- Šakninis vartotojas turi visišką sistemos valdymą, leisdamas atlikti kritinius pakeitimus, kurie gali pakenkti įrangos stabilumui.
- „Sudo“ naudojimas yra saugiausia alternatyva administracinėms užduotims vykdyti neprisijungiant kaip supervartotojo.
- Veikiant kaip root vartotojui kyla rimtų pavojų, pavyzdžiui, netyčia ištrinant svarbius failus arba turint visas teises, kyla pažeidžiamumas kenkėjiškų programų.
- Dėl detalios „sudoers“ konfigūracijos galima deleguoti konkrečius leidimus konkretiems vartotojams, taip pagerinant atsekamumą ir saugumą.
Pasinerdami į „Linux“ pasaulį, neišvengiamai susiduriame su root vartotojo figūra. Iš esmės šis vartotojas yra sistemos savininkas ir valdytojas – paskyra su absoliučiomis teisėmis, galinti daryti ką nori, be jokių leidimų apribojimų. Tai „Windows“ administratoriaus atitikmuo, nors „Linux“ sistemoje galia yra daug gilesnė ir tiesioginė, todėl tai yra neįtikėtinas įrankis, bet kartu ir dviašmenis kardas, jei nežinome, kaip juo naudotis.
Daugumai iš mūsų kasdienis gyvenimas praleidžiamas kaip eiliniam vartotojui, apribotam siekiant išvengti neatsargios klaidos, kuri sunaikintų pusę operacinės sistemos. Tačiau kai kurios užduotys, pavyzdžiui, sudėtingų programų diegimas ar jautrių konfigūracijos failų keitimas, yra skirtos tik root vartotojams . Čia praverčia „sudo“ ir „su“ sąveika – įrankiai, leidžiantys mums didinti teises tik tada, kai tai absoliučiai būtina, neleidžiant mums atsirasti operacinėms nelaimėms ar išorinėms atakoms.
Kas tiksliai yra root vartotojas?
Šakninis supervartotojas yra paskyra, kurios vartotojo ID (UID) yra 0. Nors standartinis vartotojas turi apribojimų, skirtų sistemos branduoliui apsaugoti, root gali skaityti, rašyti ir vykdyti bet kurį failą diske. Tai apima kitų vartotojų paskyrų valdymą, branduolio modifikavimą arba ištisų skaidinių ištrynimą be sistemos leidimo.
Tokiose distribucijose kaip „Ubuntu“ buvo priimta saugumo filosofija, kai pagal numatytuosius nustatymus root paskyra nėra leidžiama tiesiogiai prisijungti. Tai nereiškia, kad root neegzistuoja, o kad jai nėra priskirto slaptažodžio, todėl niekas negali prisijungti tiesiogiai, todėl administratorius yra priverstas naudoti labiau kontroliuojamus metodus savo privilegijoms padidinti.
Sudo ir Su: koks tikrasis skirtumas?
Jie dažnai painiojami, tačiau veikia skirtingai. Komanda „sudo“ („superuser do“) yra tarsi vienkartinės privilegijos prašymas. Ji leidžia vykdyti konkrečią komandą su root teisėmis, tačiau liekate įprastu vartotoju. Sistema paprašys slaptažodžio , kad patvirtintų jūsų tapatybę, o atlikus veiksmą, grįšite prie įprastų privilegijų. Daugiau informacijos galite rasti mūsų išsamiame vadove, kaip padidinti privilegijas naudojant „sudo“.
Kita vertus, komanda jūsų (pakaitinis vartotojas) Jis naudojamas visiškai pakeisti jūsų tapatybę. Jei jį naudosite be argumentų arba su... su -Sistema jūsų paklaus, root vartotojo slaptažodis kad jis taptų visam terminalo seansui. Tai daug patogiau, jei reikia atlikti dvidešimt pakeitimų iš eilės, bet tai yra žymiai rizikingesnis nes bet kokia klaida, kurią padarysite, kai raginime rodomas simbolis #, bus negailestingai įvykdyta.
Dievo vaidinimo pavojai Linux sistemoje
Veikimas kaip root vartotojui neturint tvirto supratimo apie tai, ką darote, yra tiesus kelias į katastrofą. Akivaizdžiausia rizika yra... atsitiktinis failų sistemos ištrynimasKlasikinė klaida – bėgti rm -rf /kuris iš esmės nurodo kompiuteriui ištrinti viską nuo šaknies žemyn. Net ir neteisingai įterpta tarpo vieta kelio kintamajame gali tai sukelti. sunaikinti svarbius duomenis per kelias sekundes.
Kitas svarbus aspektas – apsauga nuo išorinės programinės įrangos. Paleidus iš interneto atsisiųstus scenarijus su root teisėmis, iš esmės nepažįstamajam perduodami savo namų raktai . Jei scenarijuje yra rootkit arba kenkėjiška programa, užpuolikas visiškai kontroliuos aparatinę ir programinę įrangą, todėl branduolio lygmenyje gali sukurti nematomas spragas, kurių beveik neįmanoma aptikti. Todėl labai svarbu studijuoti kompiuterių saugumo vadovus , kad apsaugotumėte savo sistemą.
Galiausiai, neturime pamiršti, atsekamumo praradimasKai naudojate sudo, sistema saugo prisijungimo duomenis. /var/log/auth.log nurodant, kas ką ir kada atliko. Tačiau jei prisijungiate tiesiogiai kaip root, visi veiksmai registruojami tiesiog kaip „root“. Aplinkoje su keliais administratoriais tai reiškia, kad Neįmanoma žinoti, kas sugriovė sistemą, labai apsunkindamas auditus ir gedimų šalinimą.
Kaip saugiai valdyti root paskyrą
Jei dėl kokių nors priežasčių reikia aktyvuoti root paskyrą, galite jai priskirti slaptažodį naudodami komandą sudo passwd rootTačiau bendra rekomendacija yra laikykite jį užrakintą per sudo passwd -l rootTai neleidžia kam nors bandyti įsilaužti į galingiausią serverio paskyrą, ypač jei įjungta SSH prieiga.
Kalbant apie SSH, įgalinant tiesioginis root prisijungimas en /etc/ssh/sshd_config Tai rimtas pažeidžiamumas. Idealiu atveju turėtumėte prisijungti naudodami savo įprastą vartotojo paskyrą ir tada padidinti teises. Jei vis tiek nuspręsite jį įjungti, būtina naudoti SSH raktu pagrįstas autentifikavimas vietoj paprastų slaptažodžių, kad automatiniai robotai negalėtų atspėti jūsų slaptažodžio per kelias minutes.
Sudoers ir Visudo failų sistemų įvaldymas
Kad administravimas būtų efektyvesnis, galime pakoreguoti failą /etc/sudoersNiekada neredaguokite šio failo įprastu redaktoriumi; visada naudokite „visudo“ komandaPriežastis paprasta: „visudo“ prieš išsaugodama pakeitimus patikrina, ar nėra sintaksės klaidų. Jei sulaužysite „sudoers“ failą dėl rašybos klaidos, galite... būti paliktam už savo sistemos ribų be galimybės naudoti sudo.
Šiame faile galime sukurti vartotojų ir komandų slapyvardžius, kad būtų tiksliau. Labai naudinga funkcija yra žymė NOPASSWD , kuri leidžia vartotojui vykdyti tam tikras komandas (pvz., paleisti kompiuterį iš naujo arba atnaujinti paslaugą) neprašant slaptažodžio . Tai idealiai tinka automatizavimui arba vartotojams, kuriems reikia atlikti tik labai specifines užduotis, neturint visiškos kompiuterio kontrolės.
Slaptažodžio patarimai ir atkūrimas
Kartais prarandame prieigą arba pamirštame pagrindinį slaptažodį. Tokiais atvejais „Linux“ leidžia mums tai padaryti. Atkurti slaptažodį iš GRUBPrieiga prie atkūrimo režimo ir disko prijungimas su rašymo teisėmis naudojant mount -o rw, remount /, galime paleisti komandą passwd root ir nustatykite naują slaptažodį iš supervartotojo konsolės. Rimtesnėse situacijose gali padėti tokie įrankiai kaip SystemRescue Jie gali būti pagrindinė gelbėjimo sistema, padedanti atgauti kontrolę.
Kitas variantas yra naudoti a Ubuntu LiveCDPaleidę sistemą iš USB, standžiojo disko skaidinį galime prijungti prie laikinosios failų sistemos naudodami komandą chroot „įeiti“ į disko diegimo programą ir iš ten pakeisti pagrindinį slaptažodį. Tai šiek tiek techninis procesas, bet itin efektyvus kai sistema neįsijungia arba prieiga yra užblokuota.
Geros „Linux“ administravimo praktikos laikymasis apima visada taikomą mažiausių privilegijų principą : nenaudokite root teisių, jei pakanka sudo, išeikite iš supervartotojo terminalo, kai tik baigsite užduotį, ir visada būkite atsargūs su bet kokiu scenarijumi, kuris prašo paleisti su padidintomis privilegijomis. Svarbiausia yra apriboti supervartotojo pažeidžiamumą , kad maža žmogiška klaida nesukeltų visiško operacinės sistemos diegimo iš naujo.
