Ausgetrickst
Gestern habe ich einmal probehalber auf meinen 1&1-Server ein anderes Image aufspielen lassen: statt der pleskigen Scheußlichkeit ein Suse-9.1-Minimalimage. Das hat auch ganz gut funktioniert - allerdings konnte ich mich nicht einloggen (das ist initial nur per SSH mit Paßwort als root möglich).
Einen Reboot ins Rescue-System später konnte ich dann den Ersteller des Images zu seinem Sicherheitsdenken beglückwünschen: ich ziehe es genau wie er vor, in der sshd_conf die Loginmöglichkeit per Paßwort abzustellen und nur den Login per SSH-Key zu ermöglichen. Ob es allerdings eine besonders gute Idee ist, das auch dann zu machen, wenn nach dem Aufspielen des Images weder ein Useraccount noch ein SSH-Key für diesen (oder root) vorhanden sein kann, ist sicher diskutabel. 
Kommentare
Ansicht der Kommentare: Linear | Verschachtelt
Marc 'Zugschlus' Haber am :
So lange es ein Rescuesystem gibt, halte ich das für sehr sinnvoll. Schliesslich kann man ja aus dem rescuesystem sicher in das neu installierte System reinchrooten und dort dann den User-Account anlegen und einen ssh-Key hinterlegen.
Thomas Hochstein am :
Ich habe nur leider Zweifel, daß Otto-Normal-Rootserver"admin" damit so einfach zurechtkommt; direkt kundenfreundlich ist’s jedenfalls IMHO nicht. Und nachdem ich von einem anderen Kunden weiß, daß er dieses Problem bei seinem Image offenbar nicht hatte, bin ich mir nicht sicher, ob das so gedacht ist.
Jedenfalls müßte man darauf m.E. hinweisen, wenn man’s denn tut.
Marc 'Zugschlus' Haber am :
Rootserver ist ein Produkt für Linux-Profis. Wer das nicht hinkriegt, sollte keine Verantwortung für ein breitbandig mit dem Internet verbundenes UNIX-System haben.
Ich weiß, dass die Realität anders aussieht, aber solche Selbstüberschätzer haben’s echt nicht anders verdient und sollen sich gefälligst in den Fuß klicken.
Thomas Hochstein am :
Das mag richtig sein, aber nicht nur sieht die Realität anders aus, der Anbieter zielt auch durchaus auf diese Zielgruppe ab, preislich und von der Werbung her. Insofern glaube ich eher nicht, daß das Absicht war.
Sobald ich mal eine Mailadresse wiederfinde (Vertragsunterlagen liegen woanders und das Webinterface läßt eine sinnvolle Zuordnung von Fragen zum Serverbetrieb nicht zu), kippe ich das mal beim Support ein, dann können sie’s ändern oder so lassen, wie’s halt sein soll.