Apakah perbezaan antara sudo dan su?

Beberapa hari yang lalu saya menerima pertanyaan dari Miguel, pembaca blog biasa dan komentator kompulsif, mengenai apa sebenarnya perbezaan antara sudo y su. Secara khusus, Miguel bimbang apakah satu kaedah lebih selamat daripada yang lain. Ia berlaku bahawa saya telah membaca di luar sana bahawa sudo tidak cukup selamat dan ingin mengetahui lebih lanjut. Ini adalah satu lagi catatan yang dikhaskan untuk mereka yang meminta lebih banyak artikel mengenai misteri terminal.

Su

Program ini su Membolehkan anda menggunakan shell pengguna lain tanpa keluar dari sesi semasa. Ia biasanya digunakan untuk mendapatkan kebenaran root untuk operasi pentadbiran tanpa perlu log keluar dan log masuk semula. Beberapa persekitaran desktop, termasuk GNOME dan KDE, mempunyai program yang meminta kata sandi secara grafik sebelum memungkinkan pengguna untuk melaksanakan perintah yang biasanya memerlukan akses tersebut.

Nama su berasal dari bahasa Inggeris ssuka-suka umenjadi (pengguna gantian). Ada juga yang membuatnya berasal sUperuser (pengguna super, iaitu root atau pengguna pentadbir) kerana biasanya digunakan untuk mengambil peranan sebagai pentadbir sistem.

Semasa anda berlari, su Ini meminta kata laluan akaun yang ingin anda akses, dan jika diterima, ia memberikan akses ke akaun tersebut.

[lelaki @ localhost] $ Kata Laluan anda: [root @ localhost] # log keluar keluar [lelaki @ localhost] $

Dengan tidak meletakkan pengguna, ia diakses sebagai pentadbir. Namun, mungkin juga untuk memberikan nama pengguna lain sebagai parameter.

[lelaki @ localhost] $ su mongo Kata Laluan: [mongo @ localhost] # log keluar keluar [lelaki @ localhost] $

Setelah kata laluan dimasukkan, kita dapat menjalankan perintah seolah-olah kita pengguna lain. Dalam penulisan keluar, kami kembali kepada pengguna kami.

Varian yang banyak digunakan adalah untuk digunakan su diikuti dengan tanda sempang. Oleh itu, untuk log masuk sebagai root, anda mesti memasukkan miliknya - dan untuk log masuk sebagai pengguna lain anda - pengguna lain. Perbezaan antara menggunakan skrip atau tidak? Sebaiknya gunakan skrip kerana ia mensimulasikan bahawa anda akan log masuk dengan pengguna tersebut; oleh itu, ia melaksanakan semua fail permulaan pengguna tersebut, mengubah direktori semasa ke HOME pengguna itu, mengubah nilai beberapa pemboleh ubah sistem yang menyesuaikannya dengan pengguna baru (HOME, SHELL, TERM, USER, LOGNAME, antara lain), dan lain lain lebih banyak perkara.

Seorang sysadmin harus sangat berhati-hati ketika memilih kata laluan untuk akaun root / pentadbir, untuk mengelakkan serangan oleh pengguna yang tidak memiliki hak istimewa su. Beberapa sistem seperti Unix mempunyai kumpulan pengguna yang dipanggil roda, yang terdiri dari satu-satunya yang boleh melaksanakan su. Ini mungkin atau tidak dapat mengurangkan masalah keselamatan, kerana penyusup hanya dapat mengambil alih salah satu akaun tersebut. Dia su GNU, bagaimanapun, tidak menyokong penggunaan kumpulan itu; ini dilakukan atas sebab-sebab falsafah.

Sudo

Perintah yang berkaitan, dipanggil sudo, melaksanakan perintah sebagai pengguna lain, tetapi menghormati serangkaian batasan pengguna dapat melaksanakan perintah mana yang digunakan oleh pengguna lain (biasanya ditentukan dalam file / etc / sudoers).

Sebaliknya, tidak seperti su, sudo meminta pengguna untuk kata laluan mereka sendiri dan bukannya pengguna yang diperlukan; Ini membolehkan penyerahan arahan kepada pengguna di mesin lain tanpa perlu berkongsi kata laluan, mengurangkan risiko meninggalkan terminal tanpa pengawasan.

Masalah Sudo: tempoh rahmat

Kelebihan dari sudo berkenaan dengan su adalah bahawa ia hanya melaksanakan perintah yang diminta berpura-pura menjadi pengguna lain, tanpa benar-benar mengubah pengguna saat ini. Ini menyiratkan bahawa seseorang dapat menjalankan perintah sebagai pentadbir dan, pada detik berikutnya, mereka akan memiliki hak istimewa pengguna yang mereka gunakan sebelumnya… atau hampir.

Ada yang melihat sebagai keselamatan melanggar hakikat bahawa sudo berikan "tempoh rahmat" yang membolehkan pengguna melaksanakan perintah sebagai pengguna lain tanpa perlu berulang kali memasukkan sudo di hadapan perintah dan kata laluan setelah melaksanakannya. Selepas "tempoh rahmat" itu, sudo akan meminta kata laluan lagi kepada kami.

Ini "buruk", pada dasarnya kerana seseorang dapat mengambil alih komputer kita setelah memasukkan kata laluan sudo dan semasa "tempoh rahmat" aktif, buat BENCANA.

Nasib baik, mungkin untuk mematikan "tempoh rahmat", yang akan meningkatkan keselamatan sistem anda. Cukup tambahkan satu baris dalam fail / etc / sudoers:

sudo nano / etc / sudoers

Dan tambahkan baris berikut ke hujung fail:

Lalai: SEMUA cap waktu_waktu = 0

Perubahan itu berlaku dengan segera, tanpa perlu menghidupkan semula sistem.