- Uporabnik root ima popoln nadzor nad sistemom, kar omogoča kritične spremembe, ki lahko ogrozijo stabilnost opreme.
- Uporaba ukaza sudo je najvarnejša alternativa za izvajanje skrbniških nalog brez potrebe po prijavi kot super uporabnik.
- Delovanje kot root je povezano z resnimi tveganji, kot sta nenamerno brisanje vitalnih datotek ali ranljivost za zlonamerno programsko opremo s polnimi privilegiji.
- Podrobna konfiguracija sudoerjev omogoča dodelitev določenih dovoljenj določenim uporabnikom, kar izboljša sledljivost in varnost.
Ko se poglobimo v svet Linuxa, se neizogibno srečamo s postavo uporabnika root. V bistvu je ta uporabnik lastnik in gospodar sistema , račun z absolutnimi privilegiji, ki lahko počne, kar hoče, brez kakršnih koli ovir za dovoljenja, ki bi ga ustavile. Je ekvivalent skrbnika sistema Windows, čeprav je v Linuxu moč veliko globlja in bolj neposredna, zaradi česar je neverjetno orodje, a tudi dvorezen meč, če ga ne znamo uporabljati.
Večina nas vsakdanje življenje preživi kot običajen uporabnik, omejeno na to, da preprečimo, da bi zaradi malomarne napake izbrisala polovico operacijskega sistema. Vendar pa so nekatere naloge rezervirane izključno za root uporabnike , kot so namestitev kompleksnih programov ali spreminjanje občutljivih konfiguracijskih datotek. Tukaj pride do izraza interakcija med orodjima `sudo` in `su`, ki nam omogočata stopnjevanje privilegijev le, kadar je to nujno potrebno, s čimer preprečujemo, da bi pustili vrata odprta za operativne katastrofe ali zunanje napade.
Kaj točno je uporabnik root?
Superuporabnik root je račun z uporabniškim ID-jem (UID) 0. Medtem ko ima standardni uporabnik omejitve za zaščito sistemskega jedra, lahko root bere, piše in izvaja katero koli datoteko na disku. To vključuje upravljanje računov drugih uporabnikov, spreminjanje jedra ali brisanje celotnih particij brez sistemskega dovoljenja.
V distribucijah, kot je Ubuntu, je bila sprejeta varnostna filozofija, kjer root račun ni privzeto omogočen za neposredno prijavo. To ne pomeni, da root ne obstaja, ampak da nima dodeljenega gesla, tako da se nihče ne more neposredno prijaviti, kar sili skrbnika, da uporablja bolj nadzorovane metode za povečanje njegovih privilegijev.
Sudo proti Su: Kakšna je prava razlika?
Pogosto ju zamenjujejo, vendar delujeta različno. Ukaz `sudo` (superuporabnik naredi) je kot zahteva za enkratni privilegij. Omogoča vam, da izvedete določen ukaz s korenskimi pravicami, vendar ostanete običajen uporabnik. Sistem bo zahteval vaše geslo za potrditev vaše identitete in ko je dejanje končano, se vrnete k svojim običajnim privilegijem. Za več informacij si lahko ogledate naš celoten vodnik za dvig privilegijev z `sudo`.
Po drugi strani pa ukaz vaš (nadomestni uporabnik) Uporablja se za popolno spremembo vaše identitete. Če ga uporabite brez argumentov ali z su -Sistem vas bo vprašal za root uporabniško geslo da postane to za celotno terminalsko sejo. Veliko bolj priročno je, če morate narediti dvajset sprememb zapored, vendar je precej bolj tvegano ker bo vsaka napaka, ki jo naredite, medtem ko se v pozivu prikaže simbol #, neusmiljeno izvršena.
Nevarnosti igranja Boga v Linuxu
Delovanje kot root brez trdnega razumevanja, kaj počneš, je recept za katastrofo. Najbolj očitno tveganje je ... nenamerno brisanje datotečnega sistemaKlasična napaka je tek rm -rf /kar v bistvu računalniku naroči, naj izbriše vse od korena navzdol. Tudi napačno postavljen presledek v spremenljivki poti lahko povzroči to. uničenje kritičnih podatkov v nekaj sekundah
Druga kritična točka je varnost pred zunanjo programsko opremo. Zagon skriptov, prenesenih z interneta, s pravicami root je v bistvu predaja ključev vaše hiše neznancu . Če skript vsebuje rootkit ali zlonamerno programsko opremo, bo imel napadalec popoln nadzor nad strojno in programsko opremo, kar lahko ustvari nevidna zadnja vrata na ravni jedra, ki jih je skoraj nemogoče zaznati. Zato je ključnega pomena, da preučite priročnike o računalniški varnosti , da zaščitite svoj sistem.
Nenazadnje ne smemo pozabiti na izguba sledljivostiKo uporabljate sudo, sistem vodi dnevnik /var/log/auth.log kar kaže, kdo je kaj storil in kdaj. Če pa se prijavite neposredno kot root, se vsa dejanja beležijo preprosto kot »root«. V okolju z več skrbniki to pomeni, da Nemogoče je vedeti, kdo je zlomil sistem, kar močno otežuje revizije in odpravljanje napak.
Kako varno upravljati root račun
Če iz nekega razloga morate aktivirati root račun, mu lahko z ukazom dodelite geslo sudo passwd rootVendar pa je splošno priporočilo naj bo zaklenjeno skozi sudo passwd -l rootTo preprečuje, da bi kdo poskušal z grobo silo vdreti v najmočnejši račun na strežniku, še posebej, če imate omogočen dostop SSH.
Ko že govorimo o SSH, omogočanje neposredna prijava root-a en /etc/ssh/sshd_config To je resna ranljivost. V idealnem primeru se prijavite z običajnim uporabniškim računom in nato povečajte privilegije. Če se še vedno odločite, da jo omogočite, je nujno uporabiti Avtentikacija na podlagi ključa SSH namesto preprostih gesel, da preprečite avtomatiziranim botom, da bi v nekaj minutah uganili vaše geslo.
Obvladovanje datotečnih sistemov sudoer in visudo
Za učinkovito upravljanje lahko datoteko prilagodimo /etc/sudoersTe datoteke nikoli ne urejajte z običajnim urejevalnikom; vedno uporabite ukaz visudoRazlog je preprost: visudo pred shranjevanjem sprememb preveri sintaktične napake. Če datoteko sudoers poškodujete s tipkarsko napako, bi lahko biti izključen iz lastnega sistema brez možnosti uporabe sudo.
V tej datoteki lahko ustvarimo vzdevke za uporabnike in natančneje ukaze. Zelo uporabna funkcija je oznaka NOPASSWD , ki uporabniku omogoča izvajanje določenih ukazov (kot je ponovni zagon računalnika ali posodabljanje storitve), ne da bi bil pozvan k vnosu gesla . To je idealno za avtomatizacijo ali za uporabnike, ki morajo izvajati le zelo specifična opravila, ne da bi imeli popoln nadzor nad računalnikom.
Nasveti za gesla in njihovo obnovitev
Včasih izgubimo dostop ali pozabimo glavno geslo. V takih primerih nam Linux omogoča, da Ponastavitev gesla iz GRUB-aDostop do obnovitvenega načina in namestitev pogona z dovoljenji za pisanje z uporabo mount -o rw, remount /, lahko zaženemo ukaz passwd root in nastavite novo geslo iz konzole super uporabnika. V resnejših primerih orodja, kot so SystemRescue Lahko so najboljši reševalni sistem za ponovno vzpostavitev nadzora.
Druga možnost je uporaba a Ubuntu LiveCDKo zaženemo sistem z USB-ja, lahko particijo trdega diska priklopimo v začasni datotečni sistem z ukazom chroot "vstopiti" v namestitev diska in tam spremeniti geslo root. Gre za nekoliko bolj tehničen postopek, vendar izjemno učinkovito ko se sistem ne zažene ali je dostop blokiran.
Ohranjanje dobrih praks skrbništva Linuxa vključuje vedno uporabo načela najmanjših privilegijev : ne uporabljajte root-a, če je sudo zadosten, zapustite lupino superuporabnika takoj, ko končate z nalogo, in bodite vedno previdni pri vseh skriptih, ki zahtevajo zagon s povišanimi privilegiji. Ključno je omejiti izpostavljenost superuporabnika, tako da majhna človeška napaka ne povzroči popolne ponovne namestitve operacijskega sistema.
