У чому різниця між sudo та su?

Кілька днів тому я отримав запит від Мігеля, звичайного читача блогів та компульсивного коментатора, щодо цього в чому саме різниця між Суду y su. Зокрема, Мігель був стурбований тим, чи один метод безпечніший за інший. Буває, що я це читав sudo був недостатньо безпечним і я хотів дізнатись більше. Це ще одна публікація, присвячена тим, хто просив більше статей про термінальні таємниці.

Su

Програма su Дозволяє використовувати оболонку іншого користувача без виходу з поточного сеансу. Зазвичай він використовується для отримання root-прав на адміністративні операції без необхідності виходу з системи та повторного входу в систему. Деякі середовища робочого столу, включаючи GNOME та KDE, мають програми, які графічно запитують пароль, перш ніж дозволити користувачеві виконати команду, яка зазвичай вимагає такого доступу.

Назва su походить від англійської sзамінник ube (замінник користувача). Є також ті, хто змушує це виходити з sвершникuser (суперкористувач, тобто користувач root або адміністратора), оскільки зазвичай використовується для прийняття ролі системного адміністратора.

Коли ти біжиш, su він запитує пароль облікового запису, до якого ви хочете отримати доступ, і якщо його прийнято, він надає доступ до цього облікового запису.

[guy @ localhost] $ ваш пароль: [root @ localhost] # вихід із системи [guy @ localhost] $

Не встановлюючи користувача, він отримує доступ як адміністратор. Однак можна також передати інше ім'я користувача як параметр.

[guy @ localhost] $ su mongo Пароль: [mongo @ localhost] # вихід із системи [guy @ localhost] $

Після введення пароля ми можемо виконувати команди так, ніби ми іншим користувачем. Письмово вихід, ми повертаємося до нашого користувача.

Широко вживаний варіант - використання su за яким слід тире. Таким чином, щоб увійти як root, вам потрібно ввійти його - та увійти як інший користувач ваш - інший користувач. Різниця між використанням сценарію чи ні? Рекомендується використовувати скрипт, оскільки він імітує, що ви ввійдете в систему з цим користувачем; отже, він виконує всі файли запуску цього користувача, змінює поточний каталог на HOME цього користувача, змінює значення деяких системних змінних, адаптуючи їх до нового користувача (HOME, SHELL, TERM, USER, LOGNAME, серед іншого), і інші більше речей.

Сисадмін повинен бути дуже обережним при виборі пароля для облікового запису root / адміністратора, щоб уникнути нападу непривілейованого користувача, що працює su. У деяких Unix-подібних системах називається група користувачів колесо, який включає єдиних, хто може виконати su. Це може або не може зменшити проблеми з безпекою, оскільки зловмисник може просто взяти на себе один із цих облікових записів. su Однак GNU не підтримує використання цієї групи; це було зроблено з філософських міркувань.

Судо

Відповідна команда, викликана Суду, виконує команду як інший користувач, але дотримуючись ряду обмежень, щодо яких користувачі можуть виконувати які команди від імені інших користувачів (як правило, зазначені у файлі / etc / sudoers).

З іншого боку, на відміну su, Суду запитує у користувачів власний пароль замість потрібного користувача; це дозволяє делегувати команди користувачам на інших машинах без необхідності спільного використання паролів, зменшуючи ризик залишення терміналів без нагляду.

Судо проблеми: пільговий період

Перевага Суду з поваги до su полягає в тому, що він виконує лише запитувану команду, прикидаючись іншим користувачем, фактично не змінюючи поточного користувача. Це означає, що можна виконати команду як адміністратор, і наступної секунди вони матимуть привілеї користувача, яким користувались раніше ... або майже.

Деякі вважають порушенням безпеки той факт, що Суду надати "пільговий період", що дозволяє користувачеві виконувати команди як інший користувач, без необхідності повторного введення sudo перед командою та паролем після її виконання. Після цього "пільгового періоду", Суду знову запитає нас пароль.

Це "погано", по суті тому, що хтось може взяти на себе наш комп'ютер після введення пароля sudo, і поки активний "пільговий період", зробіть СТАРИХУ

На щастя, можна вимкнути «пільговий період», що покращить безпеку вашої системи. Просто додайте один рядок у файл / etc / sudoers:

sudo nano / etc / sudoers

І додайте наступний рядок у кінець файлу:

За замовчуванням: ALL timestamp_timeout = 0

Зміна набирає чинності негайно, без необхідності перезапускати систему.