Jaka jest różnica między sudo i su?

Kilka dni temu otrzymałem zapytanie od Miguela, regularnie czytającego blogi i kompulsywnego komentatora jaka dokładnie jest różnica między sudo y su. W szczególności Miguel martwił się, czy jedna metoda jest bezpieczniejsza od drugiej. Zdarza się, że przeczytałem tam to sudo nie było wystarczająco bezpieczne i chciałem dowiedzieć się więcej. To kolejny post dedykowany tym, którzy prosili o więcej artykułów na temat tajemnice terminali.

Su

Program su Umożliwia korzystanie z powłoki innego użytkownika bez wylogowywania się z bieżącej sesji. Jest powszechnie używany do uzyskiwania uprawnień roota do operacji administracyjnych bez konieczności wylogowywania się i ponownego wchodzenia do systemu. Niektóre środowiska graficzne, w tym GNOME i KDE, mają programy, które graficznie proszą o hasło przed zezwoleniem użytkownikowi na wykonanie polecenia, które zwykle wymagałoby takiego dostępu.

Nazwa su pochodzi z języka angielskiego ssubstytut ube (użytkownik zastępczy). Są też tacy, od których się wywodzi superuser (superużytkownik, czyli użytkownik root lub administrator), ponieważ jest zwykle używany do przyjęcia roli administratora systemu.

Kiedy biegniesz, su Pyta o hasło do konta, do którego chcesz uzyskać dostęp, a jeśli zostanie zaakceptowane, daje dostęp do tego konta.

[facet @ localhost] $ twoje hasło: [root @ localhost] # exit logout [facet @ localhost] $

Nie umieszczając użytkownika, uzyskuje się do niego dostęp jako administrator. Możliwe jest jednak również przekazanie innej nazwy użytkownika jako parametru.

[facet @ localhost] $ su mongo Hasło: [mongo @ localhost] # exit wylogowanie [guy @ localhost] $

Po wprowadzeniu hasła możemy wykonywać polecenia tak, jakbyśmy byli drugim użytkownikiem. W piśmie wyjściewracamy do naszego użytkownika.

Powszechnie stosowanym wariantem jest użycie su po którym następuje myślnik. Dlatego, aby zalogować się jako root, musisz wejść jego - i zalogować się jako inny użytkownik twój - inny użytkownik. Różnica między używaniem skryptu czy nie? Zalecane jest użycie skryptu, ponieważ symuluje on zalogowanie się z tym użytkownikiem; w związku z tym wykonuje wszystkie pliki startowe tego użytkownika, zmienia bieżący katalog na HOME tego użytkownika, zmienia wartość niektórych zmiennych systemowych dostosowując je do nowego użytkownika (między innymi HOME, SHELL, TERM, USER, LOGNAME) i inni więcej rzeczy.

Administrator systemu musi być bardzo ostrożny podczas wybierania hasła dla konta root / administratora, aby uniknąć ataku ze strony nieuprzywilejowanego użytkownika działającego su. Niektóre systemy typu Unix mają grupę użytkowników o nazwie koło, która obejmuje jedynych, którzy mogą wykonywać su. Może to, ale nie musi, zmniejszyć obawy dotyczące bezpieczeństwa, ponieważ intruz może po prostu przejąć jedno z tych kont. On su GNU nie wspiera jednak używania tej grupy; zrobiono to z powodów filozoficznych.

Sudo

Powiązane polecenie o nazwie sudo, wykonuje polecenie jako inny użytkownik, ale z poszanowaniem szeregu ograniczeń, na podstawie których użytkownicy mogą wykonywać polecenia, w imieniu których inni użytkownicy (zwykle określone w pliku / etc / sudoers).

Z drugiej strony inaczej su, sudo monituje użytkowników o ich własne hasło zamiast wymaganego użytkownika; umożliwia to delegowanie poleceń użytkownikom na innych komputerach bez konieczności udostępniania haseł, zmniejszając ryzyko pozostawienia terminali bez nadzoru.

Problemy Sudo: okres karencji

Zaletą sudo w szacunku dla su polega na tym, że wykonuje tylko żądane polecenie udając innego użytkownika, bez faktycznej zmiany bieżącego użytkownika. Oznacza to, że można wykonać polecenie jako administrator, a w następnej sekundzie będzie miał uprawnienia użytkownika, którego używał wcześniej ... lub prawie.

Niektórzy uważają to za naruszenie bezpieczeństwa sudo przyznać „okres karencji”, który umożliwia użytkownikowi wykonywanie poleceń jako inny użytkownik bez konieczności wielokrotnego wpisywania sudo przed poleceniem i hasłem po jego wykonaniu. Po tym „okresie karencji” sudo ponownie zapyta nas o hasło.

Jest to „złe”, zasadniczo dlatego, że ktoś mógłby przejąć kontrolę nad naszym komputerem po wprowadzeniu hasła sudo i gdy „okres karencji” jest aktywny, dokonać KATASTROFY.

Na szczęście istnieje możliwość wyłączenia „okresu karencji”, co poprawi bezpieczeństwo Twojego systemu. Po prostu dodaj jedną linię w pliku / etc / sudoers:

sudo nano / etc / sudoers

I dodaj następujący wiersz na końcu pliku:

Wartości domyślne: ALL timestamp_timeout = 0

Zmiana zaczyna obowiązywać natychmiast, bez konieczności ponownego uruchamiania systemu.