Qué es root en Linux, cómo usarlo y no romper el sistema

Guía Hardware » Guías de compra » Qué es root en Linux, cómo usarlo y no romper el sistema

Si usas GNU/Linux a diario, tarde o temprano te vas a topar con el famoso usuario root o superusuario del sistema. Es ese “personaje” que todo lo puede: instalar programas, borrar archivos clave, tocar configuraciones delicadas… y también dejar el sistema como un ladrillo si se usa sin cuidado.

Entender bien qué es root, en qué se diferencia de una cuenta normal, cómo funcionan comandos como sudo y su para escalar privilegios y cuáles son los riesgos reales de usar el superusuario es básico para cualquiera que quiera tomarse Linux mínimamente en serio, tanto en escritorio como en servidores.

Qué es root en Linux y tipos de usuarios

En los sistemas tipo Unix, como GNU/Linux, existe una cuenta muy especial llamada root, conocida también como superusuario o administrador global. Esta cuenta tiene control absoluto sobre el sistema: puede leer, modificar o borrar cualquier archivo, cambiar permisos y propietarios, gestionar usuarios, instalar o desinstalar software y, en máquinas dedicadas, ayudar a configurar y mantener servidores y alterar parámetros críticos.

Mientras que los usuarios corrientes tienen restricciones pensadas para proteger el sistema, root no tiene prácticamente ninguna limitación técnica. Por eso se suele comparar con el “Administrador” de Windows, aunque en Linux ese poder está aún más afinado y permite un grado de control bastante mayor sobre todos los componentes.

En Linux no existe un único tipo de cuenta; el sistema de permisos se apoya en distintos perfiles con distintos niveles de poder. A grandes rasgos, podemos hablar de tres grandes categorías de cuentas de usuario en un sistema GNU/Linux típico:

• Usuarios normales: son las cuentas que utilizamos en el día a día. Tienen su directorio personal (home), pueden ejecutar programas, guardar archivos propios y realizar tareas habituales, pero no pueden tocar archivos del sistema, instalar software global para todos o modificar la configuración del equipo sin elevar privilegios.
• root o superusuario: es la cuenta administrativa total. Puede entrar en cualquier directorio, manipular cualquier fichero, crear o borrar usuarios, cargar o descargar módulos del kernel, gestionar servicios y, en definitiva, hacer y deshacer sin restricciones técnicas. El sistema confía plenamente en lo que haga esta cuenta.
• Usuarios de sistema (daemons): son cuentas especiales que suelen utilizar los servicios y demonios (por ejemplo, un servidor FTP ProFTPD, servidores web, bases de datos, etc.). Normalmente tienen permisos mínimos y se usan para aislar procesos y reducir el impacto de posibles fallos o ataques.

Lo habitual en la mayoría de distribuciones modernas es que el usuario normal tenga ciertos privilegios administrativos delegados a través de sudo. De este modo, no hace falta iniciar sesión directamente como root para hacer tareas de administración, sino que se van pidiendo permisos puntuales. Esto es especialmente práctico si trabajas en entornos como tu homelab, donde conviene limitar el uso de la cuenta root.

Diferencias entre usuario normal, root, sudo y su

A la hora de gestionar un sistema GNU/Linux, se mezclan cuatro conceptos que conviene separar bien: la cuenta root, una cuenta de usuario normal, el comando sudo para ejecutar acciones puntuales con privilegios y el comando su para cambiar de usuario.

Un usuario normal dispone de un conjunto de permisos limitado. Por ejemplo, no puede instalar paquetes desde el repositorio, ni editar archivos de /etc o /boot, ni arrancar o detener muchos servicios del sistema. Todo esto se hace así por seguridad: si un programa malicioso se ejecuta con una cuenta normal, el daño queda muy acotado.

El usuario root, en cambio, no tiene cortapisas: cualquier comando que ejecute se da por bueno. Si lanza un rm mal puesto, el sistema no va a preguntar demasiado; simplemente hará lo que se le ordene, incluso si eso significa borrar medio sistema de archivos.

Para no ir abriendo sesiones de root por todo, muchas distros apuestan por sudo. Con sudo, un usuario autorizado puede ejecutar un comando concreto como root sin dejar de ser su usuario normal. Suele estar configurado para que pida la contraseña del propio usuario (no la de root), lo que facilita delegar tareas sin ir repartiendo contraseñas maestras.

El comando su, por su parte, sirve para cambiar de identidad dentro de la terminal y adoptar la de otro usuario. Si se invoca sin argumentos o con un guion (su -, su -l), lo normal es que cambie a la cuenta root, pidiendo su contraseña. En ese momento, el shell pasa a ser un shell de root con todas las consecuencias.

Cómo funciona sudo en Linux

Cuando usamos sudo, lo que ocurre internamente es que el sistema consulta el archivo de configuración /etc/sudoers (y, en muchos casos, los ficheros adicionales de /etc/sudoers.d) para ver qué usuario puede ejecutar qué comandos, en qué máquinas y como qué otro usuario. Solo si la combinación encaja con las reglas definidas, se permite la ejecución.

La forma de uso es muy sencilla: basta con anteponer sudo al comando que quieras lanzar con permisos elevados. Por ejemplo, para instalar un programa con el gestor de paquetes APT en Debian o Ubuntu, utilizarías algo como:

sudo apt install gparted

Al ejecutar esta orden, el sistema pedirá la contraseña del usuario que la ha lanzado (si está autorizado en sudoers). Una vez validada, el comando apt se ejecutará como si lo hubiera lanzado root, pero al terminar volverás a tu sesión normal sin privilegios especiales.

En muchas configuraciones por defecto, sudo incorpora un pequeño “tiempo de gracia”: durante unos minutos después de introducir la contraseña, permitirá ejecutar más comandos sudo sin volver a pedirla. Esto es cómodo, pero también abre una ventana de riesgo si alguien se sienta en tu equipo en ese intervalo. Este comportamiento se puede ajustar o desactivar modificando /etc/sudoers con la directiva adecuada (por ejemplo, timestamp_timeout=0).

Si un usuario no forma parte del grupo adecuado (por ejemplo, grupo sudo o admin según la distro) o no está listado explícitamente en /etc/sudoers, cualquier intento de usar sudo devolverá un mensaje del tipo “user is not in the sudoers file”. Para incluirlo, se suele hacer algo como:

sudo usermod -aG sudo nombre_usuario

O en otras distros:

sudo adduser nombre_usuario sudo

Una regla típica de /etc/sudoers en sistemas basados en Debian puede verse así, indicando que todas las cuentas del grupo sudo pueden ejecutar cualquier comando como cualquier usuario y grupo:

%sudo ALL=(ALL:ALL) ALL

Cómo funciona su y cuándo usarlo

El comando su viene de “substitute user” (cambiar de usuario). Su función principal es permitirte adoptar la identidad de otra cuenta dentro del mismo terminal, normalmente para moverte a root o para gestionar servicios que corren bajo usuarios específicos.

Si ejecutas simplemente:

su

el sistema asumirá que quieres convertirte en root y te pedirá la contraseña de root. Si la validación es correcta, pasarás a tener una shell como superusuario, conservando en muchos casos parte del entorno del usuario anterior (variables, directorio actual, etc.).

Para que el cambio sea limpio y cargue el entorno completo del nuevo usuario, se recomienda usar la variante con guion:

su -

Esta forma inicia una sesión de login del usuario destino (root si no se indica otro), lo que implica que se aplican sus rutas, variables de entorno y directorio home, reduciendo confusiones y errores derivados de heredar rutas del usuario anterior.

Si lo que quieres es cambiar a otro usuario distinto de root, puedes indicarlo explícitamente:

su nombre_de_usuario

En este caso, se pedirá la contraseña de ese usuario concreto y, si es correcta, su identidad quedará activa en esa terminal hasta que salgas con el comando:

exit

Trabajar como root con su es útil cuando necesitas hacer varias operaciones administrativas seguidas sin ir anteponiendo sudo en cada orden. Eso sí, prolongar una sesión de root abierta aumenta la probabilidad de cometer un error con consecuencias serias.

Para qué se usa root en la práctica

La teoría está muy bien, pero donde se aprecia de verdad la importancia del superusuario es en las tareas del día a día. Hay muchas acciones que solo pueden ejecutarse con permisos de root o mediante sudo/su, precisamente porque afectan a la estabilidad y seguridad del sistema.

Una de las funciones más típicas es la instalación y actualización de software. La mayoría de gestores de paquetes del sistema (apt, dnf, pacman, zypper, etc.) exigen que las operaciones que cambian el software global se ejecuten como root. Un ejemplo claro sería:

sudo apt-get update
sudo apt-get upgrade

Otra tarea habitual es la edición de archivos de configuración en directorios como /etc. Un simple usuario no puede modificar estos ficheros porque un error podría dejar inservible un servicio crítico o incluso el arranque. Por eso, para editarlos se recurre a editores de texto ejecutados con privilegios elevados, por ejemplo:

sudo nano /etc/hosts

Root también es el usuario encargado de cambiar contraseñas de otras cuentas, incluida la propia cuenta root. Para ello se utiliza el comando passwd. Por ejemplo, para establecer una nueva clave de superusuario en muchas distros bastaría con:

sudo passwd root

O ya logueado como root:

passwd root

Otras acciones claramente reservadas al superusuario son apagar o reiniciar el equipo desde la terminal, manipular permisos a bajo nivel o gestionar dispositivos de hardware. Comandos como reboot, poweroff o shutdown suelen requerir permisos administrativos:

sudo reboot
sudo poweroff

Del mismo modo, manipular módulos del kernel con herramientas como modprobe, cambiar propietarios de archivos en /usr o /var con chown o eliminar ficheros del sistema con rm en rutas sensibles son operaciones que solo root puede ejecutar… y que por ello hay que meditar dos veces antes de lanzar.

Gestión de archivos del sistema como root: comandos básicos

Cuando nos movemos por el sistema de archivos con poderes de superusuario, es fundamental dominar unos cuantos comandos de terminal que, bien usados, son imprescindibles y, mal usados, pueden ser letales para la integridad del sistema.

Entre los más importantes relacionados con la gestión de ficheros y directorios están:

• ls: lista el contenido de un directorio. Con opciones como -l o -a puedes ver permisos, propietarios o archivos ocultos.
• cp: copia archivos. Con la opción -r permite copiar directorios completos de forma recursiva.
• mv: mueve o renombra archivos y carpetas. Muy útil para reorganizar el sistema o hacer copias de seguridad rápidas renombrando.
• rm: borra archivos o directorios. Con -r y -f se vuelve extremadamente peligroso, ya que puede eliminar árboles completos de directorios sin pedir confirmación.
• chmod: modifica permisos (lectura, escritura, ejecución) para propietario, grupo y otros.
• chown: cambia el propietario y, opcionalmente, el grupo de uno o más ficheros o carpetas.
• nano o vim: editores de texto en terminal, usados habitualmente para editar configuraciones de sistema como root.

Un ejemplo muy práctico sería el caso de instalar una fuente tipográfica manualmente en una ruta de sistema como /usr/share/fonts. Para colocar un archivo ZIP o una carpeta de fuentes allí, harías algo así:

sudo cp /home/usuario/Descargas/Underdog.zip /usr/share/fonts/
sudo cp -r /home/usuario/Descargas/Underdog /usr/share/fonts/

Al ser un directorio protegido, sin sudo obtendrías un error de permisos. Una vez copiados los archivos, podrías revisar permisos con:

ls -l /usr/share/fonts/Underdog

Si deseas ajustar permisos para que todo el mundo pueda leer la fuente, pero solo root pueda modificarla, algo típico sería aplicar:

sudo chmod 644 /usr/share/fonts/Underdog/*.ttf

Ese 644 indica que el propietario tiene lectura y escritura (6), mientras que el grupo y el resto de usuarios solo tienen lectura (4 y 4). Para que un usuario regular pueda gestionar el archivo sin recurrir a sudo, podrías cambiarle también el propietario con:

sudo chown debian:debian /usr/share/fonts/Underdog/*.ttf

Por último, si quisieras eliminar una fuente o carpeta concreta de esa ruta, harías algo como:

sudo rm /usr/share/fonts/Underdog/archivo.ttf
sudo rm -r /usr/share/fonts/Underdog

Aquí es donde más cuidado hay que tener: nunca lances un rm -rf contra directorios del sistema sin revisar dos veces la ruta completa. Comandos del estilo sudo rm -rf / o variaciones con variables mal definidas pueden destrozar todo el sistema en cuestión de segundos.

Mostrar asteriscos al escribir la contraseña de sudo

Algo que desconcierta a muchos recién llegados a Linux es que, al escribir la contraseña en sudo, no aparece ningún carácter en pantalla: ni puntos, ni asteriscos, nada. Esto se hizo históricamente para que nadie pudiera deducir la longitud de la clave mirando por encima del hombro.

Sin embargo, en la práctica, esta “invisibilidad total” de la contraseña muchas veces genera más dudas que beneficios. Por eso existen mecanismos para mostrar un asterisco por cada carácter que se va tecleando, de forma que el usuario sepa que realmente está escribiendo algo sin revelar la longitud exacta.

En sudo, esta funcionalidad se activa con la opción pwfeedback dentro del archivo de configuración. Para cambiarlo, hay que editar /etc/sudoers usando siempre la herramienta adecuada, que es visudo:

sudo visudo

Una vez dentro del editor (normalmente vi, nano, etc. dependiendo de la distro), solo habría que añadir una línea con la directiva correspondiente, por ejemplo:

Defaults pwfeedback

Tras guardar y salir, sudo comenzará a mostrar asteriscos al introducir la contraseña. Si en algún momento prefieres volver al comportamiento clásico, basta con regresar a visudo y eliminar dicha línea.

Riesgos reales de usar root sin cuidado

La cuenta root es imprescindible para administrar un sistema Linux, pero también es, con diferencia, la herramienta más peligrosa si se usa a la ligera. El diseño de permisos en GNU/Linux está pensado precisamente para que la mayoría de acciones se hagan con usuarios normales, reduciendo el impacto de errores o malware.

Cuando elevamos privilegios con sudo o su, o iniciamos sesión directamente como root, estamos desactivando gran parte de esos mecanismos de protección. Algunos de los riesgos más graves que corremos son muy concretos y conviene tenerlos muy presentes.

Uno de los escenarios más temidos es la eliminación accidental de partes críticas del sistema de archivos. Comandos como:

sudo rm -rf /*
sudo rm -rf /

pueden borrar prácticamente todo el contenido del disco, dejando el sistema completamente inutilizable. Incluso órdenes aparentemente inofensivas pero mal parametrizadas, como un rm con una variable sin definir:

rm -rf "$directorio"/*

pueden tener efectos devastadores si $directorio está vacío o apunta a una ruta incorrecta. Con root, el sistema no va a frenar ese tipo de errores; simplemente obedecerá.

Otro peligro importante es la ejecución de software malicioso con permisos de superusuario. Descargar scripts de Internet y lanzarlos directamente con sudo, o instalar paquetes de origen dudoso, abre la puerta a rootkits, spyware y todo tipo de malware que puede incrustarse en el sistema y ganar persistencia a muy bajo nivel. Por eso conviene seguir buenas prácticas y consultar guías sobre seguridad en internet antes de ejecutar código desconocido.

Además, root puede modificar permisos y propietarios de archivos clave. Un comando mal tirado como:

sudo chmod 000 /etc

o cambios agresivos en rutas como /boot, /etc/passwd o en el cargador de arranque pueden dejar el sistema inarrancable o bloquear incluso el acceso desde modos de recuperación. En algunos casos extremos, recuperar la máquina puede implicar usar medios externos o reinstalar completamente.

Por todo esto, la regla de oro es simple: usa root solo cuando sea imprescindible y durante el menor tiempo posible. Para el resto, mantente en tu cuenta normal aunque parezca más incómodo.

Activar, desactivar y recuperar la cuenta root

Dependiendo de la distribución, la cuenta root puede venir habilitada, deshabilitada o con una contraseña bloqueada por defecto. Esto se hace, otra vez, por seguridad: en sistemas orientados a usuarios menos avanzados, se prefiere que todo pase por sudo en lugar de que la gente inicie sesión directamente como root.

En sistemas donde root está accesible, compartir su contraseña alegremente entre varios usuarios es una muy mala idea. Si esa clave empieza a circular por el equipo o por la oficina, cualquiera con acceso a ella puede hacer cambios irreversibles sin dejar apenas rastro de quién ha sido.

Una medida habitual para minimizar ese riesgo es bloquear la cuenta root mientras se mantiene el uso de sudo para los administradores. En muchas distros, se puede hacer con:

sudo passwd -l root

Ese -l indica “lock” (bloquear). Con esto se impide iniciar sesión directamente como root o usar su para cambiar a esa cuenta si no existe una contraseña válida. Aun así, los usuarios que formen parte del grupo sudo seguirán pudiendo elevar privilegios puntualmente para tareas administrativas.

Si en algún momento necesitamos reactivar root (por ejemplo, para mantenimiento puntual o porque así lo requiere cierta política interna), bastará con establecerle de nuevo una contraseña usando:

sudo passwd root

En distribuciones que vienen con root bloqueado por defecto, como muchas basadas en Ubuntu, este comando sirve tanto para habilitar la cuenta por primera vez como para cambiarle la clave cuando se ha olvidado o se quiere renovar.

En cuanto al restablecimiento de la contraseña cuando ya no recordamos la antigua, hay dos caminos clásicos: usar las opciones avanzadas de GRUB (modo recovery) o arrancar desde un LiveCD/LiveUSB para manipular el sistema desde fuera.

Recuperar la contraseña de root desde GRUB

Si tienes acceso físico a la máquina, una forma bastante directa de restaurar la clave de root es aprovechar el modo de recuperación que muchas distros integran en GRUB, el menú de arranque. El flujo general sería algo así:

Primero, reinicia el equipo y, cuando aparezca GRUB, entra en las opciones avanzadas para tu kernel. Allí deberías ver una entrada de “Recovery Mode”. Al seleccionarla, el sistema arrancará en un entorno de rescate con varias opciones.

Entre ellas suele aparecer una opción “root” para abrir una shell de superusuario. Al activarla, obtendrás un prompt de root, pero en muchos casos el sistema de archivos estará montado solo en lectura, por lo que no podrás cambiar contraseñas todavía.

Para permitir cambios, hay que remontar la raíz con permisos de escritura usando algo como:

mount -o rw,remount /

Hecho esto, ya puedes invocar passwd para asignar una nueva clave a la cuenta root:

passwd root

Cuando termine el proceso (te pedirá la nueva contraseña dos veces), conviene forzar que los datos se graben realmente en disco y luego reiniciar:

sync
reboot

Tras el reinicio, la nueva contraseña de root quedará activa y podrás usarla tanto para iniciar sesión (si la cuenta está habilitada) como para su, etc.

Recuperar la contraseña de root con un LiveCD

La otra vía clásica, muy útil si el sistema no arranca correctamente o si GRUB no ofrece un modo de recuperación funcional, es arrancar desde una distribución en modo Live, ya sea desde DVD o USB. Cualquier distro moderna sirve, aunque muchas guías recomiendan Ubuntu por comodidad.

El procedimiento básico consiste en montar la partición del sistema instalado y “entrar” en él mediante chroot para poder ejecutar comandos como si lo hubieras arrancado normalmente. Un esquema típico de pasos sería:

Arranca desde el medio Live y selecciona la opción de “Probar” la distro sin instalar. Una vez en el escritorio, abre una terminal y conviértete en root o en usuario con sudo. En Ubuntu Live, por ejemplo, puedes hacer:

sudo su

Después, identifica la partición donde está instalado el Linux al que quieres resetear la contraseña. Con fdisk -l puedes listar los discos y particiones disponibles:

fdisk -l

Digamos que tu sistema está en /dev/sda1. Crea un punto de montaje y monta ahí la raíz del sistema instalado:

mkdir /mnt/recover
mount /dev/sda1 /mnt/recover

A continuación, usa chroot para “cambiar” la raíz de tu entorno actual al del sistema montado. A partir de ese momento, los comandos que lances afectarán al sistema instalado, no al Live:

chroot /mnt/recover

Ahora ya puedes usar passwd igual que si hubieras iniciado el sistema de forma normal:

passwd root

Una vez establecida la nueva clave, sal del chroot, desmonta la partición y reinicia. Cuando arranques de nuevo desde el disco duro, root tendrá la contraseña que hayas configurado durante el proceso en modo Live.

Buenas prácticas al usar el superusuario

Con todo lo visto, queda bastante claro que root es tan útil como delicado. Para sacarle partido sin sufrir sustos, conviene seguir una serie de pautas de sentido común que reducen mucho el riesgo de romper el sistema por error.

La recomendación más repetida es evitar, en la medida de lo posible, iniciar sesión gráfica o de consola directamente como root. En vez de eso, trabaja con un usuario normal y recurre a sudo para acciones concretas. Así, cualquier comando que lances por costumbre (un rm, un mv, etc.) se ejecutará con permisos limitados salvo que explícitamente pidas lo contrario.

Antes de editar archivos sensibles del sistema, como los de /etc, /boot o configuraciones de servicios, es muy buena idea hacer una copia de seguridad rápida del fichero original. Un simple cp nombre.conf nombre.conf.bak puede ahorrarte peleas largas si algo deja de funcionar tras un cambio.

Cuando uses rm con sudo, tómate la costumbre de comprobar con ls que estás en el directorio correcto y que el nombre del archivo o carpeta es el que realmente quieres borrar. Si tienes dudas, mejor no lanzar el comando hasta estar seguro.

Desconfía especialmente de cualquier comando largo que te encuentres en foros, blogs o vídeos y que incluya sudo o su al principio. No ejecutes nada que no entiendas, y menos aún si viene de una fuente poco fiable. Un solo script malicioso con permisos de root puede dejar un backdoor instalado durante años.

Por último, recuerda que puedes afinar mucho lo que un usuario puede hacer con sudo editando /etc/sudoers vía visudo. Gracias a alias de usuarios, alias de comandos y etiquetas como NOPASSWD, es posible delegar tareas muy concretas (apagar el equipo, gestionar un servicio, etc.) sin dar barra libre a todo el sistema, encontrando así un buen equilibrio entre comodidad y seguridad.

Entender bien qué es root en Linux y cómo se relaciona con herramientas como sudo, su, la configuración de sudoers y los mecanismos de recuperación de contraseñas te da un control enorme sobre tu sistema; usado con cabeza, ese poder te permite mantener equipos estables, seguros y adaptados exactamente a lo que necesitas, evitando a la vez que un simple despiste convierta tu instalación en un bonito pisapapeles digital.