4. ローカルのセキュリティ

次にローカルユーザの攻撃に対するシステムのセキュリティについて考えます． そうです，ローカルのユーザに対してです．

ローカルユーザのアカウントの獲得は，攻撃者が root のアカウントを破ろう とする際に最初に考えることの一つです．ローカルに対するセキュリティが甘 ければ，様々なバグやローカル向けのサービスのまずい設定を利用して，一般 ユーザの権限から root ユーザの権限へ「アップグレード」することができる のです．ローカルに対するセキュリティが強固であれば，侵入者が越えなけれ ばならないハードルはまだ残ることになります．

ローカルユーザは，たとえ身元を詐称していなくても，システムに被害を与え ることができます．知らない人やコンタクトを取るための情報が無い人にアカ ウントを与えるのは，非常に危険なことです．

4.1 新規アカウントの作成

アカウントを発行する際には，そのユーザが行う必要がある作業に対して必要 最小限のアカウントを与えるようにすべきです．息子(10才)にアカウントを与 えるのならば，ワープロやお絵描きプログラムにはアクセスできるけれど，自 分のものでないファイルを削除できないユーザにすべきでしょう．

他人に Linux マシンに対しての合理的にアクセスをしてもらうための，便利 な経験則があります．

• 必要最小限の権限しか与えないようにする
• いつ，どこからログインしたか，あるいはどこからログインすべきかに注意を 払う
• 使われていないアカウントは必ず削除する
• 全てのコンピュータとネットワークで同じユーザ ID を使うとよいでしょう． これにより，アカウントの管理が楽になりますし，ログデータの解析も容易に なります．
• グループユーザ ID の作成は絶対に禁止すべきです．ユーザアカウントでは責 任の所在が明らかですが，グループアカウントではそうではないからです．

セキュリティを破るときに使われるローカルユーザのアカウントの多くは，何ヵ 月あるいは何年も使われていないものです．誰も使っていないために，理想的 な攻撃の道具になってしまうのです．

4.2 root のセキュリティ

あなたのマシンで最も欲しがられるアカウントは，root(ユーパーユーザ)のア カウントです．このアカウントはマシン全体に対する権限を持ち，ネットワー ク上の他のマシンに対する権限を持つこともあります．root のアカウントは できるだけ短時間の，特定の作業だけで使用し，それ以外の時は一般ユーザと してマシンを使用すべきです．root ユーザでログインしているとちょっとし たミスでも問題を起こしかねません．root 権限を持っている時間は短ければ 短いほど安全です．

root 権限でマシンを壊してしまわないための仕掛けもいくつかあります．

• 複雑なコマンドを実行するとき，特に globbing を使う(* や ? などのワイル ドカードを使用する)場合には，最初は失敗しても悲惨な結果にならない方法 をとりましょう．例えば "rmoo*.bak" を実行する場合には，まず "ls foo*.bak" を実行し，考えているファイルだけが消されるよう になっているか確認するのです．危険なコマンドの代わりに echo が使えることもあります．
• ユーザに対して rm コマンドのエイリアスを設定しておき，ファイルの削除の 際に確認を行うようにします．
• 特定の作業 1 つを行うためだけに root になりましょう．自分が，どうやっ て作業しようか考えているような状態だとしたら，root でやらなければなら ないことがはっきりするまでは，一般ユーザに戻りましょう．
• root ユーザのコマンドパスはとても重要です．コマンドパス(つまり PATH 環 境変数)はシェルがプログラムを探すディレクトリを指定します．root ユーザ 用のコマンドパスはできる限り制限すべきですし， '.' (これは「カレントディ レクトリ」を意味します)を PATH の指定に入れては絶対にいけません．さらに， 書き込み可能なディレクトリを検索パスに入れてはいけません．というのも， そうなっていると攻撃者が検索パス上のファイルを書き換えたり置き換えたり でき，あなたがそのコマンドを次に使ったときに root 権限で動作させること ができるからです．
• root で rlogin/rsh/rexec コマンド群(いわゆる r-ユーティリティ)を使って はいけません．これらのコマンドは色々な攻撃の対象となるので，root で実 行するのは実に危険です．root ユーザ用の .rhosts ファイルは決 して作ってはいけません．
• /etc/securetty には root がログインできる端末のリストが書かれ ています．(RedHat Linux の)デフォルトでは，これにはローカルの仮想端末 (vty)だけが設定されています．このファイルにそれ以外の端末を追加すると きには，細心の注意を払ってください．必要がある時でも一般ユーザとして (できれば ssh 等の暗号化チャネル経由で) リモートログインし，それから su することができるはずなので， 直接 root としてログインできる必要はありません．
• root での作業は，必ずゆっくり，慎重に行いましょう．作業の結果は大きな 影響をもたらすかもしれません．コマンドを打ち込む前に，まず考えましょう！

どうしても誰か(できれば非常に信頼している人)に root 権限を与える必要が ある場合にも，これを補助するツールがあります．sudo を使えば， ユーザのパスワードを使って，制限されたコマンド群を root の権限で使用さ せることができます．これにより，例えば Linux マシンのリムーバブルメディ アをユーザにイジェクトやマウントをさせるけれど，それ以外の root 権限は与 えないようにすることができます．sudo は成功・失敗を含めて全て の sudo の試みをログに取ることができるので，誰が何のためにど のコマンドを使ったか調査することができます．このため，sudo は 多くのユーザが root 権限を持つような環境でもうまく利用することができま す．なぜならシステムに対して行われた変更を調べやすくしてくれるからです．

sudo を使って特定のユーザに特定目的のための特定の権限を与える ことができますが，sudo には欠点がいくつかあります．sudo は，サーバの再 起動やユーザの新規追加など，限られた作業の組に対してだけ使うべきです． シェルエスケープができる任意のプログラムは，これを sudo を通 して使ったユーザに root 権限を与えてしまいます．例えば，大部分のエディ タがこれに該当します．また，/bin/cat のように無害なプログラムであって もファイルの上書きに使うことができるので，これを使って root 権限が破ら れることもあり得ます．sudo は権限を使わせるための手段と考える べきであり，root ユーザをより安全にするために置き換えるものと期待して はいけません．