为什么应该禁用root权限的SSH？ 我总是听到这是出于安全原因。 但我不明白。 有什么不同的login作为非根，然后sudo su - ？ 处理需要特权的任务的首选方式是什么？
谢谢
托马斯
由于其可审核性和丰富的粒度，Sudo是您需要委派pipe理任务时的首选方式。 Sudo允许logging所有命令，并允许pipe理员为个人或组build立不同的sudoconfiguration文件。
su或者root访问是全部或者全无
Root是每个unix机器上保证启用并启用的一个帐户，因此挑选它来企图强制密码是不容易的。 如果没有外部工具（杀死明显的扫描器，入侵者预防设备，那种事情的封皮），密码算出来只是时间问题。 即使使用防止这种行为的外部工具，强制传入用户以普通用户身份login，然后su / sudo / pfexec直到增强的priv也是一个好主意。 是的，这是一个额外的步骤，这意味着您必须在根用户之间共享的计算机上创build用户帐户，但这是攻击者和对该框无限制控制之间的另一个障碍。
主要区别是攻击者也必须猜测用户名。 如果你让rootlogin，那么他只需要猜测密码。
他也可以欺骗用户loginssh密钥或使用man-in-the-middle方法重新发送数据，他可以login系统而不必键入密码。 但是，如果他以用户身份login，他必须sudo-ize命令，因此他被迫手动input密码。 如果他是作为一个根源login的，他不需要将事物完整化，所以不需要一个安全的步骤。
有成千上万的机器正在扫描sshd和暴力强制他们。 “根”是一个很好的考虑，因为如果它打破了，那么你完全拥有这台机器。 它也是所有* nix系统上的通用帐户，除非您禁用rootlogin 。 这样做是非常好的安全措施。
这样做的主要优点是它允许更灵活的访问控制：如果用户通过sudo拥有root权限，则很容易授予root权限，或者根据需要将其移走。 相反的，如果你真的把人权交给你，那么你不能把它拿走（除非你是黑衣人;-)），你只能改变根，这会影响到每个人。
在这种情况下，直接rootlogin是不必要的B / C没有人有根。
（您仍然需要在单用户模式下在控制台上进行紧急访问的root pw;但是应该有特别的规定）。
但是HP-UX从来不会通过ssh强制root用户不可访问，为什么？