sudo私には権限がありますが、管理者にもリモートルートアクセス権を持つコンピュータから「自分」のWebサービスとアカウントに安全にアクセスするにはどうすればよいですか？
詳細
（大）クローズ/制限LANに接続されているデスクトップを使用します。システムにログインしても、LANに接続している場合にのみ成功することができます。
もちろん、管理者はリモートルートアクセス権を持っています（パスワードなしのSSHキーベースの認証を変更して選択することをお勧めします）。また、私のユーザーIDはsudoersグループに割り当てられます。つまり、ファイルには次のもの/etc/sudoersがあります。
userid ALL=(ALL) NOPASSWD: ALL
WebメールクライアントとFirefoxアカウントにアクセスするためにパスワードを使用することを躊躇します。そしてもっと。
質問
外部Webサービスにアクセスするためのパスワードを自分以外の人から保護するにはどうすればよいですか？
たとえば、今権限があるので、
sudo実行中のキーロガーがないことをどうやって確認しますか？SSHキーに基づいて、パスワードなしでさまざまなサービスにアクセスできます。パスワードが記録されないように保護するにはどうすればよいですか？
このようなユースケースでは、2FAが外部サービスにアクセスするのは安全ですか？
「他の人がリモートでアクセスできるLinuxベースのコンピュータを使用するためのセキュリティ慣行」のコレクションはありますか
root？
答え1
あなたはできません。
rootユーザーはシステムへのフルアクセス権を持っています。これには、キーロガーを実行し、ファイルを読み込み、実行しているプログラムがユーザーインターフェイスに表示せずに操作を実行する可能性があります。可能何が起こるかはあなたの環境によって異なりますので、これについて話すことはできません。 2FAもセッションハイジャックの可能性のため安全ではありません。
通常、コンピュータが安全でないと思われる場合は、そのコンピュータを使用してサービスにアクセスしないでください。
答え2
私は受け入れられた答えが技術的に正確で、おそらく今日使用されている一般的なUnix / Linuxシステムの99％に適していると思います。それでも、私たちはより差別化された視点で問題にアプローチし、実際の問題を目指すことができます（「自分のコンピュータのすべての作業をルートで行うことはできません」ではなく、「自分自身をどのように保護しますか？」）。
@ceph3us接続https://security.stackexchange.com/questions/7801/keeping-secrets-from-root-on-linuxコメントに。この質問と回答は秘密保持の可能性について議論し、root今日公開されています。本当に妄想があり、コンピュータを再インストールする必要がある場合は、次のいずれかを試してください。つまり、SELinuxには非常に厳しい設定があります。
あなたの場合、SELinuxには大きな欠点があります。リモート管理者は、ユーザーのコンピュータを管理する必要があるため、リモート管理者です。これは彼らが意味する必要何でも完全に制御でき、基本的にセキュリティを維持することを含むコンピュータで何でもできます。これは技術的な問題ではなく、組織的な問題です。 SELinux がインストールされていても、操作を実行するにはまだフルアクセス権が必要です。
問題を解決するために、root質問を次のように変更しましょう。リモート管理者が実行する必要があるすべての操作（システムのセキュリティ側面の構成と強化を含む）を実行するのに十分な権限を持つリモート管理者は、システムのセキュリティ側面の外側にあります。定義によると。いかなる技術的措置もこれを変えることはできません。
したがって、実際に私が見ることができる唯一の角度は、最初から始まり、独自のインストールでマシンを再インストールすることです。今私の言葉を聞いてください。私が別の会社で経験した2つの状況があります。 1つは、ほとんどの人（主にUnixではない人）が気にしませんが、会社が認める場合です。一部有能で信頼できる人が自分のマシンを操作できます。あなたがこれらの1つであれば、あなたはあなたの自由のために彼らの潜在的なサービスを交換することです。あなたがマシンを買収した後、彼らはしばしばマシンのサポートを提供することを拒否します。これがまさにあなたが望むものです。
必要に応じてこれを強化することができ、以前の管理者は他のスクリプトキディと比較してコンピュータをハッキングする可能性は特に高くありません。
これらの会社は、内部LAN自体が特に安全な場所ではないことを理解しています。つまり、LANのすべてのシステム（会社の管理者チームによって強化されているにもかかわらず）を可能な攻撃者と見なします。この場合、彼らはおそらくあなた自身のものをインストールすることにあまり気にしません。
別のシナリオは、会社が単にこれを禁止することです。だとしたら今、その理由を調べてみましょう。彼らはあなたが機械を壊し、助けを求めるのを心配していますか？彼らはそうするのが難しいでしょう。あなたが自分の世話をすることを確信してください。ライセンスに問題がありますか？ Linuxでは？私はそうは思わない。彼らはあなたがインターネット上でマルウェアを実行したり物事をインストールしたりする可能性があると心配していますか？すでにこれを行うことができ、すでにrootアクセス権を持っています。キーロガー/スクリーンロガーが見ている間に機械に悪意のある作業を実行させることができると思いますか？まあ、あなたはおそらくNSAで働き、彼らは彼らの人々を監視します（冗談だけです。NSAの中で何が起こっているのかわかりません;）。
どこに行くのか理解してほしいです。自分のインストールを使用していてアクセス権がない場合よりも、そのインストール（自分がフルルートアクセス権を持っている場合）を使用する方が安全であると仮定する実際の理由はありません。
それらを説得しようとするか、または彼らがそれを信じない理由を見つけてください。おそらくそれはあなたに何かを教えてくれるでしょう。