- Коронни корисник има потпуну контролу над системом, дозвољавајући критичне измене које могу угрозити стабилност опреме.
- Коришћење команде sudo је најбезбеднија алтернатива за покретање административних задатака без потребе за пријављивањем као суперкорисник.
- Постоје озбиљни ризици за рад као root, као што је случајно брисање виталних датотека или рањивост на злонамерни софтвер са пуним привилегијама.
- Детаљна конфигурација судоерса омогућава делегирање одређених дозвола одређеним корисницима, побољшавајући праћење и безбедност.
Када заронимо у свет Линукса, неизбежно је да наиђемо на фигуру root корисника. У суштини, овај корисник је власник и господар система , налог са апсолутним привилегијама који може да ради шта год жели, без икаквих дозвола које би га зауставиле. То је еквивалент Windows администратору, иако је у Линуксу моћ много дубља и директнија, што га чини невероватним алатом, али и мачем са две оштрице ако не знамо како да га користимо.
За већину нас, свакодневни живот се одвија као обичан корисник, ограничен како би се спречило да непажљива грешка обрише половину оперативног система. Међутим, неки задаци су резервисани искључиво за root кориснике , као што је инсталирање сложених програма или модификовање осетљивих конфигурационих датотека. Ту долази до изражаја интеракција између `sudo` и `su`, алата који нам омогућавају да ескалирамо привилегије само када је то апсолутно неопходно, спречавајући нас да оставимо врата отворена за оперативне катастрофе или спољне нападе.
Шта је тачно root корисник?
Суперкорисник са root привилегијама је налог са корисничким ИД-ом (UID) 0. Док стандардни корисник има ограничења ради заштите системског језгра, root може да чита, пише и извршава било коју датотеку на диску. То укључује управљање налозима других корисника, модификовање језгра или брисање целих партиција без системске дозволе.
У дистрибуцијама попут Убунтуа, усвојена је безбедносна филозофија где root налог није подразумевано омогућен за директно пријављивање. То не значи да root налог не постоји, већ да нема додељену лозинку тако да се нико не може директно пријавити, што приморава администратора да користи контролисаније методе за повећање његових привилегија.
Судо наспрам Су: Која је права разлика?
Често се мешају, али функционишу другачије. Команда `sudo` (суперкорисник ради) је као захтев за једнократну привилегију. Омогућава вам да извршите одређену команду са root привилегијама, али остајете обичан корисник. Систем ће тражити вашу лозинку да би потврдио ваш идентитет, а када се радња заврши, враћате се својим уобичајеним привилегијама. За више информација, можете погледати наш комплетан водич за повећање привилегија помоћу `sudo`.
С друге стране, команда ваш (заменски корисник) Користи се за потпуну промену вашег идентитета. Ако га користите без аргумената или са su -Систем ће вас питати за роот корисничка лозинка да то постане за целу терминалну сесију. Много је практичније ако морате да направите двадесет промена заредом, али је знатно ризичнији јер ће свака грешка коју направите док се у промпту приказује симбол # бити немилосрдно извршена.
Опасности играња Бога у Линуксу
Рад као root без чврстог разумевања шта радите је рецепт за катастрофу. Најочигледнији ризик је... случајно брисање система датотекаКласична грешка је трчање rm -rf /што у суштини говори рачунару да обрише све од корена надоле. Чак и погрешно постављен размак у променљивој путање може довести до овога. уништавање критичних података у секундама.
Још једна критична тачка је безбедност од спољног софтвера. Покретање скрипти преузетих са интернета са root привилегијама је у суштини давање кључева од ваше куће странцу . Ако скрипта садржи руткит или злонамерни софтвер, нападач ће имати потпуну контролу над хардвером и софтвером, потенцијално стварајући невидљиве задње вратице на нивоу језгра које је готово немогуће открити. Стога је од виталног значаја проучити приручнике за рачунарску безбедност како бисте заштитили свој систем.
На крају, не смемо заборавити ни губитак следљивостиКада користите sudo, систем води евиденцију /var/log/auth.log што указује ко је шта урадио и када. Али ако се директно пријавите као root, све радње се евидентирају једноставно као „root“. У окружењу са више администратора, ово га чини Немогуће је знати ко је сломио систем, што знатно компликује ревизије и решавање грешака.
Како безбедно управљати root налогом
Ако из неког разлога треба да активирате root налог, можете му доделити лозинку помоћу команде sudo passwd rootМеђутим, општа препорука је држи га закључаним Медианте sudo passwd -l rootОво спречава некога да покуша грубом силом да приступи најмоћнијем налогу на серверу, посебно ако имате омогућен SSH приступ.
Кад смо већ код SSH-а, омогућавање директно root пријављивање en /etc/ssh/sshd_config Ово је озбиљна рањивост. Идеално би било да се пријавите са својим уобичајеним корисничким налогом, а затим повећате привилегије. Ако ипак одлучите да је омогућите, неопходно је да користите SSH аутентификација заснована на кључу уместо једноставних лозинки, како бисте спречили аутоматизоване ботове да погоде вашу лозинку за неколико минута.
Савладавање система датотека sudoers и visudo
Да бисмо администрацију учинили ефикасном, можемо подесити датотеку /etc/sudoersНикада не уређујте ову датотеку обичним едитором; увек користите команда висудоРазлог је једноставан: висудо проверава синтаксичке грешке пре чувања промена. Ако оштетите датотеку судоерс куцањем, могли бисте бити изостављен из сопственог система без могућности коришћења судо-а.
Унутар ове датотеке можемо креирати алијасе за кориснике и команде, прецизније. Веома корисна функција је ознака NOPASSWD , која омогућава кориснику да извршава одређене команде (као што је поновно покретање рачунара или ажурирање сервиса) без тражења лозинке . Ово је идеално за аутоматизацију или за кориснике којима је потребно да обављају само веома специфичне задатке без потпуне контроле над рачунаром.
Савети за лозинку и њено враћање
Понекад изгубимо приступ или заборавимо главну лозинку. У тим случајевима, Линукс нам омогућава да Ресетујте лозинку из GRUB-аПриступ режиму опоравка и монтирање диска са дозволама за писање помоћу mount -o rw, remount /, можемо покренути команду passwd root и поставите нову лозинку из конзоле суперкорисника. У озбиљнијим ситуацијама, алати попут СистемРесцуе Они могу бити ултимативни систем спасавања за повратак контроле.
Друга опција је коришћење а Ubuntu LiveCDКада покренемо систем са УСБ-а, можемо монтирати партицију чврстог диска на привремени датотечни систем помоћу команде chroot да „уђете“ у инсталацију диска и одатле промените root лозинку. То је мало технички сложенији процес, али изузетно ефикасан када се систем не покрене или је приступ блокиран.
Одржавање добрих пракси администрације Линукса подразумева сталну примену принципа најмањих привилегија : немојте користити root ако је sudo довољан, изађите из љуске суперкорисника чим завршите задатак и увек будите опрезни према било којој скрипти која тражи да се покрене са повећаним привилегијама. На крају крајева, кључно је ограничити изложеност суперкорисника како мала људска грешка не би довела до потпуне поновне инсталације оперативног система.
