Kāda ir atšķirība starp sudo un su?

Pirms dažām dienām es saņēmu vaicājumu no parastā emuāra lasītāja un kompulsīvā komentētāja Migela kāda īsti ir atšķirība sudo y su. Īpaši Migels bija noraizējies par to, vai viena metode ir drošāka nekā otra. Gadās, ka es to biju tur izlasījis sudo nebija pietiekami drošs un vēlējās uzzināt vairāk. Šī ir vēl viena ziņa, kas veltīta tiem, kuri lūdza vairāk rakstu par termināla noslēpumi.

Su

Programma su Ļauj izmantot cita lietotāja čaulu, neizrakstoties no pašreizējās sesijas. To parasti izmanto, lai iegūtu root atļaujas administratīvām darbībām, neizrakstoties un atkārtoti neiekļūstot sistēmā. Dažās darbvirsmas vidēs, tostarp GNOME un KDE, ir programmas, kas grafiski prasa paroli, pirms ļauj lietotājam izpildīt komandu, kurai parasti nepieciešama šāda piekļuve.

Nosaukums su nāk no angļu valodas saizvietotājs ube (aizstāj lietotājs). Ir arī tādi, kas liek to iegūt saugšupuser (superlietotājs, tas ir, root vai administratora lietotājs), jo to parasti izmanto, lai pieņemtu sistēmas administratora lomu.

Kad jūs skrienat, su Tas prasa tā konta paroli, kuram vēlaties piekļūt, un, ja tas tiek pieņemts, tas dod piekļuvi šim kontam.

[guy @ localhost] $ jūsu parole: [root @ localhost] # iziet no pieteikšanās [guy @ localhost] $

Neievietojot lietotāju, tam piekļūst kā administratoram. Tomēr kā parametru ir iespējams nodot arī citu lietotājvārdu.

[guy @ localhost] $ su mongo Parole: [mongo @ localhost] # iziet no logout [guy @ localhost] $

Kad parole ir ievadīta, mēs varam izpildīt komandas tā, it kā mēs būtu otrs lietotājs. Rakstiski izeja, mēs atgriežamies pie sava lietotāja.

Izmantot ir plaši izmantots variants su kam seko domuzīme. Tādējādi, lai pieteiktos kā root, jums jāievada viņa - un pieteikties kā cits lietotājs tavs cits lietotājs. Atšķirība starp skripta lietošanu vai nē? Ieteicams izmantot skriptu, jo tas simulē, ka jūs piesakāties ar šo lietotāju; tāpēc tas izpilda visus šī lietotāja startēšanas failus, maina pašreizējo direktoriju uz šī lietotāja HOME, maina dažu sistēmas mainīgo vērtību, pielāgojot tos jaunajam lietotājam (cita starpā HOME, SHELL, TERM, USER, LOGNAME) un citi vairāk lietu.

Sysadmin ir jābūt ļoti piesardzīgam, izvēloties paroli root / administratora kontam, lai izvairītos no privileģēta lietotāja uzbrukuma su. Dažām Unix līdzīgām sistēmām ir izsaukta lietotāju grupa stūre, kurā ietilpst vienīgie, kas var izpildīt su. Tas var samazināt vai nesamazināt drošības problēmas, jo iebrucējs var vienkārši pārņemt vienu no šiem kontiem. Viņš su GNU tomēr neatbalsta šīs grupas izmantošanu; tas tika darīts filozofisku apsvērumu dēļ.

Sudo

Saistīta komanda, saukta sudo, izpilda komandu kā cits lietotājs, taču ievēro virkni ierobežojumu, kuriem lietotāji var izpildīt kādas komandas kuru citu lietotāju vārdā (parasti norādīts failā) / etc / sudoers).

No otras puses, atšķirībā su, sudo pieprasa lietotājiem ievadīt savu paroli vajadzīgā lietotāja vietā; tas ļauj deleģēt komandas lietotājiem citās mašīnās bez koplietošanas ar parolēm, samazinot risku, ka termināli tiks atstāti bez uzraudzības.

Sudo problēmas: labvēlības periods

Priekšrocība sudo Cieņā su ir tas, ka tā izpilda tikai pieprasīto komandu, uzdodoties par otru lietotāju, faktiski nemainot pašreizējo lietotāju. Tas nozīmē, ka komandu var izpildīt kā administratoru, un nākamajā sekundē viņiem būs tā lietotāja privilēģijas, kuru viņi izmantoja iepriekš ... vai gandrīz.

Daži to uzskata par drošības pārkāpumu sudo piešķirt "labvēlības periodu", kas ļauj lietotājam izpildīt komandas kā citam lietotājam bez nepieciešamības pēc komandas izpildes atkārtoti ievadīt sudo komandas un paroles priekšā. Pēc šī "labvēlības perioda" sudo vēlreiz lūgs mums paroli.

Tas ir "slikti", būtībā tāpēc, ka kāds varētu pārņemt mūsu datoru pēc tam, kad būsim ievadījuši sudo paroli un kamēr būs aktīvs "labvēlības periods", izveidojiet KATASTROTU.

Par laimi ir iespējams atspējot "labvēlības periodu", kas uzlabos jūsu sistēmas drošību. Vienkārši pievienojiet failā vienu rindu / etc / sudoers:

sudo nano / etc / sudoers

Un faila beigās pievienojiet šādu rindu:

Noklusējumi: ALL timestamp_timeout = 0

Izmaiņas stājas spēkā nekavējoties, bez nepieciešamības restartēt sistēmu.