Що за дивина з root?

[noddeat]

Для початку треба ще ім'я користувача вгадати, це перше. По друге, щоб увійти в систему, де є ті ключі теж треба логін та пароль вгадати. Залишається єдиний варіант - LiveCD. Але треба ще на біос пароль вгадати, або встановити диск у інший комп або ноут. Та й навіть отримання шел доступу до безправного користувача через ключ ще не надає можливості щось зробити - треба знати пароль щоб зробити sudo або su.

+1
у нас додатковий захист стоїть - доступ до ssh лише з певних ІР, прописаних у hosts.allow
так само, юзаю ключі та su з паролем

[Володимир Лісівка]

Вищенаведений приклад стосувався системи в якій доволі часто виникає потреба перемикатися між рутом та звичайним користувачем. Особисто для мене -- це десктоп. В цьому випадку зручність на першому місці, і su без пароля виглядає набагато доречніше ніж sudo+<ще_якийсь_там_пароль>.

Перевага sudo над su що sudo дозволяє вказати які команди виконувати без паролю користувача, які з паролем, а які взагалі не виконувати. В sudo теж легко відкоментовується один рядок і він перестає питати пароль для групи wheel.

Звісно, від ssh-ключів ніхто не відмовляється. Проте можливість автоматичного (я ж так розумію passphrase не використовуєте) входу на сервер під користувачем без обмеження набору команд (з /bin/bash в /etc/passwd) -- це потенціальна дірка і при певному рівні вимог до безпеки системи за це слід надавати по рогах. Використання ssh-ключів -- це вибухонебезпечна розкіш, а ви використовуєте їх на сервері. Схоже, у нас різні погляди на термін "збочення"

Ключ - це заміна паролю і не більше. Пароль для ключа треба вводити тільки один раз - при першому використанні, далі ssh-agent ним займається сам. А з допомогою pam-ssh можна використовувати лише один пароль на все: http://pam-ssh.sourceforge.net/ .

[Абрамчук Вадим]

Для того, щоб щось зробити, не обов'язково мати рута. Я от свого часу скомуніздив на сервері хеші паролів, не маючи на те прав. Просто один з адмінів лишив бекап /etc в себе з правами на читання (я працював від nobody, нашвидкоруч написав файл-менеджер і запустив його з Apache+PHP).