Disabling the root user
Im erweiterten RBAC-Modus ist es möglich, das System so zu konfigurieren, dass der Rootbenutzer keine zugeordneten Sonderbefugnisse hat und vom System als normaler Benutzer behandelt wird.
In der Vergangenheit wurde der ID-Wert von 0 für den Rootbenutzer vom Betriebssystem als privilegierte ID behandelt und es war zulässig, die erzwungenen Sicherheitsprüfungen zu umgehen. Wenn Sie den Rootbenutzer inaktivieren, werden die Prüfungen im Betriebssystem entfernt, die es der Benutzer-ID 0 ermöglichen, die Sicherheitsprüfungen zu umgehen, und stattdessen muss der Prozess über die Berechtigungen zum Übergeben der Sicherheitsüberprüfungen verfügen. Das Inaktivieren des Rootbenutzers minimiert den Schaden, den ein Angreifer verursachen kann, da keine einzige übermächtige Benutzeridentität auf dem System mehr vorhanden ist. Nach der Inaktivierung des Rootbenutzers muss die Systemverwaltung von Benutzern ausgeführt werden, denen privilegierte Rollen zugeordnet wurden.
setsecconf –o root=disableNach der Ausführung dieses Befehls kann auf das Konto des Rootbenutzers nicht über eine ferne oder lokale Anmeldung oder über den Befehl su zugegriffen werden. Da das Konto des Rootbenutzers jedoch der Eigner von Dateien auf dem Dateisystem bleibt, hat der Benutzer, wenn das Konto erworben wird, Zugriff auf privilegierte Dateien.
Auf einem System, auf dem der Root inaktiviert wurde, werden Prozesse, deren Eigner der Root ist, keine speziellen Befugnisse oder Berechtigungen mehr zugeordnet. Dies sollte in Betracht gezogen werden, wenn das System setuid-Anwendungen besitzt, deren Eigner der Root ist, die nicht zur privilegierten Befehlsdatenbank hinzugefügt wurden. Diese setuid-Anwendungen werden wahrscheinlich in einer Umgebung mit inaktiviertem Root fehlschlagen, da der Prozess keine privilegierten Operationen ausführen kann. In einem System mit inaktiviertem Root sollte jeder Befehl, der privilegierte Operationen ausführen muss, zur privilegierten Befehlsdatenbank hinzugefügt und den entsprechenden Berechtigungen zugeordnet werden. Daher sollte eine sorgfältige Analyse des Systems und der Anwendungen, die auf dem System verwendet werden, durchgeführt werden, bevor die Befugnisse des Rootbenutzers inaktiviert werden.