Hva er forskjellen mellom sudo og su?

For noen dager siden mottok jeg et spørsmål fra Miguel, en vanlig bloggleser og tvangsmessig kommentator, angående hva er egentlig forskjellen mellom sudo y su. Spesielt var Miguel bekymret for om den ene metoden var tryggere enn den andre. Det hender at jeg hadde lest der ute det sudo var ikke trygg nok og ønsket å vite mer. Dette er et annet innlegg viet til de som ba om flere artikler om terminale mysterier.

Su

Programmet su lar deg bruke skallet til en annen bruker uten å logge av gjeldende økt. Det brukes ofte til å få rottillatelser for administrative operasjoner uten å måtte logge ut og gå inn i systemet på nytt. Noen skrivebordsmiljøer, inkludert GNOME og KDE, har programmer som grafisk ber om et passord før brukeren kan utføre en kommando som vanligvis krever slik tilgang.

Navnet su kommer fra engelsk substitut uvære (erstatningsbruker). Det er også de som får det til å stamme fra superuser (superbruker, det vil si rot- eller administratorbrukeren) siden den vanligvis brukes til å innta rollen som systemadministrator.

Når du løper, su Den ber om passordet til kontoen du vil ha tilgang til, og hvis det godtas, gir det tilgang til den kontoen.

[guy @ localhost] $ ditt passord: [root @ localhost] # avslutte avlogging [guy @ localhost] $

Ved ikke å sette en bruker får du tilgang til det som administrator. Det er imidlertid også mulig å sende et annet brukernavn som parameter.

[fyr @ localhost] $ su mongo Passord: [mongo @ localhost] # avslutte avlogging [fyr @ localhost] $

Når passordet er angitt, kan vi utføre kommandoene som om vi var den andre brukeren. Skriftlig avslutte, kommer vi tilbake til brukeren vår.

En mye brukt variant er å bruke su etterfulgt av en bindestrek. Dermed, for å logge på som rot, må du gå inn hans - og å logge på som en annen bruker din - andre bruker. Forskjellen mellom å bruke skriptet eller ikke? Det anbefales å bruke skriptet fordi det simulerer at du vil logge på med den brukeren; Derfor kjører den alle oppstartsfilene til den brukeren, endrer den nåværende katalogen til brukerens HJEM, endrer verdien på noen systemvariabler som tilpasser dem til den nye brukeren (HJEM, SHELL, TERM, BRUKER, LOGNAVN, blant andre), og andre flere ting.

En sysadmin bør være veldig forsiktig når du velger et passord for rot- / administratorkontoen, for å unngå et angrep fra en privilegert bruker som kjører su. Noen Unix-lignende systemer har en brukergruppe kalt hjul, som består av de eneste som kan henrette su. Dette kan eller ikke redusere sikkerhetsproblemer, ettersom en inntrenger ganske enkelt kan overta en av disse kontoene. Han su GNU støtter imidlertid ikke bruken av den gruppen; dette ble gjort av filosofiske grunner.

sudo

En relatert kommando, kalt sudo, utfører en kommando som en annen bruker, men respekterer en rekke begrensninger som brukere kan utføre hvilke kommandoer på vegne av hvilke andre brukere (vanligvis spesifisert i filen / etc / sudoers).

På den annen side, i motsetning til su, sudo ber brukerne om sitt eget passord i stedet for den nødvendige brukeren; Dette tillater delegering av kommandoer til brukere på andre maskiner uten å måtte dele passord, noe som reduserer risikoen for å la terminaler være uten tilsyn.

Sudo-problemer: nådeperioden

Fordelen med sudo med respekt for su er at den bare utfører den forespurte kommandoen som later til å være den andre brukeren, uten å faktisk endre den nåværende brukeren. Dette innebærer at man kan utføre en kommando som administrator, og neste sekund vil de ha privilegiene til brukeren de brukte før ... eller nesten.

Noen ser på som et sikkerhetsbrudd det faktum at sudo gi en "nådeperiode" som lar brukeren utføre kommandoer som en annen bruker uten behov for å angi sudo gjentatte ganger foran kommandoen og passordet etter å ha utført det. Etter den "nådeperioden", sudo vil be oss om passordet igjen.

Dette er "dårlig", hovedsakelig fordi noen kan ta over datamaskinen vår etter at vi har angitt sudo-passordet, og mens "nådeperioden" er aktiv, gjør en KATOST.

Heldigvis er det mulig å deaktivere "nådeperioden", noe som vil forbedre sikkerheten til systemet ditt. Bare legg til en linje i filen / etc / sudoers:

sudo nano / etc / sudoers

Og legg til følgende linje til slutten av filen:

Standardverdier: ALL timestamp_timeout = 0

Endringen trer i kraft umiddelbart, uten at du trenger å starte systemet på nytt.