Koja je razlika između sudo i su?

Prije nekoliko dana primio sam upit od Miguela, redovnog čitatelja blogova i kompulzivnog komentatora, u vezi s tim u čemu je tačno razlika sudo y su. Miguel je posebno bio zabrinut oko toga je li jedna metoda sigurnija od druge. Dogodi se da sam tamo to pročitao sudo nije bio dovoljno siguran i želio sam znati više. Ovo je još jedan post posvećen onima koji su tražili više članaka o terminalne misterije.

Su

Program su Omogućava vam upotrebu ljuske drugog korisnika bez odjave iz trenutne sesije. Obično se koristi za dobivanje root dozvola za administrativne operacije bez potrebe da se odjavite i ponovo uđete u sistem. Neka radna okruženja, uključujući GNOME i KDE, imaju programe koji grafički traže lozinku prije nego što dozvole korisniku da izvrši naredbu koja bi obično zahtijevala takav pristup.

Ime su dolazi iz engleskog szamjena ubiti (zamjenski korisnik). Postoje i oni zbog kojih to potiče superuser (super-korisnik, odnosno root ili administrator), jer se obično koristi za usvajanje uloge sistemskog administratora.

Kada trčite, su Traži lozinku računa kojem želite pristupiti, a ako je prihvaćena, daje pristup tom računu.

[guy @ localhost] $ vaša lozinka: [root @ localhost] # izlaz odjava [guy @ localhost] $

Ne stavljanjem korisnika, pristupa mu se kao administrator. Međutim, moguće je proslijediti i drugo korisničko ime kao parametar.

[guy @ localhost] $ su mongo Lozinka: [mongo @ localhost] # izlaz odjava [guy @ localhost] $

Jednom kada je lozinka unesena, možemo izvršavati naredbe kao da smo drugi korisnik. U pisanom obliku izlaz, vraćamo se našem korisniku.

Široko korišćena varijanta je upotreba su nakon čega slijedi crtica. Dakle, da biste se prijavili kao root, morate ući njegov - i da se prijavite kao drugi korisnik vaš - drugi korisnik. Razlika između upotrebe skripte ili ne? Preporučuje se korištenje skripte jer ona simulira da ćete se prijaviti s tim korisnikom; stoga izvršava sve datoteke za pokretanje tog korisnika, mijenja trenutni direktorij u DOM tog korisnika, mijenja vrijednost nekih sistemskih varijabli prilagođavajući ih novom korisniku (HOME, SHELL, TERM, USER, LOGNAME, između ostalog), i drugi više stvari.

Sysadmin mora biti vrlo oprezan pri odabiru lozinke za root / administratorski račun, kako bi izbjegao napad nepovlaštenog korisnika koji radi su. Neki sistemi slični Unixu nazivaju se korisničkom grupom točak, koji čine jedini koji mogu izvršiti su. To može ili ne mora smanjiti sigurnosne probleme, jer uljez može jednostavno preuzeti jedan od tih računa. On su GNU, međutim, ne podržava upotrebu te grupe; to je učinjeno iz filozofskih razloga.

Sudo

Povezana naredba, tzv sudo, izvršava naredbu kao drugi korisnik, ali poštujući niz ograničenja koja korisnici mogu izvršiti koje naredbe u ime kojih drugih korisnika (obično je navedeno u datoteci / etc / sudoers).

S druge strane, za razliku su, sudo traži od korisnika vlastitu lozinku umjesto potrebnog korisnika; To omogućava delegiranje naredbi korisnicima na drugim mašinama bez potrebe za dijeljenjem lozinki, smanjujući rizik od ostavljanja terminala bez nadzora.

Sudo problemi: grejs period

Prednost sudo u pogledu su je da izvršava samo traženu naredbu pretvarajući se da je drugi korisnik, a da zapravo ne mijenja trenutnog korisnika. To podrazumijeva da netko može izvršiti naredbu kao administrator i sljedeće sekunde imat će privilegije korisnika kojeg je koristio prije ... ili skoro.

Neki to vide kao kršenje sigurnosti sudo dodijeliti "period odgode" koji omogućava korisniku da izvršava naredbe kao drugi korisnik, bez potrebe za ponovnim unosom sudo ispred naredbe i lozinke nakon njenog izvršavanja. Nakon tog "grejs perioda", sudo ponovo će nas pitati lozinku.

Ovo je "loše", u osnovi zato što bi neko mogao preuzeti naš računar nakon unosa sudo lozinke i dok je "grejs period" aktivan, napravi KATASTROFU.

Srećom, moguće je onemogućiti "grejs period", što će poboljšati sigurnost vašeg sistema. Samo dodajte jedan red u datoteku / etc / sudoers:

sudo nano / etc / sudoers

I dodajte sljedeći redak na kraj datoteke:

Zadane postavke: ALL timestamp_timeout = 0

Promjena stupa na snagu odmah, bez potrebe za ponovnim pokretanjem sistema.