Sự khác biệt giữa sudo và su là gì?

Một vài ngày trước, tôi nhận được một truy vấn từ Miguel, một người đọc blog thường xuyên và người bình luận bắt buộc, liên quan đến chính xác thì sự khác biệt giữa sudo y su. Đặc biệt, Miguel lo lắng về việc liệu phương pháp này có an toàn hơn phương pháp kia hay không. Nó xảy ra rằng tôi đã đọc ở đó rằng sudo không đủ an toàn và muốn biết thêm. Đây là một bài đăng khác dành riêng cho những người đã yêu cầu các bài viết khác về bí ẩn cuối cùng.

Su

Chương trình su Cho phép bạn sử dụng trình bao của người dùng khác mà không cần đăng xuất khỏi phiên hiện tại. Nó thường được sử dụng để đạt được quyền root cho các hoạt động quản trị mà không cần phải đăng xuất và vào lại hệ thống. Một số môi trường máy tính để bàn, bao gồm GNOME và KDE, có các chương trình yêu cầu mật khẩu bằng đồ thị trước khi cho phép người dùng thực thi một lệnh thường yêu cầu quyền truy cập đó.

Tên su xuất phát từ tiếng Anh sđồ ăn uống uđược (người dùng thay thế). Cũng có những người làm cho nó bắt nguồn từ snâng cấpuser (siêu người dùng, nghĩa là người dùng gốc hoặc người dùng quản trị) vì nó thường được sử dụng để áp dụng vai trò quản trị viên hệ thống.

Khi bạn chạy, su Nó yêu cầu mật khẩu của tài khoản bạn muốn truy cập và nếu nó được chấp nhận, nó sẽ cấp quyền truy cập vào tài khoản đó.

[guy @ localhost] $ Mật khẩu của bạn: [root @ localhost] # thoát đăng xuất [guy @ localhost] $

Bằng cách không đặt người dùng, nó được truy cập với tư cách quản trị viên. Tuy nhiên, cũng có thể chuyển một tên người dùng khác làm tham số.

[guy @ localhost] $ su mongo Mật khẩu: [mongo @ localhost] # thoát đăng xuất [guy @ localhost] $

Sau khi nhập mật khẩu, chúng tôi có thể thực hiện các lệnh như thể chúng tôi là người dùng khác. Bằng văn bản ra, chúng tôi quay trở lại người dùng của chúng tôi.

Một biến thể được sử dụng rộng rãi là sử dụng su theo sau là dấu gạch ngang. Vì vậy, để đăng nhập với quyền root, bạn phải nhập của anh ấy - và đăng nhập với tư cách người dùng khác của bạn - người dùng khác. Sự khác biệt giữa việc sử dụng script hay không? Bạn nên sử dụng tập lệnh vì nó mô phỏng rằng bạn sẽ đăng nhập với người dùng đó; do đó, nó thực thi tất cả các tệp khởi động của người dùng đó, thay đổi thư mục hiện tại thành HOME của người dùng đó, thay đổi giá trị của một số biến hệ thống thích ứng với người dùng mới (HOME, SHELL, TERM, USER, LOGNAME, trong số những biến khác) và khác nhiều điều hơn.

Một sysadmin phải rất cẩn thận khi chọn mật khẩu cho tài khoản root / administrator, để tránh bị tấn công bởi một người dùng không có đặc quyền đang chạy su. Một số hệ thống giống Unix có một nhóm người dùng được gọi là bánh xe, bao gồm những người duy nhất có thể thực thi su. Điều này có thể hoặc không thể làm giảm các lo ngại về bảo mật, vì kẻ xâm nhập có thể chỉ cần chiếm một trong những tài khoản đó. Anh ta su GNU, tuy nhiên, không hỗ trợ việc sử dụng nhóm đó; điều này đã được thực hiện vì lý do triết học.

Sudo

Một lệnh liên quan, được gọi là sudo, thực thi một lệnh với tư cách người dùng khác, nhưng tôn trọng một loạt các hạn chế mà người dùng có thể thực hiện lệnh nào thay mặt cho người dùng khác (thường được chỉ định trong tệp / etc / sudoers).

Mặt khác, không giống như su, sudo nhắc người dùng nhập mật khẩu của chính họ thay vì người dùng được yêu cầu; điều này cho phép ủy quyền các lệnh cho người dùng trên các máy khác mà không cần phải chia sẻ mật khẩu, giảm nguy cơ bỏ quên thiết bị đầu cuối.

Vấn đề Sudo: thời gian gia hạn

Lợi thế của sudo đôi vơi su là nó chỉ thực hiện lệnh được yêu cầu giả vờ là người dùng khác, mà không thực sự thay đổi người dùng hiện tại. Điều này ngụ ý rằng một người có thể thực hiện một lệnh với tư cách là quản trị viên và trong giây tiếp theo, họ sẽ có các đặc quyền của người dùng mà họ đã sử dụng trước đây ... hoặc gần như vậy.

Một số coi là vi phạm an ninh thực tế là sudo cấp một "thời gian gia hạn" cho phép người dùng thực hiện các lệnh với tư cách là một người dùng khác mà không cần phải nhập liên tục sudo trước lệnh và mật khẩu sau khi thực hiện lệnh đó. Sau "thời gian gia hạn" đó, sudo sẽ hỏi lại chúng tôi mật khẩu.

Điều này là "xấu", về cơ bản là vì ai đó có thể chiếm máy tính của chúng tôi sau khi chúng tôi đã nhập mật khẩu sudo và trong khi "thời gian gia hạn" đang hoạt động, tạo ra một KHUYẾN CÁO.

May mắn thay, có thể vô hiệu hóa "thời gian gia hạn", điều này sẽ cải thiện tính bảo mật cho hệ thống của bạn. Chỉ cần thêm một dòng trong tệp / etc / sudoers:

sudo nano / etc / sudoers

Và thêm dòng sau vào cuối tệp:

Mặc định: ALL timestamp_timeout = 0

Thay đổi có hiệu lực ngay lập tức mà không cần khởi động lại hệ thống.