nmutaさんのOS運用記録10月の12日の記事に、sudoの仕様の悪用方法を実証するソフトへのリンクがあった。どうやら、sudoでroot認証成功後5分間パスワードを要求しないのと、sudoがttyに関連づけられていないのと、sudoの認証成功を管理者であれば読めるsystem.logに書き込むのを使うんだって。
system.logを監視して、管理者がsudoつかったら、5分以内にsudo使って別にTermional.appあげて、sudoしてroot 権限奪取、ウマー
とかできちゃうらしい。
そこで、system.logじゃなくてsecure.logに書き込みにして、rootでないとsudoの認証成功を確認できないようにしてみた。ここでvisudoを使ってください。でないと泣くよ。
(1) visudoで/etc/sudoersのDefaultっぽいとこに書き込む。
Defaults:All !syslog
Defaults:All logfile=/var/log/secure.log
本当はttyに関連づけたら、いいのかもしれないがttyがよくわかってないのでまあ、いいかってことで。
(2) ttyに関連づけるには、
Defaults:ALL tty_tickets
(3) パスワードを保持する時間を0にするには、
Defaults:ALL timestamp_timeout=0
を同様に書き込めばいいらしいよ。
