- Pääkäyttäjällä on täysi hallinta järjestelmään, mikä sallii kriittiset muutokset, jotka voivat vaarantaa laitteiston vakauden.
- Sudon käyttö on turvallisin vaihtoehto hallinnollisten tehtävien suorittamiseen ilman, että tarvitsee kirjautua sisään pääkäyttäjänä.
- Pääkäyttäjänä toimimiseen liittyy vakavia riskejä, kuten tärkeiden tiedostojen vahingossa poistaminen tai alttius haittaohjelmille täysillä oikeuksilla.
- Sudoer-toimintojen rakeinen kokoonpano mahdollistaa tiettyjen käyttöoikeuksien delegoinnin tietyille käyttäjille, mikä parantaa jäljitettävyyttä ja tietoturvaa.
Kun sukellamme Linuxin maailmaan, kohtaamme väistämättä pääkäyttäjän hahmon. Pohjimmiltaan tämä käyttäjä on järjestelmän omistaja ja pääkäyttäjä , tili, jolla on absoluuttiset oikeudet ja joka voi tehdä mitä haluaa ilman mitään lupaesteitä. Se vastaa Windowsin järjestelmänvalvojaa, vaikka Linuxissa valta on paljon syvempi ja suorempi, mikä tekee siitä uskomattoman työkalun, mutta myös kaksiteräisen miekan, jos emme tiedä miten sitä käytetään.
Useimmille meistä arki kuluu tavallisena käyttäjänä, rajoitettuna estääkseen huolimattomuusvirheen pyyhkimästä puolta käyttöjärjestelmästä. Jotkin tehtävät on kuitenkin varattu yksinomaan rootille , kuten monimutkaisten ohjelmien asentaminen tai arkaluontoisten asetustiedostojen muokkaaminen. Tässä kohtaa `sudo`:n ja `su`:n välinen vuorovaikutus tulee mukaan kuvaan. Ne ovat työkaluja, joiden avulla voimme laajentaa oikeuksiamme vain ehdottoman välttämättömissä tapauksissa, estäen meitä jättämästä ovea avoimeksi toiminnallisille katastrofeille tai ulkoisille hyökkäyksille.
Mikä tarkalleen ottaen on pääkäyttäjä?
Pääkäyttäjän (root) käyttäjätunnus (UID) on 0. Vaikka tavallisella käyttäjällä on rajoituksia järjestelmän ytimen suojaamiseksi, pääkäyttäjä voi lukea, kirjoittaa ja suorittaa mitä tahansa levyllä olevaa tiedostoa. Tämä sisältää muiden käyttäjien tilien hallinnan, ytimen muokkaamisen tai kokonaisten osioiden poistamisen ilman järjestelmän lupaa.
Ubuntun kaltaisissa jakeluissa on omaksuttu turvallisuusfilosofia, jossa pääkäyttäjän tiliä ei ole oletuksena otettu käyttöön suoraa kirjautumista varten. Tämä ei tarkoita, etteikö pääkäyttäjää olisi olemassa, vaan pikemminkin, että sille ei ole määritettyä salasanaa, joten kukaan ei voi kirjautua sisään suoraan. Tämä pakottaa järjestelmänvalvojan käyttämään kontrolloidumpia menetelmiä oikeuksiensa nostamiseksi.
Sudo vs. Su: Mitä eroa niillä on?
Niitä usein sekoitetaan, mutta ne toimivat eri tavalla. `sudo`-komento (superuser do) on kuin kertaluonteisen käyttöoikeuden pyytäminen. Sen avulla voit suorittaa tietyn komennon pääkäyttäjän oikeuksilla, mutta pysyt tavallisena käyttäjänä. Järjestelmä pyytää salasanaasi henkilöllisyytesi varmistamiseksi, ja kun toiminto on valmis, palaat tavallisiin käyttöoikeuksiisi. Lisätietoja saat täydellisestä oppaastamme oikeuksien nostamisesta `sudo`-komennolla.
Toisaalta, komento sinun (sijaiskäyttäjä) Sitä käytetään identiteettisi täydelliseen muuttamiseen. Jos käytät sitä ilman argumentteja tai su -Järjestelmä kysyy sinulta root-käyttäjän salasana tulee siitä koko pääteistunnon ajaksi. Se on paljon kätevämpää, jos sinun on tehtävä kaksikymmentä muutosta peräkkäin, mutta se on huomattavasti riskialttiimpi koska kaikki virheet, jotka teet kehotteen näyttäessä #-symbolia, suoritetaan armottomasti.
Jumalan leikkimisen vaarat Linuxissa
Root-käyttäjänä toimiminen ilman vankkaa ymmärrystä siitä, mitä tekee, on tie katastrofiin. Ilmeisin riski on... tiedostojärjestelmän vahingossa tapahtuva poistaminenKlassinen virhe on juosta rm -rf /joka pohjimmiltaan käskee tietokonetta poistamaan kaiken juuresta alaspäin. Jopa väärin sijoitettu välilyönti polkumuuttujassa voi johtaa tähän. kriittisten tietojen tuhoaminen sekunneissa.
Toinen kriittinen seikka on suojaus ulkoisia ohjelmistoja vastaan. Internetistä ladattujen komentosarjojen suorittaminen pääkäyttäjän oikeuksilla on käytännössä kotisi avainten luovuttamista tuntemattomalle . Jos komentosarja sisältää rootkitin tai haittaohjelman, hyökkääjällä on täydellinen hallinta laitteistoon ja ohjelmistoon, mikä voi luoda näkymättömiä takaportteja kernel-tasolla, joita on lähes mahdotonta havaita. Siksi on tärkeää tutkia tietokoneiden tietoturvaoppaita järjestelmän suojaamiseksi.
Lopuksi, emme saa unohtaa jäljitettävyyden menetysKun käytät sudoa, järjestelmä pitää kirjaa /var/log/auth.log osoittaen kuka teki mitä ja milloin. Mutta jos kirjaudut sisään suoraan pääkäyttäjänä, kaikki toiminnot kirjataan lokiin yksinkertaisesti "pääkäyttäjänä". Ympäristössä, jossa on useita järjestelmänvalvojia, tämä tekee siitä On mahdotonta tietää, kuka rikkoi järjestelmänmikä vaikeuttaa huomattavasti tarkastuksia ja vikojen ratkaisua.
Kuinka hallita pääkäyttäjän tiliä turvallisesti
Jos jostain syystä sinun on aktivoitava pääkäyttäjän tili, voit antaa sille salasanan komennolla sudo passwd rootYleinen suositus on kuitenkin pidä se lukittuna kautta sudo passwd -l rootTämä estää jotakuta yrittämästä väkisin tunkeutua palvelimen tehokkaimpaan tiliin, varsinkin jos sinulla on SSH-yhteys käytössä.
SSH:sta puheen ollen, sen mahdollistaminen suora pääkäyttäjän kirjautuminen en /etc/ssh/sshd_config Tämä on vakava haavoittuvuus. Ihannetapauksessa sinun tulisi kirjautua sisään tavallisella käyttäjätililläsi ja sitten laajentaa käyttöoikeuksiasi. Jos päätät silti ottaa sen käyttöön, on välttämätöntä käyttää SSH-avaimeen perustuva todennus yksinkertaisten salasanojen sijaan, jotta automaattiset botit eivät arvaa salasanaasi muutamassa minuutissa.
Sudoer- ja visudo-tiedostojärjestelmien hallinta
Tehdäksemme hallinnasta tehokasta, voimme muokata tiedostoa /etc/sudoersÄlä koskaan muokkaa tätä tiedostoa tavallisella editorilla; käytä aina visudo-komentoSyy on yksinkertainen: visudo tarkistaa syntaksivirheet ennen muutosten tallentamista. Jos sudoers-tiedostossa on kirjoitusvirhe, saatat jäädä oman järjestelmäsi ulkopuolelle ilman mahdollisuutta käyttää sudoa.
Tämän tiedoston sisällä voimme luoda käyttäjille ja komennoille aliaksia tarkemmin sanottuna. Erittäin hyödyllinen ominaisuus on NOPASSWD- tagi , jonka avulla käyttäjä voi suorittaa tiettyjä komentoja (kuten käynnistää tietokoneen uudelleen tai päivittää palvelun) ilman, että salasanaa kysytään . Tämä on ihanteellista automaatioille tai käyttäjille, joiden tarvitsee suorittaa vain hyvin tiettyjä tehtäviä ilman tietokoneen täyttä hallintaa.
Salasanavinkkejä ja palautusta
Joskus menetämme pääsyn tai unohdamme pääsalasanan. Näissä tapauksissa Linux antaa meille mahdollisuuden Salasanan palauttaminen GRUBistaPalautustilan käyttäminen ja aseman liittäminen kirjoitusoikeuksilla käyttämällä mount -o rw, remount /, voimme käynnistää komennon passwd root ja aseta uusi salasana pääkäyttäjän konsolista. Vakavammissa tilanteissa työkalut, kuten SystemRescue Ne voivat olla paras pelastusjärjestelmä hallinnan palauttamiseksi.
Toinen vaihtoehto on käyttää a Ubuntu LiveCDKun olemme käynnistäneet järjestelmän USB-muistitikulta, voimme liittää kiintolevyosion väliaikaiseen tiedostojärjestelmään komennolla chroot "päästä" levyn asennusohjelmaan ja vaihtaa pääkäyttäjän salasana sieltä. Se on hieman teknisempi prosessi, mutta erittäin tehokas kun järjestelmä ei käynnisty tai pääsy siihen on estetty.
Hyvien Linux-ylläpitokäytäntöjen ylläpitämiseen kuuluu aina pienimpien oikeuksien periaatteen noudattaminen : älä käytä pääkäyttäjän oikeuksia, jos sudo riittää, poistu pääkäyttäjän komentotulkista heti tehtävän suoritettuasi ja ole aina varovainen kaikkien komentosarjojen suhteen, jotka pyytävät lupaa suorittaa se laajennetuilla oikeuksilla. Viime kädessä tärkeintä on rajoittaa pääkäyttäjän altistumista , jotta pieni inhimillinen virhe ei johda käyttöjärjestelmän täydelliseen uudelleenasennukseen.
