为什么不允许root用户通过ssh登录？

为什么应该禁用ssh的root访问？我总是听到这是出于安全原因。但是我不明白。先以非root身份登录又有什么区别sudo su -？处理需要特权权限的任务的首选方法是什么？

谢谢

汤玛士

Sudo是您需要委派管理任务的首选方式，因为它具有可审核性和丰富的粒度。Sudo允许记录所有命令，并允许管理员为个人或组设置不同的sudo配置文件。

su或root访问是全部或全部

根是保证在每台unix计算机上都启用并启用的一个帐户，因此选择它来尝试强行使用密码是不费吹灰之力的。如果没有外部工具（可以杀死明显的扫描仪的包装器，入侵防御设备等），那么找出密码只是时间问题。即使使用外部工具阻止了这种行为，还是要强制传入的用户以普通用户身份登录，然后使用su / sudo / pfexec直至增强的privs，这仍然是一个好主意。是的，这是一个额外的步骤，这意味着您必须在root用户之间共享的计算机上创建用户帐户，但这是攻击者与对盒子的无限制控制之间的又一障碍。

主要区别在于，攻击者也必须猜测用户名。如果让root登录，那么他只需要猜测密码即可。

他还可以欺骗使用man-in-the-middle方法获得ssh密钥或重新发送数据的用户登录，并且他可以登录系统而不必键入密码。但是，如果他以用户身份登录，则必须对命令进行sudo-ize，因此他被迫手动输入密码。如果以root用户身份登录，则无需对内容进行伪装，因此安全性降低了一步。

有成千上万的计算机正在扫描sshd，并强行强制它们。首先尝试“ root”帐户是一个不错的选择，因为如果它损坏了，那么您将完全拥有该计算机。它也是所有* nix系统上的通用帐户，除非您禁用root登录。这是一个非常好的安全实践。

这样做的主要优点是它允许更灵活的访问控制：如果用户通过sudo拥有root权限，则可以很容易地授予root权限或在必要时将其删除。相反，如果您实际将根密码交给了他人，则您无法将其删除（除非您是“黑衣人” ；-)），您只能更改根密码，这会影响每个人。

在这种情况下，直接的root登录是不必要的b / c没有人拥有root pw。

（在单用户模式下，您仍然需要root pw才能在控制台上进行紧急访问；但是应该对此有特殊规定）。

但是HP-UX从不通过ssh强制root不可访问，为什么？