Aký je rozdiel medzi sudo a su?

Pred pár dňami som dostal dotaz od Miguela, pravidelného čitateľa blogu a nutkavého komentátora, ktorý sa týka aký presne je rozdiel medzi sudo y su. Miguel sa obával najmä toho, či je jeden spôsob bezpečnejší ako druhý. Stáva sa, že som to čítal sudo nebol dosť bezpečný a chceli by ste vedieť viac. Toto je ďalší príspevok venovaný tým, ktorí požiadali o viac článkov o terminálne záhady.

Su

Program su Umožňuje vám používať shell iného používateľa bez odhlásenia z aktuálnej relácie. Bežne sa používa na získanie oprávnení root pre administratívne operácie bez nutnosti odhlasovania a opätovného prihlásenia. Niektoré desktopové prostredia, vrátane GNOME a KDE, majú programy, ktoré graficky požadujú heslo skôr, ako používateľovi povolia vykonať príkaz, ktorý by zvyčajne vyžadoval takýto prístup.

Názov su pochádza z angličtiny substitút ubyť (náhradný užívateľ). Existujú aj takí, od ktorých sa odvodzuje superuser (super užívateľ, tj. užívateľ typu root alebo administrátor), pretože sa zvyčajne používa na prevzatie roly správcu systému.

Keď bežíte, su Požiada o heslo účtu, ku ktorému chcete získať prístup, a ak bude prijaté, umožní prístup k danému účtu.

[guy @ localhost] $ vaše heslo: [root @ localhost] # odhlásenie odchodu [guy @ localhost] $

Neuvedením používateľa sa získa prístup ako správca. Ako parameter je však možné zadať aj ďalšie používateľské meno.

[guy @ localhost] $ su mongo Heslo: [mongo @ localhost] # odhlásenie odchodu [guy @ localhost] $

Po zadaní hesla môžeme vykonávať príkazy, akoby sme boli druhým používateľom. V písaní výjazd, vraciame sa k nášmu používateľovi.

Má sa použiť široko používaný variant su nasledovaná pomlčkou. Ak sa chcete prihlásiť ako root, musíte vstúpiť su - a prihlásiť sa ako ďalší používateľ váš - iný používateľ. Rozdiel medzi používaním skriptu alebo nie? Odporúča sa použiť skript, pretože simuluje, že sa prihlásite pomocou tohto používateľa; preto vykoná všetky spúšťacie súbory daného používateľa, zmení aktuálny adresár na HOME tohto používateľa, zmení hodnotu niektorých systémových premenných a prispôsobí ich novému používateľovi (okrem iného HOME, SHELL, TERM, USER, LOGNAME) a iné viac vecí.

Sysadmin by mal byť pri výbere hesla pre účet root / administrátor veľmi opatrný, aby sa predišlo útoku neprivilegovaného bežiaceho používateľa su. Niektoré systémy podobné systému Unix majú skupinu používateľov s názvom kolo, ktorý obsahuje jediných, ktorí môžu vykonať su. To môže, ale nemusí znížiť obavy o bezpečnosť, pretože votrelec by mohol jeden z týchto účtov jednoducho prevziať. The su GNU však nepodporuje použitie tejto skupiny; stalo sa tak z filozofických dôvodov.

sudo

Súvisiaci príkaz, tzv sudo, vykoná príkaz ako iný užívateľ, ale rešpektuje rad obmedzení, ktoré môžu používatelia vykonávať, ktoré príkazy v mene iných používateľov (zvyčajne sú uvedené v súbore) / Etc / sudoers).

Na druhej strane, na rozdiel od su, sudo vyzve používateľov, aby namiesto požadovaného používateľa zadali svoje vlastné heslo; to umožňuje delegovanie príkazov na používateľov na iných počítačoch bez nutnosti zdieľania hesiel, čo znižuje riziko ponechania terminálov bez dozoru.

Problémy so sudom: obdobie odkladu

Výhoda sudo mať rešpekt z su spočíva v tom, že vykoná iba požadovaný príkaz vydávajúci sa za druhého používateľa bez skutočnej zmeny aktuálneho používateľa. To znamená, že človek môže vykonať príkaz ako správca a v druhej sekunde bude mať oprávnenie používateľa, ktorého používali predtým ... alebo takmer.

Niektorí to považujú za narušenie bezpečnosti sudo udeliť „ochrannú lehotu“, ktorá umožňuje používateľovi vykonávať príkazy ako iný používateľ bez nutnosti opakovane po jeho vykonaní zadávať sudo pred príkazom a heslom. Po tomto „ochrannom období“ sudo nás opäť požiada o heslo.

Je to „zlé“, hlavne preto, že niekto by mohol prevziať kontrolu nad našim počítačom po zadaní hesla sudo a počas aktívnej „ochrannej lehoty“ urobiť KATASTROFU.

Našťastie je možné deaktivovať „ochrannú lehotu“, čo zlepší zabezpečenie vášho systému. Stačí do súboru pridať jeden riadok / Etc / sudoers:

sudo nano / etc / sudoers

A na koniec súboru pridajte nasledujúci riadok:

Predvolené: ALL timestamp_timeout = 0

Zmena sa prejaví okamžite, bez nutnosti reštartovania systému.