Qual'è la differenza tra sudo e su?

Pochi giorni fa ho ricevuto una domanda da Miguel, un regolare lettore di blog e commentatore compulsivo, in merito qual è esattamente la differenza tra sudo y su. In particolare, Miguel era preoccupato se un metodo fosse più sicuro dell'altro. Succede che l'avevo letto là fuori sudo non era abbastanza sicuro e volevo saperne di più. Questo è un altro post dedicato a chi chiedeva più articoli su misteri terminali.

Su

Il programma su Consente di utilizzare la shell di un altro utente senza disconnettersi dalla sessione corrente. Viene comunemente utilizzato per ottenere i permessi di root per le operazioni amministrative senza dover disconnettersi e accedere nuovamente. Alcuni ambienti desktop, inclusi GNOME e KDE, hanno programmi che chiedono graficamente una password prima di consentire all'utente di eseguire un comando che normalmente richiederebbe tale accesso.

Il nome su viene dall'inglese ssostituto ube (utente sostitutivo). C'è anche chi lo fa derivare superuser (superutente, cioè l'utente root o amministratore) poiché viene solitamente utilizzato per adottare il ruolo di amministratore di sistema.

Quando corri su Chiede la password dell'account a cui si desidera accedere e, se viene accettata, dà accesso a quell'account.

[guy @ localhost] $ la tua password: [root @ localhost] # esci dal logout [guy @ localhost] $

Non inserendo un utente, accedi come amministratore. Tuttavia, è anche possibile passare un altro nome utente come parametro.

[guy @ localhost] $ su mongo Password: [mongo @ localhost] # esci dal logout [guy @ localhost] $

Una volta inserita la password, possiamo eseguire i comandi come se fossimo l'altro utente. Per iscritto exit, torniamo al nostro utente.

Una variante ampiamente utilizzata è quella di utilizzare su seguito da un trattino. Quindi, per accedere come root, devi entrare il suo - e per accedere come un altro utente tuo - altro utente. La differenza tra usare lo script o no? Si consiglia di utilizzare lo script perché simula che effettuerai il login con quell'utente; quindi, esegue tutti i file di avvio di quell'utente, cambia la directory corrente in HOME di quell'utente, cambia il valore di alcune variabili di sistema adattandole al nuovo utente (HOME, SHELL, TERM, USER, LOGNAME, tra gli altri), e altri più cose.

Un amministratore di sistema deve fare molta attenzione quando sceglie una password per l'account root / amministratore, per evitare un attacco da parte di un utente non privilegiato in esecuzione su. Alcuni sistemi simili a Unix hanno un gruppo di utenti chiamato ruota, che comprende gli unici che possono eseguire su. Ciò può o meno ridurre i problemi di sicurezza, poiché un intruso potrebbe semplicemente rilevare uno di quegli account. Lui su GNU, tuttavia, non supporta l'uso di quel gruppo; questo è stato fatto per ragioni filosofiche.

sudo

Un comando correlato, chiamato sudo, esegue un comando come un altro utente, ma rispettando una serie di restrizioni su cui gli utenti possono eseguire quali comandi per conto di quali altri utenti (solitamente specificati nel file / etc / sudoers).

D'altra parte, a differenza su, sudo richiede agli utenti la propria password invece dell'utente richiesto; Ciò consente la delega dei comandi agli utenti su altre macchine senza dover condividere le password, riducendo il rischio di lasciare i terminali incustoditi.

Problemi di Sudo: il periodo di grazia

Il vantaggio di sudo nel rispetto di su è che esegue solo il comando richiesto fingendo di essere l'altro utente, senza effettivamente cambiare l'utente corrente. Ciò implica che si può eseguire un comando come amministratore e, il secondo successivo, avranno i privilegi dell'utente che stavano utilizzando prima ... o quasi.

Alcuni vedono come una violazione della sicurezza il fatto che sudo concedere un "periodo di grazia" che consente all'utente di eseguire comandi come un altro utente senza la necessità di inserire ripetutamente sudo davanti al comando e alla password dopo averlo eseguito. Dopo quel "periodo di grazia", sudo ci chiederà di nuovo la password.

Questo è "cattivo", essenzialmente perché qualcuno potrebbe prendere il controllo del nostro computer dopo che abbiamo inserito la password sudo e mentre il "periodo di grazia" è attivo fare un DISASTRO.

Fortunatamente, è possibile disabilitare il "periodo di grazia", ​​che migliorerà la sicurezza del tuo sistema. Basta aggiungere una riga nel file / etc / sudoers:

sudo nano / etc / sudoers

E aggiungi la seguente riga alla fine del file:

Impostazioni predefinite: ALL timestamp_timeout = 0

La modifica ha effetto immediato, senza la necessità di riavviare il sistema.