Názory k článku Práva: je lepší root nebo sudo?
-
pht (neregistrovaný)Slashdot | Sudo vs. Root
http://it.slashdot.org/article.pl?sid=06/03/21/1427241
Aneb, pokud byste chteli ponekud obsirnejsi pohled na problematiku, staci se prokousat diskusi. Dokonce to vypada, ze zdejsi clanek je lehce "inspirovan" podle TFA. *hnip* -
Kdyz jsem si pred par dny na zkousku nainstaloval Ubuntu, zjistil jsem ze se nemuzu prihlasit jako root. Chvili jsem se snazil jit s dobou a poustet vsechno pres sudo, ale zadavat porad dokola svoje heslo byla fakt pruda maximalni. Takze "sudo /bin/bash" - to mi na chvili vydrzelo. Ale jelikoz jsem zvykly pouzivat "su" a porad se mi to pletlo, vyresil jsem dilema jednou pro vzdy: "sudo passwd root"
Shrnuto - zkusenost se sudo-for-everything to byla zajimava, ale dekuju nechci. -
DuxforD (neregistrovaný)No kdyby si někteří z vás, kterým vadí, že musí pořád psát své heslo při použití sudo přečetli manuál, tak by zjistili, že to není potřeba. Pokud používáte ten počítač doma, nebo je to třeba notebook, tak si můžete přidat do /etc/sudoers například takovýto řádek (ale nepoužívat na serverech :-D):
mojeusername ALL=(ALL) NOPASSWD:ALL
BTW: Na editaci sudoers je příkaz "visudo", tak to needitujte jinak! -
Makovec (neregistrovaný)No, to záleží k čemu ten systém máte. Já mám doma Ubuntu a mám ho na psaní textů, Internet... rootí práva potřebuju akorát když se objeví opravy. V práci (mimo jiné programuju serverové aplikace, takže ji mám i jako lokální server) mám Fedoru a že bych tam nějak často rootil... to rozhodně ne, stačí si to správně rozmyslet a nastavit práva.
To je snad jedna z bezpečnostních výhod linuxových systémů že uživatel může pracovat aniž by měl administrátorská práva k celému systému.
Koneckonců sudo se sná nastavit i tak aby nevyžadovalo heslo a když ho člověk píše, alespoň si uvědomí, že by si měl dávat bacha co dělá.
Používám sudo i su, a sudo přístup mi nevadí. -
Tak mi prosímtě prozraď jak mam pod WIN2000 zprovoznit tiskárnu HP1320n (síťová) aby tiskla pod poweruserem. bez admina ani ťuk...
na HPpodpoře mi řekli že by to fachat mělo...
nechci zde rozjet poradnu na widle. ale tohle je příklad za všechny... musel sem jim tam zatim nechat administrátorský práva... dokud na to nepřijdu...
a neni to jenom tohle... mam i jiný stanice kde se bez admina nehnu.. (spešl SW kterej bez admina nechodí..)
možná to nějak de.. ale jak? -
To nechápu, to musíte rozvést. Nějak mě v Linux/*BSD/AIX/Solaris ještě nikdy nenapadlo ladit jakýkoliv soft pod rootem (administrátorským účtem) a to bez ohledu na to jestli jsem tam byl adminem nebo nebyl. No mě to spíš přijde jako, že tady asi bude někde chyba přímo v tom OS. Prostě v některých OS se pod administrátorským účtem pouze administruje a pod jiným OS s administrátorským účtem pracuje, programuje, ladí a administruje a koho je to vina? Mě nenapadá nikdo jiný než ten OS. Možná, že by mohl někdo namítnout, že za to můžou ti uživatelé a vývojáři, ale já tomu prostě nevěřím. Prostě je ten OS k tomu chování vychoval a proto se tak chovají a to je chyba jen a pouze toho OS.
-
lukáš (neregistrovaný)pak jste patrně nikdy neprogramoval widlí aplikace. záleží jedině na programátorech, jestli jako debil naprosto zbytečně vyžadují v aplikaci admin práva nebo ne. z drtivý většiny aplikací je to naprosto zbytečný (jenže programátoři jsou často idioti a bez důvodu chtějí zapisovat do registrů do HTLM nebo do adr SYSTEM32...). nejlepší jsou aplikace typu prohlížení obrázků nebo IM klienti, naprosto nesmyslně vyžadující admin práva - sám programuju WIN32 aplikace a vím, že je to nutný jenom u specifických systémových aplikací, u ostatních je to jenom lenost a blbost programátora...
-
davadu (neregistrovaný)Pokud vím, tak docela často je to u HP způsobeno tím, že se musí na adresář s ovladači a podpůrnými programy nastavit právo pro přístup pro čtení/zápis i dalším uživatelům.
Občas je to potřeba nastavit i na registry, protože instalační procedura to nenastaví a programátoři jsou holt padlí na hlavu a programují způsobem, kterým byli zvyklí programovat v dobách Win98.
Občas mi přijde, že největšími softwarovými balíky na Windows začínají být ovladače k tiskárnám a různým jiným periferiím. -
Petr (neregistrovaný)Co je "nejdrazsi" na vasem stroji?
Obsah tech textu, co vytvarite pod svym uzivatelem? Ten vam smaze libovolny utocnik, co se prihlasi jako vy (nebo vyuzije diry v necem, co bezi jako vy).
Sitova konektivita? Tu vyuzije libovolny program pod (skoro) libovolne nizkym opravnenim.
Binarky v /bin? Ano, tak to mate pravdu, ze pracovat jako ne-root v tomhle pomuze. Ale jenom v tomhle.
Vzhledem k tomu, ze typicky uzivatel (domaci - ale i normalni clovek, co ma PC v praci) ma nejvetsi problem s prvnimi dvema problemy, tak cele povidani "ne-root, ne-administrator" je falesna stopa. -
Petr (neregistrovaný)Co je "nejdrazsi" na vasem stroji?
Obsah tech textu, co vytvarite pod svym uzivatelem? Ten vam smaze libovolny utocnik, co se prihlasi jako vy (nebo vyuzije diry v necem, co bezi jako vy).
Sitova konektivita? Tu vyuzije libovolny program pod (skoro) libovolne nizkym opravnenim.
Binarky v /bin? Ano, tak to mate pravdu, ze pracovat jako ne-root v tomhle pomuze. Ale jenom v tomhle.
Vzhledem k tomu, ze typicky uzivatel (domaci - ale i normalni clovek, co ma PC v praci) ma nejvetsi problem s prvnimi dvema problemy, tak cele povidani "ne-root, ne-administrator" je falesna stopa. -
Michal Kára (neregistrovaný)Uzivatelska data maji byt zalohovana i z mnoha jinych duvodu nez jen ze by je utocnik smazal.
Co je problem:
1) Data ostatnich uzivatelu (pokud jsou)
2) Kdyz utocnik neziska roota, tak se da jednoduse zjistit co udelal a system se da vycistit docela v pohode. Pokud ma roota, tak je to o dost vetsi problem. -
Bilbo (neregistrovaný)Hmmm ... "sudo passwd root" bylo po instalaci ubuntu prvni a zaroven i posledni co jsem v sudo spustil :)
Ono treba kdyz chce clovek jeste vetsi bezpecnost, tak vytvori skupinu wheel a nastavi ze "su" muzou spoustet jen ti co jsou ve skupine wheel
(chgrp wheel /bin/su;chmod 4750 /bin/su) -
Zdravim,
ja osobne jsem sudo jeste nikdy nepouzil a rad bych se Vas zeptal, zda jej treba nevyuzit pro zalohovani, abych nemusel pouzivat root-a.
Zalohy spoustim z jednoho stroje, z ktereho se na zalohovane masiny pripojuji jako root via ssh. Pokud bych mohl na vzdalenem serveru delegovat nizsiho uzivatele, kteremu bych povolil prikaz 'dump' nebo 'backup', tak by to bylo super...
Diky. -
TomBA (neregistrovaný)Nepochopil som celkom ako robis tie backupy. Pripojis sa cez ssh na vzdialenu masinu a potom....? Ten dump posielas cez siet na tvoju masinu (dump 0, alebo volajake inkrementy.... asi to predtym balis... ale aj tak je to asi velke a nema to historiu)? Alebo sa to dumpuje do suboru tam (potom naco pripojenie cez ssh, ved to moze robit cron)?
Doporucujem ti rdiff backup (http://www.nongnu.org/rdiff-backup/). Je to rychle, multiplatformne (lin+*bsd+*nix+win) a efektívne.
Je tam aj pekny priklad (http://arctic.org/~dean/rdiff-backup/unattended.html) ako riesit bezpecnost pri tom prenose.
BYE
TomBA -
Jakub Suchý (neregistrovaný)Pouzivate vlastne metodu "pop". Ale ta je v tomhle pripade dost nevhodna, jakmile vam nekdo naboura server, kde jsou zalohy, ma moznost ziskat roota na vsech ostatnich strojich. Pouzijte push, tedy udelej te zalohu primo na serveru a pote ji pres scp (doporucuji scponly s klicem a prazdnym heslem) nahrajte na zalohovaci server. a nebo pouzijte rdiff, jak uz nekdo radil, ktery to resi za vas
-
purporte[X] (neregistrovaný)Krome moznosti omezeni rozsahu pusobeni napuladminisratora je tu jeste jedna vlastnost. Pokud na stroji existuje vice uzivatelskych uctu, propujcovani roota pres sudo je pohodlnejsi z hlediska spravy. Kdybych kazdemu, kdo musi mit, prozrazoval heslo roota a pozdeji se rozhodl, ze jeden z nich jiz roota mit nema, tak mu musim zakazat su a dalsi potencialni moznosti pruniku anebo zmenit heslo roota. Prvni reseni je pracnejsi, druhe je neefektivni, nebot pak musim kazdemu sdelit/vnutit heslo nove. Naopak pres sudo muzu volne urcovat kdo, kdy (byt i docasne), co presne muze pachat a kdykoliv mu tato privilegia muzu sebrat bez jakehokoliv dopadu na ostatni uzivatele. A nakonec root a sudo prece mohou a casto i existuji soucasne ;)
-
rezna (neregistrovaný)tady mi na linuxu vadi to ze nelze podobne jako na windows mit skupinu uzivatelu jako jsou Administrators :( - kdyz uz proste nekoho adminem nechci tak ho z Administrators vyhodim a mam klid.
ovsem pak taky dojde na to ze firma symantec Administrators ignoruje a prava na smazani svych aplikaci dava jen uzivateli Administrator :) -
michal vyskočil (neregistrovaný)Jaktože to nejde? Vždyť právě na to je sudo! Do sudoers si zapíšeš řádek
User_Alias ADMINISTRATOR = uzivatel1, uzivatel2, uzivatel3
No a potom přiřazuješ skupině přesně ty akce, které uznáš za vhodné. Sudo je naopak mnohem flexibilnější, můžeš mít moře skupin, které mají různá práva, musí/nemusí zadávat heslo, můžeš je omezovat podle počítače, z něhož jsou přihlášeny, ... Ve spojitosti s aliasy si můžeš snadno upravit systém tak, že ani to sudo není nutné zadávat a uživatel nemusí vůbec nic poznat. -
pht (neregistrovaný)to jde resit dvema zpusoby: a) zavedenim vice uzivatelu s uid=gid=0 (systemu je to celkem fuk, jak se jmenujete, ale kazdy ucet muze mit sve heslo a v logu bude videt KDO se prihlasil) nebo b) rootovi dat do shadow hvezdicku a pouzivat prihlasovani pomoci ssh a verejneho/privatniho klice (opet kazdy muze mit svuj)
argument, ze po prihlaseni na roota muze stejne zmenit logy? ne, pokud se forwarduji na jiny server, kam dotycny nemuze. -
white (neregistrovaný)sudo je luxus, ale melo by se vyuzivat k tomu, cemu je urceno, tedy rozdeleni a delegovani prav, imho roota se to vubec tykat nemusi, a resit pres sudo uplne vsechno je dle meho nesmysl ... pekne how to je napr zde http://www.security-portal.cz/clanky/pouzivame-sudoers.html ... nebo na linuxsoftu v serialech
-
SARS (neregistrovaný)
Na mojom domovskom kompe používam sudo i konto root-a. Som jediný užívateľ a administrator zároveň, tak mám v /etc/sudoers riadok
me ALL=(ALL) NOPASSWD: ALLale z kvazibezpečnosti používam root ako samostatné konto, keď potrebujem nejakú drobnosť (mountnuť mimo fstabu etc.) použijem sudo, lebo nemusím stále dookola zadávať rootovské heslo. Na celkovú administráciu sa prihlasim ako root.
-
On by si autor článku totiž měl přestat hrát na bezpečnostního poradce a znalce Linuxu. Nebo si alespoň problematiku předem nastudovat. Takhle sice získá hity do statistiky, ale kvalita je v čudu.
Sudo slouží k separaci administrátorů resp. jejich oprávnění. Tj. možnost spustit omezenou množinu příkazů nejlépe s přesně definovanými parametry (jinak to postrádá smysl) a delegovat to na jinak neprivilegovaného uživatele.
Pokud někomu vadí, že síť je zahlcena slovníkovými útoky na SSH a přihlášení na roota, měl by přijmout takové opatření, aby byly vyloučeny a ne zakazovat přihlášení administrátora (viz níže), tj. např. po X pokusech automaticky IP zablokovat (možností je několik, ale vždy je to obezlička s použitím dalšího nástroje).
Login na neprivilegovaného uživatele a následné su či sudo mají totiž zásadní vadu na kráse - zatímco SSH z principu může mlžit při přihlašování a heslo "zarušit" nahodilým provozem, po přihlášení se tak již neděje a proto lze minimálně odhadnout odposlechnutím (šifrovaného) provozu délku zadávaného hesla, což otevírá do systému dost podstatnou díru a "zabezpečení" je tím spíše snížení bezpečnosti jako celku.
Bohužel v tomto OpenSSH pokulhává a zdaleka nedosahuje potřebných kvalit (předchozí používaná implementace uměla např. separovat uživatel podle IP). -
PSIkappa (neregistrovaný)Riziko ukradnutia kluca sa da minimalizovat, takze si ho ulozime na patricny hw k tomu urceny ako napr. nejaky crypto token (smartcard, usb token). Zatial to este nieje tak rozsirene ale myslim si ze pridu casy, ked sa clovek bude do systemov hlasit cez kombinaciu nejakeho crypto tokenu, bio identifikatoru a OTP...
-
Petr Šigut (neregistrovaný)Tak toto jsem opravdu netušil...
> a proto lze minimálně odhadnout odposlechnutím (šifrovaného) provozu délku zadávaného > hesla, což otevírá do systému dost podstatnou díru a "zabezpečení" je tím spíše
> snížení bezpečnosti jako celku.
a opravdu myslíme tu stejnou implementaci openssh? To z té komunikace jde zjistit jak je dlouhé heslo?! Díky za info... -
Když píšete heslo, je to arytmický projev a z principu datagramové služby se leccos dá !přibližně! dovodit. Existuje na to seriózní text, na který jsem byl kdysi upozorněn. V zásadě jde o to, že se přihlásíte a pak děláte su nebo sudo a následuje další heslo. Ze šifrovaného síťového provozu nezjistíte co, ale zjistíte jak mnoho a v jakém rytmu, což sníží složitost útoku. Zatímco při přihlašování může být komunikace "zamlžena", aby se arytmický projev zaslaného hesla důkladně zastřel, v další komunikaci už tak tomu z principu být nemůže.
-
Petr Šigut (neregistrovaný)> V zásadě jde o to, že se přihlásíte a pak děláte su nebo sudo a následuje další
> heslo. Ze šifrovaného síťového provozu nezjistíte co, ale zjistíte jak mnoho a v >jakém rytmu, což sníží složitost útoku.
nerozumím tomu rytmu... to asi neznamená rychlost psaní, že? Neměl byste odkaz na ten text, kde jste o tom četl, moc tomu bohužel nerozumím:( -
david.lister (neregistrovaný)mea culpa
mas pravdu. nahodil jsem ti si etherreal a opravdu co znak to komunikace. no ted jeste zalovim v pameti, proc jsem si myslel, ze to tak neni.
mel jsem za to, ze se to drzi z dob kdy se prenosove kapacity setrily a byly v radech desitek baudu. posilat s jednim znakem cely tcp paket bylo placanim mista na lince. a tak se cekalo na konec radku. -
TCP má tuším zpoždění odeslání 200ms, takže se do 1 datagramu teoreticky vejde více úhozů. Větším seskupováním by utrpěla interaktivita. Pokud nejste rychlopísař, je vkládání hesla do sudo (nebo su) pak přibližně analyzovatelné. Zmínka a odkaz na práci, která se tím blíže zabývala, prošly konferencí linux@linux.cz.
-
Pomocí iptables můžete použít modul "-m recent". Další podobné nástroje: http://denyhosts.sourceforge.net/faq.html#1_19
-
Programy reboot, shutdown, poweroff a podobné obvykle používají PAM. Čili je dnes systémovější použít PAM, než sudo.
Kromě toho většina systémů používá automatické přidělování práv v závislosti na tom, jestli je uživatel přihlášen z konzole nebo ne (floppy, zvuk, CDROM apod). V případě požadavku na jiný efekt je potřeba přenastavit tento systém (/etc/security/*, případně /etc/udev/*).
Obecně se dá říci, že sudo je přežitek nebo nástroj na velmi specifické užití. -
miki (neregistrovaný)konecne trochu svetla do sudo ;) ja pouzivam roota aj cez ssh, jednak mi lezie na nervy zadavat heslo cez su, a jednak ked je poriadne heslo na roota tak to bude tazsie.
- zabranenie skenovania ssh na pristup - presun si to na iny port, skenuju vecsinou roboty, ak je cielene vedeny utok tak by som hlavne skontroloval ostatne co bezi, lebo to je viac zranitelne, BTW - ked mam daku sluzbu na dakom porte ktory je znamy , napr. aj to ssh, tak si ho mozem dat na iny port kt. je znamy ale nic na nom nepouzivam, napr 3128 co pouziva squid, nie je to univerzalne ale vecsinu lamerov to aspon zmetie (ano, viem ze to ide zistit)
- stale sa tu niektory jedinci zavzdusnuju aka je to nebezpecnost/blbost pracovat pod rootom, hmm, ak som admin a idem nieco skusat co moze poskodit system tak ci tak sa dam pod root a skusim to, je to moj problem ze si to neodskusam najskor na inom stroji, lenze ruku na srdce, ktory admin co maka ma cas kazdy prikaz si testovat inde, ja teda nie
