Kakšna je razlika med sudo in su?

Pred nekaj dnevi sem od Miguela, rednega bralca blogov in kompulzivnega komentarja, prejel vprašanje v čem je točno razlika sudo y su. Miguela je zlasti skrbelo, ali je ena metoda varnejša od druge. Zgodi se, da sem tam prebrala to sudo ni bil dovolj varen in želel vedeti več. To je še ena objava, posvečena tistim, ki so prosili za več člankov o terminalske skrivnosti.

Su

Program su Omogoča uporabo lupine drugega uporabnika brez odjave iz trenutne seje. Običajno se uporablja za pridobivanje korenskih dovoljenj za skrbniške operacije, ne da bi se morali odjaviti in znova prijaviti. Nekatera namizna okolja, vključno z GNOME in KDE, imajo programe, ki grafično zahtevajo geslo, preden uporabniku dovolijo, da izvede ukaz, ki običajno zahteva tak dostop.

Ime su izhaja iz angleščine snadomestek ubiti (nadomestni uporabnik). Obstajajo tudi takšni, zaradi katerih izhaja superuser (super-uporabnik, to je korenski ali skrbniški uporabnik), saj se običajno uporablja za prevzemanje vloge skrbnika sistema.

Ko tečeš, su Zahteva geslo računa, do katerega želite dostopati, in če je sprejeto, omogoči dostop do tega računa.

[guy @ localhost] $ vaše geslo: [root @ localhost] # izhod iz odjave [guy @ localhost] $

Če uporabnika ne postavite, je dostopen kot skrbnik. Vendar pa je mogoče kot parameter predati tudi drugo uporabniško ime.

[guy @ localhost] $ su mongo Geslo: [mongo @ localhost] # izhod iz odjave [guy @ localhost] $

Ko je geslo vneseno, lahko ukaze izvajamo, kot da smo drugi uporabnik. Pisno izhod, se vrnemo k našemu uporabniku.

Razširjena različica je uporaba su čemur sledi pomišljaj. Če se želite prijaviti kot root, morate vstopiti su - in se prijavite kot drug uporabnik vaš - drugi uporabnik. Razlika med uporabo skripta ali ne? Priporočljivo je, da uporabite skript, ker simulira, da se boste prijavili s tem uporabnikom; zato izvrši vse zagonske datoteke tega uporabnika, spremeni trenutni imenik v HOME tega uporabnika, spremeni vrednost nekaterih sistemskih spremenljivk in jih prilagodi novemu uporabniku (HOME, SHELL, TERM, USER, LOGNAME, med drugim) in drugi več stvari.

Sysadmin mora biti zelo previden pri izbiri gesla za korenski / skrbniški račun, da se izogne ​​napadu privilegiranega uporabnika, ki teče su. Nekateri Unixu podobni sistemi imajo imenovano uporabniško skupino kolesa, ki zajema edine, ki lahko izvršijo su. To lahko zmanjša varnostne pomisleke ali ne, saj bi vsiljivec preprosto prevzel enega od teh računov. The su GNU pa ne podpira uporabe te skupine; to je bilo storjeno iz filozofskih razlogov.

Sudo

Povezani ukaz, imenovan sudo, izvaja ukaz kot drug uporabnik, vendar spoštuje vrsto omejitev glede tega, kateri uporabniki lahko izvršijo katere ukaze v imenu katerih drugih uporabnikov (običajno določeno v datoteki / etc / sudoers).

Po drugi strani pa za razliko od su, sudo uporabnike pozove k lastnemu geslu namesto zahtevanega uporabnika; to omogoča prenos ukazov na uporabnike na drugih strojih, ne da bi si morali deliti gesla, kar zmanjšuje tveganje, da terminali ostanejo brez nadzora.

Sudo težave: milostno obdobje

Prednost sudo iz spoštovanja do su je, da izvede le zahtevani ukaz, ki se pretvarja, da je drugi uporabnik, ne da bi dejansko spremenil trenutnega uporabnika. To pomeni, da lahko nekdo izvrši ukaz kot skrbnik, v naslednji sekundi pa bo imel privilegije uporabnika, ki ga je uporabljal prej ... ali skoraj.

Nekateri vidijo kot kršitev varnosti dejstvo, da sudo odobri "milostno obdobje", ki uporabniku omogoča izvajanje ukazov kot drugega uporabnika, ne da bi bilo treba po njegovem izvajanju večkrat vnesti sudo pred ukazom in geslom. Po tem "milostnem obdobju", sudo nas bo znova vprašal geslo.

To je "slabo", predvsem zato, ker bi lahko nekdo prevzel naš računalnik, potem ko smo vnesli geslo za sudo in medtem, ko je "milostno obdobje" aktivno, naredite NESREČO

Na srečo je možno onemogočiti "obdobje mirovanja", kar bo izboljšalo varnost vašega sistema. Samo dodajte eno vrstico v datoteko / etc / sudoers:

sudo nano / etc / sudoers

Na konec datoteke dodajte naslednjo vrstico:

Privzete vrednosti: VSE Časovni žig = 0

Sprememba začne veljati takoj, brez ponovnega zagona sistema.