Ubuntu上的Sudo access

Question

我是linux和sysadmin世界的新手，所以我在寻求一些建议和一些答案。我设置了一个运行Ubuntu12.04的EC2实例，并通过密钥对将SSH放入其中。

首先，我阅读了Ubuntu用户管理页面，但它留给我一些问题。我在页面上注意到了这个

Sudo允许授权用户使用自己的密码临时提升自己的权限，而不必知道根帐户的密码。

当我运行sudo命令时，在使用SSH访问我的服务器后，不会提示我输入密码。我阅读的目的不是将数据库访问的密码(如PHP和MySQL)存储在纯文本文件中，而是使用.cnf文件，将权限设置为600。如果有人确实设法进入我的服务器，他们所要做的就是输入sudo vi /path/to/cnf，然后他们可以查看密码。假设我有sudo的密码，这是否意味着整件事的意义？

1. 在默认情况下，考虑到我没有密码，我应该为sudo添加密码吗？
2. 考虑到我正在使用UFW来限制对端口22的访问，而我使用的是密钥对，那么对于能够将SSH放入我的服务器中的人来说，这有多大的风险呢？
3. 当我使用EC2设置我的Ubuntu服务器时，我在添加/更改密码时看到的所有源默认都是从安装程序中使用的。我什么都没安排好。都是通过AWS预先配置的。这是问题吗？

Answer 1

对一个人来说，有多大的风险

风险真的很小。看看这个问题，您可以做一些事情，以尽量减少蛮力尝试的影响。

我该加个密码吗..。

您的帐户有一个密码，但是sudo已经配置为没有通过下面的配置集提示您。如果您通过密钥执行所有身份验证，则参考这个设置在大多数情况下都是可以的。如果需要提示，可以从该文件中删除NOPASSWD。

# ubuntu user is default user in cloud-images.
# It needs passwordless sudo functionality.
ubuntu ALL=(ALL) NOPASSWD:ALL

Answer 2

首先，一些一般的安全提示：

• 使用密钥登录-你在这方面做得很好
• 使用大键-例如生成一个4k rsa键(可能是当前的1k或2k )
• 使用强密码作为密钥-你应该这样做。如果我能拿到你没有保护的无密码钥匙..。一切都是毫无意义的
• 把ssh移到更高的港口。12322 -这将有助于探索一些服务。不要忘记打开安全组中的端口。
• 监视您的服务器发生了什么- fail2ban是一个很好的工具
• 禁用密码登录(其他回复中有说明)
• 实现AllowUser/AllowGroups，只允许特定用户(根用户不是其中之一)--再加上积极的fail2ban配置，这是一个致命的杀手。

现在请回答以下问题：

对一个人来说，有多大的风险

不多只是设置一些安全措施

我该加个密码吗..。

是的，这会很好，但这并不是严格强制性的使用类似的东西

数独通

会让你在不知道密码的情况下更改密码。

NOPASSWD意味着可以在没有密码的情况下执行任何命令。是的，我经常使用它，但只在我随身携带的机器上使用(例如笔记本电脑)。在设置了已知的(复杂的密码)后，最好删除它。