Wat is het verschil tussen sudo en su?

Een paar dagen geleden ontving ik een vraag van Miguel, een regelmatige bloglezer en dwangmatige commentator, over wat is precies het verschil tussen sudo y su. In het bijzonder maakte Miguel zich zorgen of de ene methode veiliger was dan de andere. Het komt voor dat ik dat had gelezen sudo was niet veilig genoeg en wilde meer weten. Dit is een ander bericht gewijd aan degenen die om meer artikelen vroegen over terminale mysteries.

Su

Het programma su stelt u in staat de shell van een andere gebruiker te gebruiken zonder uit te loggen bij de huidige sessie. Het wordt vaak gebruikt om root-machtigingen te verkrijgen voor administratieve bewerkingen zonder uit te loggen en het systeem opnieuw in te voeren. Sommige desktopomgevingen, waaronder GNOME en KDE, hebben programma's die grafisch om een ​​wachtwoord vragen voordat de gebruiker een commando kan uitvoeren waarvoor gewoonlijk dergelijke toegang nodig is.

De naam su komt uit het Engels substituee ube (vervangende gebruiker). Er zijn ook mensen die het laten voortkomen superuser (supergebruiker, dat wil zeggen de root- of administrator-gebruiker), aangezien deze gewoonlijk wordt gebruikt om de rol van systeembeheerder aan te nemen.

Als je rent, su Het vraagt ​​om het wachtwoord van het account waartoe u toegang wilt, en als het wordt geaccepteerd, geeft het toegang tot dat account.

[guy @ localhost] $ uw wachtwoord: [root @ localhost] # logout afsluiten [guy @ localhost] $

Door geen gebruiker te plaatsen, wordt deze benaderd als beheerder. Het is echter ook mogelijk om een ​​andere gebruikersnaam als parameter door te geven.

[guy @ localhost] $ su mongo Wachtwoord: [mongo @ localhost] # exit uitloggen [guy @ localhost] $

Zodra het wachtwoord is ingevoerd, kunnen we de opdrachten uitvoeren alsof we de andere gebruiker zijn. Geschreven afrit, keren we terug naar onze gebruiker.

Een veel gebruikte variant is het gebruik su gevolgd door een streepje. Om als root in te loggen, moet u dus invoeren su - en om in te loggen als een andere gebruiker uw - andere gebruiker. Het verschil tussen het script gebruiken of niet? Het wordt aanbevolen om het script te gebruiken omdat het simuleert dat u inlogt met die gebruiker; daarom voert het alle opstartbestanden van die gebruiker uit, verandert de huidige directory naar de HOME van die gebruiker, verandert de waarde van sommige systeemvariabelen door ze aan de nieuwe gebruiker aan te passen (HOME, SHELL, TERM, USER, LOGNAME, onder andere), en anderen meer dingen.

Een sysadmin moet heel voorzichtig zijn bij het kiezen van een wachtwoord voor de root / administrator-account, om een ​​aanval door een onbevoegde gebruiker te voorkomen die su. Sommige Unix-achtige systemen hebben een gebruikersgroep genaamd wiel, die de enigen omvat die kunnen uitvoeren su. Dit kan beveiligingsproblemen al dan niet verminderen, aangezien een indringer eenvoudig een van die accounts zou kunnen overnemen. Hij su GNU ondersteunt het gebruik van die groep echter niet; dit werd gedaan om filosofische redenen.

sudo

Een gerelateerd commando, genaamd sudo, voert een commando uit als een andere gebruiker, maar respecteert een reeks beperkingen waarop gebruikers welke commando's kunnen uitvoeren namens welke andere gebruikers (meestal gespecificeerd in het bestand / Etc / sudoers).

Aan de andere kant, in tegenstelling tot su, sudo vraagt ​​gebruikers om hun eigen wachtwoord in plaats van de vereiste gebruiker; dit maakt het delegeren van commando's aan gebruikers op andere machines mogelijk zonder wachtwoorden te hoeven delen, waardoor het risico wordt verkleind dat terminals onbeheerd achterblijven.

Sudoproblemen: de respijtperiode

Het voordeel van sudo met betrekking tot su is dat het alleen het gevraagde commando uitvoert en zich voordoet als de andere gebruiker, zonder de huidige gebruiker daadwerkelijk te veranderen. Dit houdt in dat men een commando kan uitvoeren als administrator en de volgende seconde zullen ze de privileges hebben van de gebruiker die ze eerder gebruikten ... of bijna.

Sommigen beschouwen het feit dat sudo geef een "respijtperiode" die de gebruiker toestaat om opdrachten uit te voeren als een andere gebruiker zonder de noodzaak om herhaaldelijk sudo in te voeren voor de opdracht en het wachtwoord na het uitvoeren ervan. Na die "respijtperiode", sudo zal ons het wachtwoord opnieuw vragen.

Dit is "slecht", in wezen omdat iemand onze computer zou kunnen overnemen na het invoeren van het sudo-wachtwoord en terwijl de "respijtperiode" actief is, een RAMP veroorzaken.

Gelukkig is het mogelijk om de "respijtperiode" uit te schakelen, wat de beveiliging van uw systeem zal verbeteren. Voeg gewoon een regel toe aan het bestand / Etc / sudoers:

sudo nano / etc / sudoers

En voeg de volgende regel toe aan het einde van het bestand:

Standaardwaarden: ALL timestamp_timeout = 0

De wijziging wordt onmiddellijk van kracht, zonder dat het systeem opnieuw hoeft te worden opgestart.