Каква е разликата между sudo и su?

Преди няколко дни получих запитване от Мигел, редовен читател на блогове и компулсивен коментатор, относно каква точно е разликата между Sudo y su. По-специално, Мигел беше загрижен за това дали единият метод е по-сигурен от другия. Случва се, че бях прочел там това sudo не беше достатъчно безопасен и исках да знам повече. Това е друга публикация, посветена на тези, които поискаха още статии за терминални загадки.

Su

Програмата su Позволява ви да използвате обвивка на друг потребител, без да излизате от текущата сесия. Често се използва за получаване на root права за административни операции, без да се налага да излизате и да влизате отново. Някои среди на работния плот, включително GNOME и KDE, имат програми, които графично изискват парола, преди да позволят на потребителя да изпълни команда, която обикновено изисква такъв достъп.

Името su идва от английски sубиец ube (заместващ потребител). Има и такива, които го карат да произтича от superuser (суперпотребител, т.е. потребител на root или администратор), тъй като обикновено се използва за приемане на ролята на системен администратор.

Когато тичаш, su Той иска паролата на акаунта, до който искате да влезете, и ако бъде приет, той дава достъп до този акаунт.

[guy @ localhost] $ вашата парола: [root @ localhost] # изход за изход [guy @ localhost] $

Като не поставите потребител, той е достъпен като администратор. Възможно е обаче да се предаде и друго потребителско име като параметър.

[guy @ localhost] $ su mongo Парола: [mongo @ localhost] # изход за излизане [guy @ localhost] $

След като въведете паролата, можем да изпълняваме командите, сякаш сме другият потребител. Писмено изход, ние се връщаме към нашия потребител.

Широко използван вариант е да се използва su последвано от тире. По този начин, за да влезете като root, трябва да влезете su - и да влезете като друг потребител вашият - друг потребител. Разликата между използването на скрипта или не? Препоръчително е да използвате скрипта, защото той симулира, че ще влезете с този потребител; следователно изпълнява всички стартови файлове на този потребител, променя текущата директория на HOME на този потребител, променя стойността на някои системни променливи, като ги адаптира към новия потребител (HOME, SHELL, TERM, USER, LOGNAME, наред с други), и други още неща.

Сисадминът трябва да бъде много внимателен при избора на парола за root / администраторския акаунт, за да избегне атака от работещ непривилегирован потребител su. Някои подобни на Unix системи имат потребителска група, наречена колело, който включва единствените, които могат да изпълнят su. Това може или не може да намали опасенията за сигурността, тъй като нарушителят може просто да поеме един от тези акаунти. Той su GNU обаче не подкрепя използването на тази група; това беше направено по философски причини.

Sudo

Свързана команда, наречена Sudo, изпълнява команда като друг потребител, но спазвайки поредица от ограничения относно това кои потребители могат да изпълняват кои команди от името на кои други потребители (обикновено се посочват във файла / и т.н. / sudoers).

От друга страна, за разлика su, Sudo подканва потребителите за собствена парола вместо необходимия потребител; Това позволява делегирането на команди на потребители на други машини, без да се налага да споделят пароли, намалявайки риска от оставяне на терминали без надзор.

Судо проблеми: гратисният период

Предимството на Sudo с уважение към su е, че той изпълнява само исканата команда, представяйки се за другия потребител, без всъщност да променя текущия потребител. Това предполага, че човек може да изпълни команда като администратор и в следващата секунда той ще има привилегиите на потребителя, който е използвал преди ... или почти.

Някои виждат като нарушение на сигурността факта, че Sudo предоставят „гратисен период“, който позволява на потребителя да изпълнява команди като друг потребител, без да е необходимо многократно да въвежда sudo пред командата и паролата след изпълнението им. След този "гратисен период", Sudo ще ни попита паролата отново.

Това е "лошо", по същество, защото някой може да поеме компютъра ни след въвеждане на паролата за sudo и докато е активен "гратисният период", направете КАТАСТРИСТА

За щастие е възможно да деактивирате „гратисния период“, което ще подобри сигурността на вашата система. Просто добавете един ред във файла / и т.н. / sudoers:

sudo nano / etc / sudoers

И добавете следния ред в края на файла:

По подразбиране: ALL timestamp_timeout = 0

Промяната влиза в сила незабавно, без да е необходимо да рестартирате системата.