Apa perbedaan antara sudo dan su?

Beberapa hari yang lalu saya menerima pertanyaan dari Miguel, seorang pembaca blog biasa dan pemberi komentar kompulsif, mengenai apa sebenarnya perbedaan antara sudo y su. Secara khusus, Miguel prihatin tentang apakah satu metode lebih aman daripada yang lain. Kebetulan saya telah membaca itu sudo tidak cukup aman dan ingin tahu lebih banyak. Ini adalah posting lain yang didedikasikan untuk mereka yang meminta lebih banyak artikel tentang misteri terminal.

Su

Programnya su Memungkinkan Anda menggunakan shell pengguna lain tanpa keluar dari sesi saat ini. Ini biasanya digunakan untuk mendapatkan izin root untuk operasi administratif tanpa harus keluar dan masuk kembali ke sistem. Beberapa lingkungan desktop, termasuk GNOME dan KDE, memiliki program yang secara grafis meminta kata sandi sebelum mengizinkan pengguna untuk menjalankan perintah yang biasanya memerlukan akses tersebut.

Nama su berasal dari bahasa Inggris spengganti ujadilah (pengguna pengganti). Ada juga yang membuatnya berasal dari superuser (pengguna super, yaitu pengguna root atau administrator) karena biasanya digunakan untuk mengadopsi peran administrator sistem.

Saat kamu lari, su Ini meminta kata sandi akun yang ingin Anda akses, dan jika diterima, itu memberi akses ke akun itu.

[guy @ localhost] $ Sandi Anda: [root @ localhost] # keluar keluar [guy @ localhost] $

Dengan tidak menempatkan pengguna, itu diakses sebagai administrator. Namun, dimungkinkan juga untuk memberikan nama pengguna lain sebagai parameter.

[guy @ localhost] $ su mongo Sandi: [mongo @ localhost] # keluar logout [guy @ localhost] $

Setelah kata sandi dimasukkan, kita dapat menjalankan perintah seolah-olah kita adalah pengguna lain. Secara tertulis keluar, kami kembali ke pengguna kami.

Varian yang banyak digunakan adalah untuk digunakan su diikuti dengan tanda hubung. Jadi, untuk masuk sebagai root, Anda harus masuk su - dan masuk sebagai pengguna lain Anda - pengguna lain. Perbedaan antara menggunakan script atau tidak? Direkomendasikan untuk menggunakan skrip karena ini mensimulasikan bahwa Anda akan masuk dengan pengguna tersebut; oleh karena itu, ia mengeksekusi semua file startup pengguna itu, mengubah direktori saat ini ke HOME pengguna tersebut, mengubah nilai beberapa variabel sistem yang mengadaptasinya ke pengguna baru (antara lain HOME, SHELL, TERM, USER, LOGNAME), dan orang lain lebih banyak hal.

Seorang sysadmin harus sangat berhati-hati saat memilih kata sandi untuk akun root / administrator, untuk menghindari serangan oleh pengguna yang tidak memiliki hak istimewa yang sedang menjalankan su. Beberapa sistem mirip Unix memiliki grup pengguna yang disebut roda, yang terdiri dari satu-satunya yang bisa mengeksekusi su. Ini mungkin atau mungkin tidak mengurangi masalah keamanan, karena penyusup bisa saja mengambil alih salah satu akun tersebut. Dia su GNU, bagaimanapun, tidak mendukung penggunaan grup itu; ini dilakukan karena alasan filosofis.

Sudo

Perintah terkait, disebut sudo, menjalankan perintah sebagai pengguna lain, tetapi mematuhi serangkaian batasan di mana pengguna dapat menjalankan perintah mana yang atas nama pengguna lain (biasanya ditentukan dalam file / etc / sudoers).

Di sisi lain, tidak seperti su, sudo meminta pengguna untuk memasukkan sandi mereka sendiri, bukan pengguna yang diminta; ini memungkinkan pendelegasian perintah kepada pengguna di mesin lain tanpa harus membagikan kata sandi, mengurangi risiko meninggalkan terminal tanpa pengawasan.

Masalah Sudo: masa tenggang

Keuntungan dari sudo mengenai su adalah bahwa ia hanya menjalankan perintah yang diminta dengan berpura-pura menjadi pengguna lain, tanpa benar-benar mengubah pengguna saat ini. Ini menyiratkan bahwa seseorang dapat menjalankan perintah sebagai administrator dan, detik berikutnya, mereka akan memiliki hak istimewa pengguna yang mereka gunakan sebelumnya ... atau hampir.

Beberapa melihat fakta sebagai pelanggaran keamanan sudo berikan "masa tenggang" yang memungkinkan pengguna untuk menjalankan perintah sebagai pengguna lain tanpa perlu berulang kali memasukkan sudo di depan perintah dan sandi setelah menjalankannya. Setelah "masa tenggang" itu, sudo akan menanyakan kata sandi kami lagi.

Ini "buruk", pada dasarnya karena seseorang dapat mengambil alih komputer kita setelah memasukkan kata sandi sudo dan saat "masa tenggang" aktif, buat BENCANA.

Untungnya, adalah mungkin untuk menonaktifkan "masa tenggang", yang akan meningkatkan keamanan sistem Anda. Cukup tambahkan satu baris di file / etc / sudoers:

sudo nano / etc / sudoers

Dan tambahkan baris berikut ke akhir file:

Default: SEMUA timestamp_timeout = 0

Perubahan segera berlaku, tanpa perlu memulai ulang sistem.