Која је разлика између судо и су?

Пре неколико дана примио сам упит од Мигуела, редовног читача блогова и компулзивног коментатора, у вези са тим у чему је тачно разлика судо y su. Мигуел је посебно био забринут око тога да ли је један метод сигурнији од другог. Дешава се да сам то прочитао судо није био довољно сигуран и желео сам да знам више. Ово је још један пост посвећен онима који су тражили још чланака о терминалне мистерије.

Su

Програм su Омогућава вам употребу љуске другог корисника без одјаве из тренутне сесије. Обично се користи за добијање роот дозвола за административне операције без потребе да се одјавите и поново пријавите. Нека радна окружења, укључујући ГНОМЕ и КДЕ, имају програме који графички траже лозинку пре него што дозволе кориснику да изврши наредбу која би обично захтевала такав приступ.

Назив су потиче из енглеског sубституте uбити (замена корисника). Постоје и они због којих то потиче sуперuсер (супер-корисник, односно роот или администратор), јер се обично користи за усвајање улоге системског администратора.

Када трчиш, su Тражи лозинку налога којем желите да приступите, а ако је прихваћена, даје приступ том налогу.

[гуи @ лоцалхост] $ ваша лозинка: [роот @ лоцалхост] # излаз одјава [гуи @ лоцалхост] $

Не стављањем корисника, приступа му се као администратор. Међутим, такође је могуће проследити друго корисничко име као параметар.

[гуи @ лоцалхост] $ су монго Лозинка: [монго @ лоцалхост] # излазак из [гуи @ лоцалхост] $

Једном када се унесе лозинка, можемо извршавати наредбе као да смо други корисник. Писмено излаз, враћамо се нашем кориснику.

Широко коришћена варијанта је употреба su праћен цртицом. Дакле, да бисте се пријавили као роот, морате да уђете његов - и да се пријавите као други корисник ваш - други корисник. Разлика између употребе скрипте или не? Препоручује се употреба скрипте јер она симулира да ћете се пријавити са тим корисником; стога извршава све датотеке за покретање тог корисника, мења тренутни директоријум у ДОМ тог корисника, мења вредност неких системских променљивих прилагођавајући их новом кориснику (ХОМЕ, СХЕЛЛ, ТЕРМ, УСЕР, ЛОГНАМЕ, између осталог) и други више ствари.

Сисадмин би требао бити врло опрезан при одабиру лозинке за роот / администраторски рачун, како би избјегао напад непривилегованог корисника који ради su. Неки системи слични Унику имају корисничку групу која се зове точак, који чине једини који могу извршити su. Ово може или не мора смањити забринутост за сигурност, јер уљез може једноставно преузети један од тих рачуна. Он su ГНУ, међутим, не подржава употребу те групе; то је учињено из филозофских разлога.

Судо

Повезана команда, тзв судо, извршава наредбу као други корисник, али поштујући низ ограничења према којима корисници могу извршити које наредбе у име којих других корисника (обично је наведено у датотеци / етц / судоерс).

С друге стране, за разлику од su, судо тражи од корисника своју лозинку уместо потребног корисника; Ово омогућава делегирање наредби корисницима на другим машинама без потребе за дељењем лозинки, смањујући ризик од остављања терминала без надзора.

Судо проблеми: грејс период

Предност судо у погледу su је да извршава само тражену наредбу претварајући се да је други корисник, а да заправо не мења тренутног корисника. То подразумева да неко може извршити наредбу као администратор и, следеће секунде, имат ће привилегије корисника којег је користио прије ... или скоро.

Неки као кршење безбедности виде чињеницу да судо одобрити „грејс период“ који омогућава кориснику да извршава наредбе као други корисник, без потребе да након извршења више пута уноси судо испред команде и лозинке. После тог „грејс периода“, судо поново ће нас питати лозинку.

Ово је „лоше“, у суштини зато што би неко могао да преузме наш рачунар након уноса судо лозинке и док је „грејс период“ активан, направи КАТАСТРОФУ.

Срећом, могуће је онемогућити „грејс период“, што ће побољшати сигурност вашег система. Само додајте један ред у датотеку / етц / судоерс:

судо нано / етц / судоерс

И додајте следећи ред на крај датотеке:

Подразумевано: СВА временска ознака_време = 0

Промена ступа на снагу одмах, без потребе за поновним покретањем система.