. Es verhindert durch diesen Erinnerungsvorgang so manche versehentliche Aktion.

Ich stimme dir aber dennoch zu. Sudo auf einer Maschine, wo man es nicht wirklich braucht, und wo es nicht seiner Bestimmung gemäß eingesetzt wird (also z.B. auf allen Ubuntu-Rechnern), ist Unsinn.

Die sudo-Konfiguration von Debian und Ubuntu sind identisch, und somit auch genauso gefährlich.

Ich bezweifel nicht, daß man nach mehrjährigem Studium der sudo-Dokumentation auch eine sichere Konfiguration hinbekommt. Der Default ist aber schlicht und ergreifend in jeder Linux-Distribution extrem unsicher.

[habakug]

Hallo,

Der Default ist aber schlicht und ergreifend in jeder Linux-Distribution extrem unsicher.

Dann sind ja wenigstens alle Linux-Distributionen gleich blöd.

Gruss, habakug

[TomL]

Dann sind ja wenigstens alle Linux-Distributionen gleich blöd.

Na ja, nicht alle... Debian hat das ja auf dem Default-Weg des Installers nicht so vorgesehen. Und auch bei Arch Linux war sudo nach dem iso-image nicht eingerichtet. Eine üble Tatsache bei sudo ist, bei normalen Desktop-PCs und dem Default-Setup von sudo hat der Anwender quasi keine Kontrolle darüber, ob, wann, wie und durch wen sudo möglicherweise missbraucht wurde. In der Folge hat er dann möglicherweise die Kontrolle über sein System 'geteilt'... mit wem auch immer.

[cronoik]

Moment mal... Wenn ich das hier so lese, sieht es danach aus, als ob Debian automatisch mit sudo eingerichtet wird, wenn man von einem Live-Image installiert? Ich kenne es eigentlich so, dass sudo nur dann eingerichtet wird, wenn man während der Installation kein Passwort für root vergibt.

Ja das ist der Fall. Da Debian fuer die Liveinstallation einen anderen Installer (calamares [1]) benutzt. Dieser besitzt zwar die Moeglichkeit ein root Passwort zu erstellen und diese ist auch standardmaessig gesetzt [2], aber debian hat das deaktiviert [3].

Ich weis nicht ob das schon einmal ausdiskutiert worden ist im Liveteam.

Ich bezweifel nicht, daß man nach mehrjährigem Studium der sudo-Dokumentation auch eine sichere Konfiguration hinbekommt. Der Default ist aber schlicht und ergreifend in jeder Linux-Distribution extrem unsicher.

So schlimm ist die Dokumentation nun auch nicht und man muss irgendwo eine Grenze ziehen ab wann der Systembesitzer gefordert ist. Wer ssh zulaesst und sich nicht um die Sicherheit kuemmert (sudo ALL config deaktivieren), der wird auch ohne zoegern root fuer ssh freischalten weil er das in einem Video gesehen hat.

[1] https://github.com/calamares/calamares/ ... 2051ba2404
[2] https://github.com/calamares/calamares/ ... s.conf#L51
[3] https://salsa.debian.org/live-team/cala ... s.conf#L17