su -

azert en el tudok kepzelni. pl otthagyod a konzolt valaki odaul es sudo-val egybol root lesz. persze annak ugy kell aki otthogy barmilyen konzolt lezaras nelkul

Csak gondolatébresztés, nyilván mindbe bele lehet kötni.

- Tfh sudo/su nem kér jelszót, ebben az esetben bármilyen process ami sudo/su-ra jogosult felhasználó nevében fut, root szintű kódot tud futtatni. Persze el lehet képzelni olyan ideális szervert, amiben nincsenek bugok, de olyat max a vasorrú bábának telepített Jancsika a mesében.
- Mi a helyzet például egy SSH exploittal? Vagy mondjuk ha van hiba az RSA/DSA algoritmus implementálásában, és kiderül, hogy törhető?

Én jobban alszom a tudattal, hogy nem csak 1 jelszót kell megtörniük, ráadásul idő ez is, és jobbak az esélyek, hogy elkapható a behatoló még mielőtt sikerülne neki root-tá válnia. Biztonságból szerintem sosem elég. Nyilván vannak profik akik ellen nincs mit kezdeni, de ha bonyolult a biztonsági rendszered, azzal kiszűrheted azokat a crackereket, akik csak erőforrás miatt törnek (találnak könnyebb célpontot).

... hogy eljussunk oda, ahova emberi kéz még nem tette be a lábát.

A su - önmagában, ha n>1 ember csinálhatja, közös ló, melynek a háta közismerten túrós, emiatt általában nem javasolt a használata ott, ahol a biztonság és a letagadhatatlanság fontos.
A sudo su - avagy a sudo su - foo megintcsak a "Ki, milyen parancsot adott ki?/Ki adta ki az xxxx parancsot?" kérdésre nem ad választ...

Ami jó szokott lenni, az a korrekten behangolt sudo környezet bedrótozott parancsokkal -- ekkor nyugodtan el lehet hagyni a jelszókérést -- a keylogger problémára is gondolva (ssh bejelentkezés, mondjuk pendrive-on lévő kulcsot használva, mely kulcsnak ugyan le lehet keylogolni :) a passphrase-ét, de a kulcs elrakása nélkül nem ér semmit vele a logger...).

Ja, és a sudo mellett a suedit-et is alaposan körbe kell járni, mit, milyen editorral, hogyan szerkeszthet (szerkeszti root-joggal az "a" fájlt, aztán save as "rosszatcsinaltamlogja.log" -- a sudo logja ne legyen a lokális gépen, hanem egy másikon, ahol az itteni sudo-joggal bírók max. sima userek, sudo jog nélkül és viszont)