Accessi e privilegi

Accesso SSH

Policy desiderata:

• solo il proprietario via SSH;
• in futuro al massimo una seconda persona fidata;
• root login disabilitato;
• password SSH disabilitata;
• accesso solo con chiave;
• una chiave per persona/macchina;
• nessuna chiave condivisa;
• revoca semplice.

Da verificare con root:

sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication|pubkeyauthentication|kbdinteractiveauthentication'

Lo stato atteso e':

permitrootlogin no
passwordauthentication no
pubkeyauthentication yes
kbdinteractiveauthentication no

Sudo

In questa sessione:

sudo -n true -> sudo: a password is required

Gli script Obelica usano sudo -n. Se manca il privilegio non interattivo, il controllo diventa UNKNOWN, non FAIL.

Questo e' intenzionale: una sessione non-root non deve mascherare un problema reale, ma nemmeno inventarlo.

Docker group

bona appartiene al gruppo docker.

Il socket Docker e':

/var/run/docker.sock root:docker 660

Questo e' operativamente equivalente a root. Chi puo' controllare Docker puo' montare path host, leggere dati e modificare il sistema.

Policy attuale:

• bona puo' operare Docker;
• non aggiungere utenti al gruppo docker con leggerezza;
• documentare ogni utente futuro;
• non aggiungere passwordless sudo ampio solo per comodita;
• preferire automazioni root-owned o permessi stretti quando serviranno job schedulati.

Obelica Tools su Mac

Il CLI Rust obelica automatizza ssh:

• non salva password;
• non salva token;
• non conosce IP se si usa alias obelica-prod;
• riusa agent, keychain, known_hosts e ~/.ssh/config.

E' sicuro quanto la chiave SSH e il Mac da cui viene eseguito.

Hardening consigliato sul Mac:

• chiave dedicata per Obelica;
• passphrase sulla chiave;
• IdentitiesOnly yes nel blocco SSH;
• installare il CLI solo dal repo Forgejo trusted.