Безопасность

Автор: Туманов Александр, Редактор: Летописец, Дата: 2026-10-19

Безопасность — раздел о том, как система решает, кого пускать, что кому разрешено и как это записать так, чтобы потом можно было проверить.

Начинать здесь стоит не с шифров, а с входа: пока непонятно, кто и как попадает в систему, остальное — теория. Поэтому раздел открывают три темы, идущие одна за другой: вход в систему, PAM, SSSD.

С чего начать

Вход в систему — что происходит после того, как systemd поднял службы: приглашение login в терминале и форма входа GNOME. Здесь же — сессии, loginctl и что делать, если вход потерян.
PAM — подсистема, которая решает «пускать или нет»: стек, контрольные флаги, модули (pam_unix, pam_sss), отладка.
SSSD — учётные записи не из файлов, а из домена: AD, LDAP, FreeIPA; подключение ноутбука к домену и работа без сети.

Дальше — по необходимости: учётные записи на машине, доступ по сети, шифрование, журналирование.

Учётки и права

Управление пользователями — создание, изменение, блокировка, пароли: useradd, usermod, userdel, passwd, groupadd.
Структура файла /etc/passwd — что означают поля и где хеши паролей.
Права доступа — права на файлы и каталоги, владельцы, chmod/chown.

Доступ по сети

SSH — подключение к серверу, ключи, authorized_keys, sshd_config, алгоритмы и стандарты (RFC).
OpenSSL — сертификаты, ключи, шифры: req, x509, rsautl, свой удостоверяющий центр.
Kerberos — билеты, kinit/klist: основа единого входа в домене.
LDAP — каталог и утилиты ldapsearch, ldapmodify.
IPsec — защита самого канала, а не приложения.

Наблюдение и след

Журналирование — куда пишутся события: категории (facility), фильтры, отправка по почте, запись в MySQL.
Аудит событий — кто что сделал в системе.
Поиск приложений — слежение за изменениями файлов как средство заметить лишнее.

Защита данных

Защита информации — шифрование данных на диске и в файлах.

Что уехало из этого раздела

Инструменты разработки и отладки (gdb, strace, valgrind, профилирование, сборка) переехали туда, где им место по смыслу: «Инструменты разработчика» в разделе «Программирование». Раньше они лежали здесь просто потому, что были в старом коде.

Как читать раздел

Три правила, которых придерживается каждый материал:

команды проверяются на живой системе — если этого не делали, в конце статьи есть раздел «Что ещё не проверено»;
у каждого параметра указан источник — man-страница или файл, с которого снят пример;
опасное помечено как опасное: правка PAM, сброс пароля, монтирование, смена владельца.

Что ещё не проверено

Раздел собран из материалов на Ubuntu 26.04 с GNOME. Имена файлов и пути в других дистрибутивах отличаются, хотя принципы те же.
План развития раздела: перепроверить старые страницы (ssh, ssl, rsyslog) на актуальность команд, привести их к тому же виду, что новые (login, pam, sssd), и перенести материалы из legacy-кода, где встречаются устаревшие утилиты.

Оценка статьи 0