LPIC-1「セキュリティ」練習問題（29問・解説つき）

💡 /etc/shadowにパスワードハッシュと有効期限が保存され、rootのみ読めます。/etc/passwdは公開情報です。

💡 visudoは構文チェックとロックを行い/etc/sudoersを安全に編集します。直接viで編集すると破損の危険があります。

💡 SUIDは8進数で4000。-perm -4000 は4000ビットが立っているファイルにマッチします。2000はSGID、1000はスティッキービットです。

💡 ssh-keygen の -t で鍵の種類を指定します。-e は公開鍵のエクスポート、-l はフィンガープリント表示、ssh-add は秘密鍵をエージェントへ追加するコマンドです。

💡 接続を受けるサーバー上の ~/.ssh/authorized_keys に許可する公開鍵を記載します。known_hosts は接続先サーバーの鍵を記録するクライアント側ファイルです。

💡 ssh-add は実行中の ssh-agent に秘密鍵を登録します。ssh-copy-id は公開鍵をリモートの authorized_keys に転送するコマンドで用途が異なります。

💡 gpg --gen-key（または --full-generate-key）で鍵ペアを生成します。--import は鍵の取り込み、--sign は署名、--encrypt は暗号化を行います。鍵束は ~/.gnupg に保存されます。

💡 --encrypt（-e）と --recipient（-r）で受信者の公開鍵を指定して暗号化します。--symmetric は共通鍵（パスフレーズ）暗号で受信者指定は不要、--decrypt は復号です。

💡 ログインシェルを /sbin/nologin（または /bin/false）にすると対話的ログインを拒否できます。nologin は拒否メッセージを表示してから終了します。

💡 ss -tlnp は TCP(-t)・LISTEN(-l)・数値表示(-n)・プロセス情報(-p)を表示します。netstat の後継で、netstat -r はルーティングテーブル表示です。

💡 /etc/security/limits.conf（および limits.d/）で ulimit に対応するソフト/ハードのリソース制限をユーザーやグループ単位で恒久設定します。ulimit コマンドはセッション単位の設定です。

💡 TCP Wrapper はまず hosts.allow を調べ、一致すれば許可します。一致しなければ hosts.deny を調べ、一致すれば拒否、どちらにも一致しなければ許可します。

💡 SGIDは8進数で2000です。-perm -2000 は2000ビットが立っているファイルにマッチします。-4000はSUID、-1000はスティッキービット、-perm 2000（先頭の-なし）はパーミッションが完全一致のものだけを探します。

💡 chage（change age）はパスワードの最終変更日・最大有効日数・有効期限・警告日数などを対話的に設定します。引数なしの chage <ユーザー> で対話モードになり、chage -l で現在値を一覧できます。

💡 lastlog は /var/log/lastlog を参照し、全ユーザーの最終ログイン日時を一覧表示します。last は /var/log/wtmp を参照したログイン履歴、lastb は失敗ログイン（btmp）、faillog は失敗回数の管理です。

💡 lastb は /var/log/btmp を読み、失敗したログイン試行を表示します（root権限が必要）。last は成功した接続履歴（wtmp）、lastlog は各ユーザーの最終ログイン、who は現在のログイン状況を表示します。

💡 w はログイン中のユーザーに加え、稼働時間・負荷平均（uptime相当）や各ユーザーが実行中のコマンド（WHAT欄）も表示します。who は端末やログイン時刻のみ、users はユーザー名のみを表示します。

💡 sudo -l（list）は、sudoers の設定に基づき現在のユーザーが実行を許可されているコマンドの一覧を表示します。-u は実行ユーザーの指定、-k は認証タイムスタンプの破棄、-s はシェル起動です。

💡 NOPASSWD: タグを付けると、その後に指定したコマンドの実行時にパスワード入力が不要になります。NOPASSWD を付けない場合は実行のたびに本人のパスワードが要求されます。

💡 ulimit -n は同時にオープンできるファイル数（ファイルディスクリプタ数）を表示・設定します。-u はユーザーごとの最大プロセス数、-f は作成可能な最大ファイルサイズ、-c はコアファイルサイズです。

💡 lsof -i :22 はTCP/UDPの22番ポートに関連する接続とそれを開いているプロセスを表示します。-p はPID指定、-u はユーザー指定、+D はディレクトリ配下のオープンファイル列挙で、いずれもポート指定ではありません。

💡 fuser はファイルやソケットを使用しているプロセスを特定します。fuser -k で該当プロセスにシグナルを送って終了でき、fuser -n tcp 80 のようにポートも指定できます。ss はソケット表示専用、nmap はポートスキャナです。

💡 nmap はリモートホストに対してポートスキャンを行い、開いているポートや稼働中サービスを調査するツールです。ping は疎通確認、ss はローカルソケットの表示、netcat -l は待ち受け（リッスン）側の動作です。

💡 /etc/nologin が存在すると、一般ユーザーのログインが拒否され、ファイル内容がメッセージとして表示されます（root は許可）。作業終了後にファイルを削除すれば通常どおりログインできます。

💡 PermitRootLogin no を設定すると root による直接のSSHログインが禁止されます。PasswordAuthentication no はパスワード認証全体の無効化、X11Forwarding は X 転送の可否、AllowUsers は接続許可ユーザーの指定です。

💡 ssh-copy-id はローカルの公開鍵をリモートの ~/.ssh/authorized_keys へ追記し、パーミッションも適切に設定します。scp での手動コピーでも可能ですが、専用かつ確実なのは ssh-copy-id です。

💡 -Y は信頼されたX11転送（trusted）を有効にし、X11 SECURITY拡張の制限を緩めます。-X は制限付き（untrusted）の転送、-L はローカルポートフォワード、-N はリモートコマンドを実行しない接続です。

💡 gpg --import <鍵ファイル> で公開鍵を自分の鍵束（~/.gnupg）に取り込みます。--export は自分の鍵を書き出す逆操作、--list-keys は登録済み鍵の一覧、--verify は署名の検証です。

💡 whoami は実効ユーザー名を表示します。who はログイン中の全ユーザー、id -g は実効グループIDです。