Vlákno názorů k článku
Chyba v sudo umožňuje získat práva roota běžným uživatelům od Ink - Ten kód je dost nepřehledný. Zajímalo by mě,...

Čím se to dle popisu liší od sudo?
Nerozporuju, že v implementaci sudo může být bordel, ale nikde neshledávám onu novou, revoluční myšlenku v doas.

... , aspoň reálně nic moc lepšího není.

To je pravda. Bohužel, sudo a jeho nastartovaná popularita nás vzdálily od toho začít problém řešit. Starší generace adminů, která si nejprve musela stačit se "su", ví, že "sudo" není řešení, ale jen obezlička. Mladší adminové - a je to vidět i zde - už to nevnímají a přijali to jako standard, nevidouce rizika, která v pozadí zůstávají. Proto sudo nemám rád.

Miroslav Šilhavý 19:27

ehm.. pocatek sudo se datuje k roku 1980 ;-)

ehm.. pocatek sudo se datuje k roku 1980 ;-)
Jenže se prakticky nepoužívalo. Zpopularizovalo ho až Ubuntu, které se tak snažilo zařídit, aby uživatel běžně nepracoval s právy roota, ale nemusel přemýšlet nad tím, kdy je potřebuje. Teprve pak vyrostla generace uživatelů, která – když jim příkaz vypíše chybu – automaticky zopakují ten samý příkaz a před to napíšou sudo (nebo píšou sudo rovnou všude). Tenkrát jsme začali zjišťovat, proč se v různých návodech na internetu začíná objevovat příkaz sudo, co vůbec dělá, a proč to není řešeno standardně odlišením promptu – $ pro uživatele a # pro roota. Pak se zjistilo, že ta nová distribuce pro zelenáče standardně neumožňuje přihlášení na roota a radí používat sudo.

Filip Jirsák 19:55
ja si pamatuju kdyz sudo Ubuntu zacalo pouzivat ;-)

> když jim příkaz vypíše chybu – automaticky zopakují ten samý příkaz a před to napíšou sudo (nebo píšou sudo rovnou všude)

coz neni "horsi", nez kdyz vsude rovnou pisou "su -" ;-)

> standardně neumožňuje přihlášení na roota a radí používat sudo.<

coz je logicke, unlocknout (hesloveho) roota jde/slo snadno:
sudo passwd

Nelogické je argumentovat, že sudo je bezpečnější než su, a pak ho používat tak, že dělá přesně to samé, jako su -c.

ehm.. pocatek sudo se datuje k roku 1980 ;-)

Ano, i v ranných začátcích linuxu bylo zmiňováno. Nicméně, sudo bezhlavé šílenství začalo až s příchodem Ubuntu a macOS X.

Starší generace adminů, která si nejprve musela stačit se "su", ví, že "sudo" není řešení, ale jen obezlička.
Tak znova: sudo/doas je zřetelné zlepšení proti su.
Obezlička? A co tedy je lepšího? Nic?
Ono sudo má ještě další výhody: třeba když acme.sh nechcete pouštět pod rootem, tak ale musíte post-hook s nějakým oprávněním pustit (typicky "service httpd restart"). Tady zase pomůže sudo - můžete povolit, že uživatel acme smí spustit právě jen tohle.
Mladší adminové - a je to vidět i zde - už to nevnímají a přijali to jako standard, nevidouce rizika, která v pozadí zůstávají.
Proč myslíte, že nevidí rizika? A standard to je. Lepší nemáte - nebo ano? Sem s ním! Takže sudo můžete nemít rád, ale to je asi tak všechno, co s tím můžete dělat.

Tak znova: sudo/doas je zřetelné zlepšení proti su.
Nepomůže, když to budete opakovat – spíš byste měl napsat alespoň jednu výhodu.
Dnes se sudo v drtivé většině případů používá jako náhrada za su nebo su -c. Tam je asi hlavní výhoda v tom, že je ten příkaz delší?

Tady zase pomůže sudo - můžete povolit, že uživatel acme smí spustit právě jen tohle.
Jenže to, že že může spustit právě tohle, neznamená, že prostřednictvím toho nebude moci spustit cokoli dalšího.

Proč myslíte, že nevidí rizika? A standard to je. Lepší nemáte - nebo ano? Sem s ním!
Mám su. Které reálně poskytuje stejnou bezpečnost, ale nesnaží se to vyvolat dojem, že je to bezpečnější.

A standard to je. Lepší nemáte - nebo ano? Sem s ním! Takže sudo můžete nemít rád, ale to je asi tak všechno, co s tím můžete dělat.

Standard to není, mnohé distribuce ho v základní instalaci ani nezahrnují (asi z něj nejsou tak unešení).

Víc než vyjádřit se ani nežádám. A vyjádřil jsem se, že je to zvěrstvo, které zakrývá koncepční zastaralost oprávnění v unixech a zpomaluje nás od cesty k opravdovému zlepšení.

27. 1. 2021, 20:03 editováno autorem komentáře

"root je uživatel jako každý jiný"
No není, ale to je vedlejší.
root je uživatel jako každý jiný, který má nějaké vlastnosti navíc. Podstatné pro můj komentář je to, že mu žádný z vlastností jiných uživatelů nechybí.

Když používáte root jako účet, musí každý, kdo má věc spravovat, znát heslo roota. Chcete mít nějakou zastupitelnost. Takže buď všichni oprávnění znají heslo roota, nebo to heslo vůbec nemusí existovat a všichni oprávnění používají své heslo - a jen měníte, kdo je na tom kterém stroji oprávněný, třeba jen dočasně. Při používání účtu root byste to heslo musel pořád měnit.
Nepochopil jsem, co tímhle chcete říct. Pokud se používá sudo -i jako náhrada su (tedy spuštění shellu pod rootem), je to podle mne zvrácené. Nicméně jak plyne z toho, že je to jen náhrada su, lze se v takovém případě bez sudo samozřejmě obejít – prostě použiju originál, su.

třeba jen dočasně
Pokud někomu svěřím roota a věřím mu, že je to jen dočasné, můžu mu věřit i v jiných věcech, ne? Třeba že si to heslo nepoznamenal. Když už se tedy bavíme o hesle – já pořád nevím, k čemu je heslo roota dobré – přes ssh se hlásím klíčem a su heslo pro oprávněné uživatele nevyžaduje.

Takže z provozního a nakonec i bezpečnostního hlediska je to mnohem lepší.
Co je lepší než co?

Koncept ale špatný není, tedy, aspoň reálně nic moc lepšího není.
Koncept špatný není, má jedinou drobnou nevýhodu – vůbec nefunguje. Ten koncept se totiž tváří, že někomu dáte malinký kousek oprávnění, ke kterým by jinak potřeboval roota. Ve skutečnosti mu dáváte celého roota a jenom věříte, že toho nezneužije (ani omylem) nebo to nebude umět. Pro mne to není bezpečnost ale předstírání bezpečnosti.

doas je možná lépe naprogramovaný než sudo, má trochu příčetnější konfigurák, ale tím to, že je bezpečnější, končí. Pořád tam je minimálně ta obří bezpečnostní díra, že spouštím program, který byl navržen, že poběží pod rootem (takže nemá moc smysl bránit v něčem uživateli – je to root a ten může cokoli) má najednou pečlivě střežit oprávnění roota a nedovolit uživateli vůbec nic jiného, než co mu správce udělující „oprávnění“ přes sudo chtěl povolit. (Jak se to má ta aplikace vůbec dozvědět, co správce chtěl povolit?)

Je to jako zařídit velín atomové elektrárny tak, že dovnitř se dostanou jen povolané osoby a kdo už je uvnitř, může s reaktorem dělat naprosto cokoli. A pak zavést za provozu exkurze s tím, že skupina bude mít maximálně dvacet lidí a ty dokáže průvodce ohlídat, aby nemačkali nic důležitého. No, tak na papíře to bude fungovat, když tam budete mít samé disciplinované skupiny, které nebudou dělat chyby, bude to fungovat i reálně – ale že by ten průvodce zaručoval bezpečnost, to bych netvrdil.

přes ssh se hlásím klíčem a su heslo pro oprávněné uživatele nevyžaduje.
Vyžaduje. Může vyžadovat a IMHO mělo by vyžadovat. Jinak je to jako nosit u pasu odjištěnou pistoli.
I tohle dělá sudo líp: požaduje heslo, ale pokud použijete sudo bezprostředně znovu, heslo už nechce až do timeoutu.

BobTheBuilder: Aha, takže výhoda sudo oproti su je v tom, že se chová úplně stejně – může ale nemusí vyžadovat heslo.

Jinak je to jako nosit u pasu odjištěnou pistoli.
Ano, v tom je právě ten rozdíl. su je jako nosit u pasu odjištěnou pistoli. sudo je jako nosit u pasu odjištěnou pistoli a dělat, jako že žádnou pistoli nemáte. Já dávám přednost tomu, že když někdo má odjištěnou pistoli, tak se podle toho chová.

Ne, sudo je jako pistole, kterou odjistíte a ona se po chvíli nepoužívání zase zajistí. To je zřetelně lepší.
su bez hesla se mi zdá poněkud zvláštní přístup k bezpečnosti.
Zvýšení práv by se mělo ověřit (heslem), ale zadávat heslo pořád znova je otrava, su s timeoutem je rozumný přístup. Ostatně, přehnaná bezpečnost vede k tomu, že ji lidi obcházejí - viz UAC ve Windows Vista, to bylo tak otravné, že to lidi vypínali. Ve Win10 s tím problém není.

Zvýšení práv by se mělo ověřit (heslem)

Záleží případ od případu. Na desktopu to IMO potřeba není, tam je důležitější ten dialog (á la UAC). Na serveru, pokud uživatel existuje stejně jen kvůli tomu, aby byl jen administrátorem (neprovádí žádnou uživatelskou práci), pak su bez hesla víceméně stačí; ztrácí se tím jedna bariéra, která může pomoci při úniku ssh klíče - ale to už je na posouzení administrátora.

viz UAC ve Windows Vista, to bylo tak otravné, že to lidi vypínali. Ve Win10 s tím problém není.

Rozdíl je v tom, že ve Windows od dob Vista částečně snížili citlivost, ale velkou měrou přepracovali služby tak, aby zvýšená práva tak často nevyžadovaly. Došlo k posunu oběma směry a k vývoji. Nadužívání sudo naproti tomu vývoj nijak nestimulovalo, spíš ho ještě přibrzdilo

Ne, sudo je jako pistole, kterou odjistíte a ona se po chvíli nepoužívání zase zajistí. To je zřetelně lepší.
Problém je v tom, že vy uvažujete o jediném nebezpečí – že někdo půjde kolem a něco vám napíše do terminálu. Před tímhle nebezpečím chrání zamykání obrazovky. Skutečné nebezpečí je ale v kódu, který spouštíte. Před tím vás ale nezachrání, jestli heslo nezadáváte vůbec, zadáváte ho jednou nebo opakovaně.

Zvýšení práv by se mělo ověřit (heslem)
Proč? Zvyšuje to snad bezpečnost? Nebo je to takový pěkný rituál, který každého otravuje, takže to určitě musí přispívat bezpečnosti? Třeba jako pravidelná změna hesla?

Ostatně, přehnaná bezpečnost
To je právě ten problém v zaměňování otravnosti s bezpečností. Ne vše, co je otravné, je zároveň bezpečné.

třeba jen dočasně
Pokud někomu svěřím roota a věřím mu, že je to jen dočasné, můžu mu věřit i v jiných věcech, ne? Třeba že si to heslo nepoznamenal. Když už se tedy bavíme o hesle – já pořád nevím, k čemu je heslo roota dobré – přes ssh se hlásím klíčem a su heslo pro oprávněné uživatele nevyžaduje.

Az se budete prihlasovat na konzoli serveru pres ilo, tak vam ssh klic bude na dve veci...

Az se budete prihlasovat na konzoli serveru pres ilo, tak vam ssh klic bude na dve veci...

A to se nějak vylučuje s tím, že zná i heslo ke svému uživateli, aby se přes konzoli mohl přihlásit?

Az se budete prihlasovat na konzoli serveru pres ilo, tak vam ssh klic bude na dve veci...
Já tedy SSH klíč používám s iLO jen na jednu věc, na přihlášení, a stačí mi to.