Vad är skillnaden mellan sudo och su?

För några dagar sedan fick jag en fråga från Miguel, en vanlig bloggläsare och tvångsmässig kommentator, angående vad exakt är skillnaden mellan sudo y su. I synnerhet var Miguel bekymrad över huruvida en metod var säkrare än den andra. Det händer att jag hade läst det där sudo var inte tillräckligt säker och ville veta mer. Detta är ett annat inlägg tillägnad dem som bad om fler artiklar om terminal mysterier.

Su

Programmet su låter dig använda en annan användares skal utan att logga ut från den aktuella sessionen. Det används vanligtvis för att få rootbehörigheter för administrativa operationer utan att behöva logga ut och komma in i systemet igen. Vissa skrivbordsmiljöer, inklusive GNOME och KDE, har program som grafiskt ber om ett lösenord innan användaren kan utföra ett kommando som vanligtvis kräver sådan åtkomst.

Namnet su kommer från engelska substitut uvara (ersättare). Det finns också de som får det att härleda från superuser (superanvändare, det vill säga rot- eller administratörsanvändaren) eftersom det vanligtvis används för att anta rollen som systemadministratör.

När du springer, su Den frågar efter lösenordet för kontot du vill komma åt, och om det accepteras ger det åtkomst till det kontot.

[guy @ localhost] $ ditt lösenord: [root @ localhost] # exit logout [guy @ localhost] $

Genom att inte sätta en användare nås den som administratör. Det är dock också möjligt att skicka ett annat användarnamn som en parameter.

[kille @ localhost] $ su mongo Lösenord: [mongo @ localhost] # avsluta utloggning [kille @ localhost] $

När lösenordet har angetts kan vi utföra kommandona som om vi vore den andra användaren. I skrift avsluta, vi återvänder till vår användare.

En mycket använd variant är att använda su följt av ett streck. För att logga in som root måste du ange su - och att logga in som en annan användare din - andra användare. Skillnaden mellan att använda skriptet eller inte? Det rekommenderas att använda skriptet eftersom det simulerar att du loggar in med den användaren. därför kör den alla startfiler för den användaren, ändrar den aktuella katalogen till den användarens HOME, ändrar värdet på vissa systemvariabler som anpassar dem till den nya användaren (HEM, SHELL, TERM, USER, LOGNAME, bland andra) och andra fler saker.

En sysadmin måste vara mycket försiktig när du väljer ett lösenord för root / administratörskontot, för att undvika en attack av en ogriven användare som kör su. Vissa Unix-liknande system har en användargrupp som heter hjul, som består av de enda som kan köra su. Detta kan eventuellt minska säkerhetsproblemen, eftersom en inkräktare helt enkelt kan ta över en av dessa konton. han su GNU stöder dock inte användningen av den gruppen; detta gjordes av filosofiska skäl.

sudo

Ett relaterat kommando, kallat sudo, kör ett kommando som en annan användare, men respekterar en serie begränsningar för vilka användare kan utföra vilka kommandon för vilka andra användare (vanligtvis anges i filen / etc / sudoers).

Å andra sidan, till skillnad från su, sudo uppmanar användare om sitt eget lösenord istället för den användare som krävs; Detta gör det möjligt att delegera kommandon till användare på andra maskiner utan att behöva dela lösenord, vilket minskar risken för att lämna terminaler utan uppsikt.

Sudo-problem: respitperioden

Fördelen med sudo med tanke på su är att den bara kör det begärda kommandot som låtsas vara den andra användaren utan att faktiskt ändra den aktuella användaren. Detta innebär att man kan utföra ett kommando som administratör och nästa sekund kommer de att ha behörigheten för användaren de använde tidigare ... eller nästan.

Vissa ser som ett säkerhetsbrott det faktum att sudo bevilja en "respitperiod" som tillåter användaren att köra kommandon som en annan användare utan att behöva ange sudo upprepade gånger framför kommandot och lösenordet efter att ha kört det. Efter den "nådeperioden", sudo kommer att fråga oss lösenordet igen.

Detta är "dåligt", i huvudsak för att någon skulle kunna ta över vår dator efter att ha angett sudo-lösenordet och medan "respitperioden" är aktiv, gör en KATALOG.

Lyckligtvis är det möjligt att inaktivera "respitperioden", vilket kommer att förbättra ditt systems säkerhet. Lägg bara till en rad i filen / etc / sudoers:

sudo nano / etc / sudoers

Och lägg till följande rad i slutet av filen:

Standardvärden: ALL timestamp_timeout = 0

Ändringen träder i kraft omedelbart utan att systemet behöver startas om.