L'utente "Admin" ha automaticamente i privilegi di sudo

Ho aggiunto un utente chiamato "admin" al mio server Ubuntu 14.04LTS, usando adduser.

Sono abituato a dover aggiungere un utente al /etc/sudoersfile quando si aggiunge un nuovo utente che necessita dei privilegi di sudo, ma questa volta non l'ho fatto. Non sembra che l'utente "admin" esistesse prima che lo creassi, in base all'output nella shell. Perché ha funzionato in questo modo?

user-management privileges adduser

— trpt4him
fonte

Invece di modificare manualmente il file sudoers, aggiungerli al admingruppo.

— Kaz Wolfe,

Per impostazione predefinita, adduseraggiunge ogni nuovo utente a un gruppo con lo stesso nome dell'utente (il gruppo viene creato se non esiste già). Quindi, se si crea un utente chiamato admin, verrà aggiunto al gruppo admin.

/etc/sudoers contiene la linea

%admin ALL=(ALL) ALL

il che significa che tutti i membri del gruppo adminpossono usare sudo- e questo vale anche per il tuo adminutente.

— Florian Diesch
fonte

A mio avviso, ciò rientra nella definizione di "bug" o "problema di sicurezza". Perché dovrebbe esserci una sequenza magica di lettere che ti dà superpoteri se la usi come nome utente?

— Federico Poloni,

@FedericoPoloni è d'accordo con te, anche se qualcuno che sta cercando di sfruttare questo dovrebbe chiamare adduser, il che significherebbe che ha già i privilegi di amministratore ... Tuttavia, vale la pena aggiungere una segnalazione di bug che penso

— nico

@FedericoPoloni Bug, per niente. Il sistema aggiunge gli utenti al proprio gruppo con lo stesso nome. Joeentra in un gruppo chiamato Joe. admincapita di entrare in un gruppo chiamato admin. Ma adminè un gruppo di sistema. È il gruppo di default autorizzato ad usare sudo. Inoltre, puoi specificare i gruppi, in modo che l' adminutente non entri nel admingruppo. Infine, è un problema di sicurezza avere un utente nominato admin. Ho avuto SSH attacchi brute-force contro di me basandosi sulla mia utilizzando il nome utente admin.

— Kaz Wolfe,

@Whaaaaaat, per qualche ragione, vedere quel nome utente alla fine dei tuoi post mi fa mettere in discussione tutto quello che dici :)

— trpt4him

Penso che, considerata la politica di un utente - un gruppo, il comportamento atteso (almeno per me) è di salvare con un errore se esiste il nome del gruppo (come succede se esiste il nome utente). Io voto per il bug, o almeno un comportamento inaspettato.

— Rmano,