Jaký je rozdíl mezi sudo a su?

Před několika dny jsem dostal dotaz od Miguela, pravidelného čtenáře blogu a nutkavého komentátora, týkajícího se jaký přesně je rozdíl mezi sudo y su. Miguela zejména znepokojovalo, zda je jedna metoda bezpečnější než druhá. Stává se, že jsem to tam četl sudo nebyl dostatečně bezpečný a chtěli vědět víc. Toto je další příspěvek věnovaný těm, kteří požádali o více článků o terminální tajemství.

Su

Program su umožňuje použít shell jiného uživatele bez odhlášení z aktuální relace. Běžně se používá k získání oprávnění root pro administrativní operace, aniž byste se museli odhlásit a znovu vstoupit do systému. Některá desktopová prostředí, včetně GNOME a KDE, mají programy, které graficky požadují heslo, než umožní uživateli provést příkaz, který by takový přístup obvykle vyžadoval.

Název su pochází z angličtiny svšudypřítomný ubýt (náhradní uživatel). Jsou také takoví, kteří to dělají superuser (superuživatel, tj. uživatel root nebo správce), protože se obvykle používá k převzetí role správce systému.

Když běžíš, su Požádá o heslo k účtu, ke kterému chcete získat přístup, a pokud je přijato, poskytuje přístup k tomuto účtu.

[guy @ localhost] $ vaše heslo: [root @ localhost] # odhlášení odchodu [guy @ localhost] $

Pokud uživatele nezadáte, přistupuje se k němu jako ke správci. Je však také možné předat jiné uživatelské jméno jako parametr.

[guy @ localhost] $ su mongo Heslo: [mongo @ localhost] # odhlášení odchodu [guy @ localhost] $

Po zadání hesla můžeme provádět příkazy, jako bychom byli druhým uživatelem. Při psaní výstup, vracíme se k našemu uživateli.

Široce používanou variantou je použití su následovaná pomlčkou. Abyste se mohli přihlásit jako root, musíte vstoupit su - a přihlásit se jako jiný uživatel váš - jiný uživatel. Rozdíl mezi používáním skriptu nebo ne? Doporučuje se použít skript, protože simuluje, že se budete přihlašovat pomocí daného uživatele; proto provede všechny spouštěcí soubory daného uživatele, změní aktuální adresář na HOME daného uživatele, změní hodnotu některých systémových proměnných a přizpůsobí je novému uživateli (HOME, SHELL, TERM, USER, LOGNAME, mimo jiné) a ostatní více věcí.

Sysadmin by měl být při výběru hesla pro účet root / administrátor velmi opatrný, aby se vyhnul útoku spuštěného neprivilegovaného uživatele su. Některé systémy podobné Unixu mají skupinu uživatelů s názvem kolo, který zahrnuje pouze ty, kteří mohou vykonávat su. To může nebo nemusí snížit obavy o zabezpečení, protože vetřelec by mohl jeden z těchto účtů jednoduše převzít. On su GNU však použití této skupiny nepodporuje; to bylo provedeno z filozofických důvodů.

Sudo

Související příkaz, tzv sudo, provede příkaz jako jiný uživatel, ale respektuje řadu omezení, podle kterých mohou uživatelé provádět které příkazy jménem ostatních uživatelů (obvykle zadané v souboru / etc / sudoers).

Na druhou stranu, na rozdíl od su, sudo vyzve uživatele k zadání vlastního hesla namísto požadovaného uživatele; to umožňuje delegování příkazů na uživatele na jiných počítačích bez nutnosti sdílení hesel, což snižuje riziko ponechání terminálů bez dozoru.

Problémy se sudem: období odkladu

Výhodou sudo ve vztahu k su je, že provede pouze požadovaný příkaz předstírá, že je druhým uživatelem, aniž by ve skutečnosti změnil aktuálního uživatele. To znamená, že je možné provést příkaz jako správce a v další sekundě bude mít oprávnění uživatele, kterého používal dříve ... nebo téměř.

Někteří vidí narušení bezpečnosti skutečnost, že sudo udělit "období odkladu", které uživateli umožňuje vykonávat příkazy jako jiný uživatel bez nutnosti opakovaně zadávat sudo před příkaz a heslo po jeho provedení. Po tomto „období odkladu“, sudo nás znovu požádá o heslo.

To je „špatné“, v podstatě proto, že by někdo mohl převzít náš počítač poté, co jsme zadali heslo sudo a během aktivní „odkladné lhůty“ udělat KATASTROFU.

Naštěstí je možné deaktivovat „ochrannou lhůtu“, což zlepší zabezpečení vašeho systému. Stačí přidat jeden řádek do souboru / etc / sudoers:

sudo nano / etc / sudoers

A na konec souboru přidejte následující řádek:

Výchozí: ALL timestamp_timeout = 0

Změna se projeví okamžitě, bez nutnosti restartovat systém.