Care este diferența dintre sudo și su?

Acum câteva zile am primit o întrebare de la Miguel, un cititor obișnuit de blog și comentator compulsiv, cu privire la care este exact diferența dintre sudo y su. În special, Miguel era îngrijorat dacă o metodă este mai sigură decât cealaltă. Se întâmplă că citisem acolo că sudo nu era suficient de sigur și am vrut să știu mai multe. Aceasta este o altă postare dedicată celor care au cerut mai multe articole despre misterele terminale.

Su

Programul su Vă permite să utilizați shell-ul altui utilizator fără a vă deconecta din sesiunea curentă. Este folosit în mod obișnuit pentru a obține permisiuni root pentru operațiuni administrative fără a fi nevoie să vă deconectați și să vă reconectați. Unele medii desktop, inclusiv GNOME și KDE, au programe care solicită grafic o parolă înainte de a permite utilizatorului să execute o comandă care ar necesita de obicei un astfel de acces.

Numele su provine din engleză ssubstitut ufi (utilizator substitut). Există, de asemenea, cei care o fac să derive din superspreadinguser (super-utilizator, adică utilizatorul root sau administrator), deoarece este de obicei utilizat pentru a adopta rolul de administrator de sistem.

Când alergi, su Solicită parola contului pe care doriți să îl accesați și, dacă este acceptat, acesta oferă acces la acel cont.

[guy @ localhost] $ Parola dvs.: [root @ localhost] # ieșire deconectare [guy @ localhost] $

Dacă nu puneți un utilizator, acesta este accesat ca administrator. Cu toate acestea, este de asemenea posibil să treceți un alt nume de utilizator ca parametru.

[guy @ localhost] $ su mongo Parolă: [mongo @ localhost] # exit logout [guy @ localhost] $

Odată introdusă parola, putem executa comenzile de parcă am fi celălalt utilizator. În scris ieşire, ne întoarcem la utilizatorul nostru.

O variantă larg utilizată este de a utiliza su urmată de o liniuță. Astfel, pentru a vă conecta ca root, trebuie să intrați a lui - și să vă conectați ca alt utilizator dvs. - alt utilizator. Diferența dintre utilizarea scriptului sau nu? Este recomandat să utilizați scriptul, deoarece simulează că vă veți conecta cu acel utilizator; prin urmare, execută toate fișierele de pornire ale acelui utilizator, schimbă directorul curent în HOME-ul acelui utilizator, modifică valoarea unor variabile de sistem adaptându-le la noul utilizator (HOME, SHELL, TERM, USER, LOGNAME, printre altele) și alții mai multe lucruri.

Un administrator de sistem trebuie să fie foarte atent atunci când alege o parolă pentru contul root / administrator, pentru a evita atacul unui utilizator neprivilegiat care rulează su. Unele sisteme de tip Unix au un grup de utilizatori numit roată, care cuprinde singurii care pot executa su. Acest lucru poate reduce sau nu problemele de securitate, întrucât un intrus ar putea pur și simplu prelua unul dintre aceste conturi. El su Cu toate acestea, GNU nu acceptă utilizarea grupului respectiv; acest lucru a fost făcut din motive filosofice.

sudo

O comandă asociată, numită sudo, execută o comandă ca un alt utilizator, dar respectând o serie de restricții asupra cărora utilizatorii pot executa ce comenzi în numele cărora alți utilizatori (specificate de obicei în fișier / etc / sudoers).

Pe de altă parte, spre deosebire de su, sudo solicită utilizatorilor propria parolă în locul utilizatorului solicitat; Acest lucru permite delegarea comenzilor către utilizatori pe alte mașini fără a fi nevoie să partajați parole, reducând riscul de a lăsa terminalele nesupravegheate.

Probleme Sudo: perioada de grație

Avantajul sudo în respect față de su este că execută numai comanda solicitată pretinzând a fi celălalt utilizator, fără a schimba efectiv utilizatorul curent. Aceasta implică faptul că se poate executa o comandă ca administrator și, în următoarea secundă, vor avea privilegiile utilizatorului pe care îl foloseau înainte ... sau aproape.

Unii văd ca o încălcare a securității faptul că sudo acordați o „perioadă de grație” care permite utilizatorului să execute comenzi ca alt utilizator fără a fi nevoie să introduceți în mod repetat sudo în fața comenzii și a parolei după executarea acesteia. După acea „perioadă de grație”, sudo ne va cere din nou parola.

Acest lucru este „rău”, în esență, deoarece cineva ne-ar putea prelua computerul după ce am introdus parola sudo și, în timp ce „perioada de grație” este activă, faceți un DISAST.

Din fericire, este posibil să dezactivați „perioada de grație”, ceea ce va îmbunătăți securitatea sistemului dvs. Doar adăugați o linie în fișier / etc / sudoers:

sudo nano / etc / sudoers

Și adăugați următoarea linie la sfârșitul fișierului:

Valori implicite: ALL timestamp_timeout = 0

Modificarea are efect imediat, fără a fi nevoie să reporniți sistemul.