Безопасность

Права доступа

Модель прав Unix — чтение/запись/исполнение, владелец/группа/другие, спецбиты.

sudo — выполнение команд от другого пользователя

Даёт временные права root по sudoers; править файл — только через visudo, иначе ошибка лишит sudo всех.

visudo — безопасная правка sudoers

Команда visudo правит /etc/sudoers и файлы /etc/sudoers.d и не даёт сохранить правило с ошибкой в грамматике.

PAM: проверка входа, политика паролей и блокировка

Стек модулей в /etc/pam.d: решает, пускать ли пользователя, какой пароль принять и когда заблокировать вход.

Пользователи и группы

Учётные записи и группы Linux; usermod -G без -a заменяет все дополнительные группы пользователя, а не добавляет одну.

Файрвол — nftables / ufw

Файрвол в Linux: фильтрация трафика простым ufw и низкоуровневым nftables, проверка правил.

useradd — создать пользователя

Команда useradd создаёт учётную запись: домашний каталог, оболочку, группы и UID; пароль задаёт passwd.

passwd — сменить или заблокировать пароль

Команда passwd меняет пароль своей учётной записи, а от root — задаёт, блокирует и показывает пароли других.

usermod — изменить учётную запись и группы

Команда usermod меняет существующую учётную запись: группы, оболочку входа, домашний каталог, имя и блокировку.

Классический файрвол iptables

Классический файрвол Linux — цепочки, правила, NAT; и почему теперь nftables.

auditd — аудит безопасности

Аудит ядра — кто, что и когда сделал; правила watch и поиск по событиям.

ssh, scp — подключение и копирование по SSH

Клиент для входа и копирования файлов по SSH; алиасы хостов в ~/.ssh/config убирают повтор параметров подключения.

sshd — SSH-сервер

Сервер OpenSSH; правь конфиг со вторым открытым сеансом — ошибка в PermitRootLogin закроет доступ немедленно.

Особые биты прав: setuid, setgid, sticky

Особые биты прав: setuid и setgid запускают программу с правами владельца, setgid и sticky — для общих каталогов.

Capabilities: права root по частям

Части прав root: процесс или файл получает только нужную — например, CAP_NET_BIND_SERVICE для порта ниже 1024.

SSH-ключи и ssh-agent

Пары ключей для входа без пароля; sshd отвергает ~/.ssh, если писать в него могут группа или остальные.

Расширенные права ACL

Гибкие права сверх rwx — getfacl/setfacl, права для нескольких пользователей.

ssh-keyscan — собрать ключи хостов

Заранее наполнить known_hosts ключами серверов — без интерактивного «yes» при первом ssh.

Ограничения службы: User=, ProtectSystem, NoNewPrivileges

Ключи юнита, отбирающие у службы лишнее: root, запись в систему, новые привилегии; оценка — systemd-analyze security.

AppArmor

Мандатный контроль доступа в Ubuntu — профили служб, режимы enforce/complain.

nmap: какие порты видны снаружи

Сканер портов: показывает, какие порты машины открыты, закрыты или отфильтрованы — глазами другой машины.

restic — резервные копии с дедупликацией

Инкрементальные шифрованные бэкапы со снимками; без пароля репозиторий не расшифровать, другого пути нет.

unattended-upgrades: обновления безопасности без участия человека

Служба Ubuntu: раз в сутки по таймеру apt ставит обновления из разрешённых источников, по умолчанию — только security.

fail2ban

Бан по логам — защита SSH и сервисов от перебора; jail'ы, статус, разбан.

GPG — шифрование и подписи

GnuPG: ключи GPG, шифрование файлов, подпись и её проверка, симметричный режим с паролем.

TLS и сертификаты — openssl, цепочка, проверка

TLS-сертификат связывает ключ сервера с именем сайта; openssl читает его поля, проверяет цепочку и выпускает новый.

WireGuard — VPN на ключах

Быстрый VPN на паре ключей вместо паролей; приватный ключ в wg0.conf нужно защищать правами файла, как SSH-ключ.