КОГАТО ROOT ПРАВАТА ВЪРХУ МАШИНАТА СТАНАТ ПО-ЛЕСНИ ОТ ROOT ПРАВАТА ВЪРХУ СОБСТВЕНИЯ ХАРАКТЕР
Защо е по-лесно да защитиш сървър, отколкото себе си
Code:
[INTERNAL SECURITY AUDIT]
CASE ID: SUDO-777
RELATED: ENTER-56
HOST: self.local
OWNER: unresolved
ROOT LOGIN: enabled
TRUSTED USERS: unverified
AUTHORIZED KEYS: outdated
FAILED BOUNDARY ATTEMPTS: 4821
LOG RETENTION: selective
INCIDENT STATUS: recurringСвързано досие: ENTER-56 - КОЙ СЪМ АЗ И КОЙ НАТИСКА ENTER
Управлявам машини, които не допускат непознат пакет без проверка.
Затварям портове. Сменям ключове. Следя логове. Ограничавам услуги. Не давам root права на процес само защото е поискал учтиво.
В моята глутница всяка машина има роля.
Портиерът пази входа.
Ветеранът носи товара.
Разузнавачът следи.
А звярът с двадесет и осем ядра чака изключен, докато не му дойде времето.
Системите ми знаят кой има достъп, откъде влиза и какво право има да изпълнява.
В собствения си живот невинаги съм бил толкова добър администратор.
Там съм оставял отворени портове към хора, които вече са правили brute force върху границите ми. Приемал съм непроверен вход само защото идва от познат адрес. Възстановявал съм достъп след поредното „няма да се повтори“, въпреки че логовете са показвали друго.
Странен парадокс.
Можеш да бъдеш безкомпромисен със chmod, firewall и sshd_config, а в същото време да оставиш собствения си характер с настройки:
Code:
PermitRootLogin yes
PasswordAuthentication none
AllowUsers everyone
Logging disabledПосле се чудиш защо системата отново е компрометирана.
sudo - правото да действаш от мое име
Когато дадеш на някого sudo, не му даваш просто достъп.
Даваш му право да изпълнява действия с по-високи привилегии вътре в твоята система.
В живота правим същото, само че без терминал и без парола.
Даваме на хората право да определят стойността ни. Да променят настроението ни. Да редактират решенията ни. Да стартират вина с едно изречение и съмнение с един поглед.
Понякога един човек може да влезе в нервната ти система по-бързо, отколкото ти можеш да влезеш като root в собствен сървър.
Не защото е по-силен.
Защото някога си му дал права.
Не всеки, когото обичаш, трябва да има административен достъп до нервната ти система.
Това не означава да станеш студен.
Означава да разбереш разликата между близост и привилегия.
Някой може да бъде важен за теб, без да има право да променя системните ти файлове. Може да го обичаш, без да му позволяваш да рестартира самочувствието ти при всяко свое настроение.
Любовта не е причина да изключиш permission модела.
Доверието също не е безсрочен сертификат.
То е право, което се поддържа с поведение.
authorized_keys - ключовете, които никога не сме отнели
Когато човек напусне екипа, добрият администратор премахва неговия SSH ключ.
Не чака ключът да бъде използван неправомерно.
Не си казва:
„Той вече не работи тук, сигурно няма да влиза.“
Премахва го.
В живота често правим обратното.
Човекът си е тръгнал. Връзката е приключила. Приятелството е умряло. Разговорът отдавна няма какво да спаси.
Но ключът остава.
Code:
cat ~/.ssh/authorized_keys
Code:
ex_partner
dead_friendship
parental_approval
old_humiliation
need_to_proveПосле е достатъчно едно съобщение.
Една снимка.
Едно „Как си?“.
Един познат тон.
И старият потребител отново е вътре.
Да махнеш човек от живота си не означава, че си отнел ключа му.
Истинското отнемане на достъп не е блокиран номер. То е моментът, в който чуждият глас вече не може да изпълнява команди в главата ти.
Това е по-трудно от изтриването на ред в authorized_keys.
Защото ключът може да не се намира в телефона.
Може да е записан в паметта.
Firewall-ът не мрази пакетите
В системната администрация границата не се нуждае от емоция.
Firewall-ът не изпитва вина, когато блокира пакет.
Не се пита дали пакетът ще се обиди.
Не отваря порт само защото заявката идва за трети път и звучи настоятелно.
Има политика.
И я изпълнява.
В човешкия живот обаче често възприемаме границата като агресия. Страхуваме се, че едно ясно „не“ ще ни направи лоши, неблагодарни или безчувствени.
Затова правилата ни изглеждат така:
Code:
ACCEPT all from family
ACCEPT guilt from known_contact
ACCEPT manipulation from trusted_memory
ACCEPT repeated_apology
DROP unknown internetОт непознат имейл не отваряме съмнителен файл.
От познат човек отваряме стара рана без проверка.
Firewall-ът проверява всеки пакет. Ние проверяваме само непознатите.
Границата не е омраза.
Тя е архитектура.
Можеш да не мразиш някого и пак да не му позволиш да влиза.
Можеш да простиш и пак да не възстановиш акаунта.
Можеш да разбереш причините му и пак да блокираш действията му.
Firewall-ът не произнася морални присъди.
Той просто знае какво не трябва да достига до ядрото.
chmod 777 /self
Почти цялата човешка трагедия може да бъде събрана в една команда:
Code:
chmod 777 /selfВсички могат да четат.
Всички могат да пишат.
Всички могат да изпълняват.
После собственикът се чуди защо файлът вече не прилича на оригинала.
Добротата често се бърка с пълна достъпност. С идеята, че винаги трябва да отговаряш, винаги трябва да разбираш и винаги трябва да даваш още един шанс.
Но добротата без permissions не е доброта.
Добротата без граници е лоша администрация.
Не всеки трябва да има write достъп до теб.
Някои хора могат да останат само с read-only права.
Други могат да бъдат преместени в guest мрежата.
А има и такива, чиито акаунти трябва да бъдат деактивирани - не защото са чудовища, а защото са доказали, че не умеят да работят с поверения достъп.
Не всяка програма е malware.
Някои просто никога не трябва да работят с административни права.
Логовете не вярват в обещания
Системният администратор не анализира инцидент по намеренията на процеса.
Гледа логовете.
Code:
2024-05-11 trust_violation
2025-02-03 manipulation_detected
2025-09-17 unauthorized_access
2026-01-08 apology_received
2026-01-09 access_restored
2026-01-17 incident_repeatedПри машините разпознаваме модела веднага.
При хората го наричаме „още един шанс“.
Машината нарича повторението pattern. Човекът го нарича надежда.
Проблемът не е прошката.
Прошката освобождава памет.
Проблемът е автоматичното възстановяване на всички права след нея.
Прошката не изисква да върнеш ключа.
Не изисква отново да отвориш порта.
Не изисква да добавиш човека в sudoers.
Можеш да простиш на някого и пак да запазиш системата си защитена.
Това не е отмъщение.
Това е научен урок, записан в логовете.
Най-опасният untrusted input говори с познат глас
В програмирането приемаме едно основно правило:
Никога не вярвай на входа.
В човешкия живот често го забравяме.
Вярваме на роднинство, история, близост, титла и тон. Вярваме, че щом думите идват от човек, когото познаваме, значи трябва да бъдат изпълнени.
Code:
INPUT: "Без мен си никой."
SOURCE: trusted_contact
VALIDATION: skipped
STATUS: executedНо близостта не прави входа безопасен.
Понякога го прави по-опасен, защото сваля защитите.
Най-опасният untrusted input не е лъжата. Най-опасна е лъжата, произнесена от човек, на когото вярваш.
Social engineering не разбива системата със сила.
Убеждава администратора сам да отвори вратата.
И понякога това е цялата история на една вредна връзка - неуспешна атака, превърната в успешна, защото собственикът сам е въвел паролата.
Incident response върху собствените емоции
Когато системата е атакувана, не започваш да пишеш мотивационни цитати.
Започваш incident response.
DETECT
Какво точно се случи?
Коя дума, човек или ситуация стартира реакцията?
CONTAIN
Не отговаряй веднага.
Не вземай решение с root права, докато системата е под товар.
Code:
kill -STOP emotional_responseINVESTIGATE
Това събитие ли боли, или то само е отворило стар лог?
Говори ли човекът пред теб, или слушаш глас от миналото?
REVOKE
Кои права трябва да бъдат отнети?
Кой повече не трябва да има достъп до времето, спокойствието и решенията ти?
RECOVER
Върни системата в стабилно състояние.
Сън. Тишина. Работа. Планина. Кучета. Машини.
Неща, които не говорят много, но не лъжат.
HARDEN
Какво трябва да промениш, за да не се повтори същият инцидент?
Не какво трябва да обещае другият.
Какво трябва да конфигурираш ти.
Тук е разликата между жертвата и администратора.
Жертвата чака нападателят да стане по-добър. Администраторът променя политиката за достъп.
Вътрешният senior admin
Мога да видя неуспешен SSH опит в логовете. Мога да проследя адреса, да блокирам мрежата, да сменя ключа и да проверя дали не е останал persistence.
По-трудно е да видя момента, в който познат глас влиза в главата ми без парола.
Мога да управлявам глутница от сървъри.
Но истинската дисциплина започва, когато поставя пазач и пред собствената врата.
Не за да не допускам никого.
А за да не допускам всеки.
Защото не всички, които чукат, идват с лошо намерение. Но и не всички трябва да получат root само защото познават името ми.
Code:
sudo usermod -L untrusted
Code:
account: locked
access: revoked
memories: preserved
lesson: loggedИстинският senior admin не е човекът, който държи най-много машини живи.
Той е онзи, който е разбрал, че доверието не е chmod 777, прошката не е възстановяване на ключа, а любовта не изисква root достъп.
Някой отново чука на вратата.
Този път не бързам да отворя.
Проверявам логовете.
Проверявам ключа.
Проверявам кой е.
Code:
[AUDIT UPDATE]
ROOT LOGIN: disabled
TRUSTED USERS: under review
AUTHORIZED KEYS: rotated
BOUNDARY POLICY: enforced
INCIDENT STATUS: contained
OWNER: reclaiming control
Code:
root@self:~# access denied █toni@dtgarage:~$ whoami
Тони Ангелчовски | Ексклузивно за DTGaraGe
toni@dtgarage:~$ cat LICENSE
Копирането и препубликуването без разрешение не е позволено.
toni@dtgarage:~$ ./support.sh
Подкрепи DTGaraGe и независимото техническо съдържание
toni@dtgarage:~$ █
Тони Ангелчовски | Ексклузивно за DTGaraGe
toni@dtgarage:~$ cat LICENSE
Копирането и препубликуването без разрешение не е позволено.toni@dtgarage:~$ ./support.sh
Подкрепи DTGaraGe и независимото техническо съдържаниеtoni@dtgarage:~$ █
Last edited:
