В чем разница между sudo и su?

Несколько дней назад я получил запрос от Мигеля, постоянного читателя блогов и компульсивного комментатора, относительно в чем именно разница между Sudo y su. В частности, Мигеля беспокоило, был ли один метод более безопасным, чем другой. Так получилось, что я читал там, что sudo было недостаточно безопасно и хотел узнать больше. Это еще один пост, посвященный тем, кто просил больше статей о терминальные загадки.

Su

Программа su позволяет использовать оболочку другого пользователя без выхода из текущего сеанса. Он обычно используется для получения прав root для административных операций без необходимости выхода из системы и повторного входа в систему. В некоторых средах рабочего стола, включая GNOME и KDE, есть программы, которые графически запрашивают пароль перед тем, как позволить пользователю выполнить команду, которая обычно требует такого доступа.

Название су происходит от английского sинститут uбыть (заменить пользователя). Есть также те, кто делает его производным от sуперuser (суперпользователь, то есть пользователь root или администратор), поскольку он обычно используется для принятия роли системного администратора.

Когда ты бежишь, su Он запрашивает пароль учетной записи, к которой вы хотите получить доступ, и, если он принят, предоставляет доступ к этой учетной записи.

[парень @ localhost] $ ваш пароль: [root @ localhost] # выход выйти из системы [парень @ localhost] $

Если не указывать пользователя, доступ к нему осуществляется как администратор. Однако также можно передать другое имя пользователя в качестве параметра.

[парень @ localhost] $ su mongo Пароль: [mongo @ localhost] # выход выйти из системы [парень @ localhost] $

После ввода пароля мы можем выполнять команды, как если бы мы были другим пользователем. На письме выход, возвращаемся к нашему пользователю.

Широко распространенный вариант - использовать su с последующим тире. Таким образом, чтобы войти в систему как root, вы должны ввести его - и войти как другой пользователь ваш - другой пользователь. Разница между использованием скрипта или нет? Рекомендуется использовать этот сценарий, поскольку он имитирует вход в систему с этим пользователем; следовательно, он выполняет все файлы запуска этого пользователя, изменяет текущий каталог на HOME этого пользователя, изменяет значение некоторых системных переменных, адаптируя их к новому пользователю (HOME, SHELL, TERM, USER, LOGNAME и др.), и другие больше вещей.

Системный администратор должен быть очень осторожен при выборе пароля для учетной записи root / администратора, чтобы избежать атаки непривилегированного пользователя, запускающего su. В некоторых Unix-подобных системах есть группа пользователей под названием колесо, в которую входят единственные, кто может выполнять su. Это может уменьшить или не снизить проблемы безопасности, поскольку злоумышленник может просто захватить одну из этих учетных записей. В su GNU, однако, не поддерживает использование этой группы; это было сделано по философским причинам.

Судо

Связанная команда, называемая Sudo, выполняет команду от имени другого пользователя, но соблюдая ряд ограничений, по которым пользователи могут выполнять какие команды, от имени каких других пользователей (обычно указывается в файле / и т.д. / sudoers).

С другой стороны, в отличие от su, Sudo запрашивает у пользователей собственный пароль вместо необходимого пользователя; Это позволяет делегировать команды пользователям на других машинах без необходимости совместного использования паролей, что снижает риск оставить терминалы без присмотра.

Проблемы Sudo: льготный период

Преимущество Sudo в отношении su заключается в том, что он выполняет только запрошенную команду, выдавая себя за другого пользователя, без фактического изменения текущего пользователя. Это означает, что можно выполнить команду как администратор, и в следующую секунду он получит привилегии пользователя, которого он использовал раньше ... или почти.

Некоторые считают нарушением безопасности тот факт, что Sudo предоставить «льготный период», который позволяет пользователю выполнять команды от имени другого пользователя без необходимости многократно вводить sudo перед командой и паролем после ее выполнения. После этого «льготного периода» Sudo снова спросит у нас пароль.

Это «плохо», в основном потому, что кто-то может захватить наш компьютер после того, как мы введем пароль sudo и пока активен «льготный период», создайте АВАРИЮ.

К счастью, можно отключить «льготный период», что повысит безопасность вашей системы. Просто добавьте одну строчку в файл / и т.д. / sudoers:

судо нано / и т. д. / sudoers

И в конец файла добавьте следующую строку:

По умолчанию: ВСЕ timestamp_timeout = 0

Изменение вступает в силу немедленно, без перезапуска системы.