abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    včera 23:33 | Nová verze

    Společnost comma.ai po třech letech od vydání verze 0.9 vydala novou verzi 0.10 open source pokročilého asistenčního systému pro řidiče openpilot (Wikipedie). Zdrojové kódy jsou k dispozici na GitHubu.

    Ladislav Hagara | Komentářů: 0
    včera 21:55 | Nová verze Ladislav Hagara | Komentářů: 0
    včera 14:11 | IT novinky

    Řada vestavěných počítačových desek a vývojových platforem NVIDIA Jetson se rozrostla o NVIDIA Jetson Thor. Ve srovnání se svým předchůdcem NVIDIA Jetson Orin nabízí 7,5krát vyšší výpočetní výkon umělé inteligence a 3,5krát vyšší energetickou účinnost. Softwarový stack NVIDIA JetPack 7 je založen na Ubuntu 24.04 LTS.

    Ladislav Hagara | Komentářů: 2
    včera 00:44 | Bezpečnostní upozornění

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) spolu s NSA a dalšími americkými úřady upozorňuje (en) na čínského aktéra Salt Typhoon, který kompromituje sítě po celém světě.

    Ladislav Hagara | Komentářů: 20
    27.8. 16:33 | IT novinky

    Společnost Framework Computer představila (YouTube) nový výkonnější Framework Laptop 16. Rozhodnou se lze například pro procesor Ryzen AI 9 HX 370 a grafickou kartu NVIDIA GeForce RTX 5070.

    Ladislav Hagara | Komentářů: 1
    27.8. 14:22 | IT novinky

    Google oznamuje, že na „certifikovaných“ zařízeních s Androidem omezí instalaci aplikací (včetně „sideloadingu“) tak, že bude vyžadovat, aby aplikace byly podepsány centrálně registrovanými vývojáři s ověřenou identitou. Tato politika bude implementována během roku 2026 ve vybraných zemích (jihovýchodní Asie, Brazílie) a od roku 2027 celosvětově.

    Fluttershy, yay! | Komentářů: 7
    27.8. 13:11 | Nová verze

    Byla vydána nová verze 21.1.0, tj. první stabilní verze z nové řady 21.1.x, překladačové infrastruktury LLVM (Wikipedie). Přehled novinek v poznámkách k vydání: LLVM, Clang, LLD, Extra Clang Tools a Libc++.

    Ladislav Hagara | Komentářů: 0
    27.8. 05:11 | Komunita

    Alyssa Anne Rosenzweig v příspěvku na svém blogu oznámila, že opustila Asahi Linux a nastoupila do Intelu. Místo Apple M1 a M2 se bude věnovat architektuře Intel Xe-HPG.

    Ladislav Hagara | Komentářů: 17
    26.8. 12:55 | IT novinky

    EU chce (pořád) skenovat soukromé zprávy a fotografie. Návrh "Chat Control" by nařídil skenování všech soukromých digitálních komunikací, včetně šifrovaných zpráv a fotografií.

    Ladislav Hagara | Komentářů: 65
    26.8. 12:11 | Nová verze

    Byly publikovány fotografie a všechny videozáznamy z Python konference PyCon US 2025 proběhlé v květnu.

    Ladislav Hagara | Komentářů: 0
    Pro otevření více webových stránek ve webovém prohlížečí používám
     (79%)
     (9%)
     (3%)
     (4%)
     (5%)
     (1%)
    Celkem 104 hlasů
     Komentářů: 9, poslední včera 11:53
    Rozcestník

    Nepracujte jako root, aneb nastavení sudo!

    22.6.2005 12:41 | Přečteno: 6036× | Linux | poslední úprava: 22.6.2005 13:31

    Dva důvody proč nepracovat jako root. A jak vyřešit problém s lidskou leností.

    Vždycky mě vytočí lidé, kteří obhajují práci v Linuxu (nebo jiném unixu) pod rootem. Nejčastějším důvodem je, jak jinak, lidská pohodlnost - Kdo tam má pořád dávat to heslo?, zní nejčastější námitka. Dokonce jsem zaslechl názory, že uživatel by se neměl nechat systémem omezovat.

    Důvody proč nepracovat jako root jsou dva:

    1. Bezpečnost
    2. Bezpečnost
    Je to sice jediný důvod, ale považoval jsem ho za tolik důležitý, že jsem jej uvedl dvakrát. Při práci na počítači děláme chyby, všichni a bez vyjímky výjimky. To, že nemáme veškeré pravomoce omezuje dosah našich chyb jen a pouze na naše vlastní data. Představme si, že budeme jako root a chceme si smazat soubor a zadáte rm -rf / home/user/soubor. Je to hloupý překlep, za kterou si vysloužíme hlášku Permission denied. Pokud nepracujeme root. V tomto případě se smaže celý systém, včetně přimountovaných disků (maximálně přežijí ntfs partition, ale jen kvůli tomu, že jsou připojeny jako ro).

    V době, kdy je stále více počítačů připojeno k internetu, se nebezpečí jenom zvyšuje. Počítače takových "chytráků", co si nenechají od počítače nic nařizovat, jsou potom velice snadným cílem všech útočníků. Ti je mohou využít na rozesílání spamu, lámání hesel, k nabourávání do dalších počítačů, ... . Pokud pracujete jako běžný uživatel, má to útočník mnohem těžší.

    Jenže, co je to všchno vysvětlování platné, když nejčastějším argumentem je již výše zmíněné Kdo tam má pořád dávat to heslo?

    Sudo

    Jedna z možností, jak obejít zadávání hesla, je nastavit su, aby se neptalo na heslo pro určité uživatele (typicky ze skupiny wheel). Tím můžete dát administrátorská práva jen určitým uživatelům. Ti pak nemusí zadávat heslo. Z mnoha důvodů to není ideální řešení (pořád má někdo k dispozici všechny práva roota, přestože je nepotřebuje).

    To správné řešení se jmenuje sudo. Pomocí tohoto programu můžete určitým uživatelům dát některé pravomoce roota, ale ne všechny (to lze taky, ale není to vhodné). Konfigurace programu sudo je uložena v /etc/sudoers, ale k nastavení se používá visudo, který mimo jiné kontroluje syntaxi. Veškeré podstatné informace jsou v manuálových stránkách (man sudoers), doporučuji především sekci EXAMPLES, kde jsou ukázky konkrétních konfigurací.

    Příklad nastavení

    Instalace softwaru je v linuxu často dělána pomocí správce balíčků (rpm, apt-get, urpmi, emerge, swaret, installpkg, ...). Ale je to privilegovaná operace, proto instalace může provádět pouze root. Jenže stále zadávat heslo nikoho nebaví. Proto si nastavíme sudo, abychom mohli instalovat balíčky jako normální uživatelé a bez nutnosti zadávat heslo.

    #/etc/sudoers
    # Host alias specification
    # User alias specification
    User_Alias      SYSADMIN = misak, michal
    # Cmnd alias specification
    Cmnd_Alias      INSTALL = /usr/bin/emerge
    # SYSADMINs could use emerge
    SYSADMIN        ALL = NOPASSWD: INSTALL
    

    Příkaz sudo /usr/bin/emerge již potom funguje i pod normálním uživatelem. Ale to už je kratší a pohodlnější napsat su, heslo a emerge! Což v mém případě znamená 16 znaků a sudo verze 20 znaků. Naštěstí tvůrci shellu s lidskou leností počítali, proto není nic jednoduššího, než použít alias emerge='sudo /usr/bin/emerge' a umístit jej do startovacího skriptu.

           

    Hodnocení: -

    zatím nehodnoceno
            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    22.6.2005 13:13 Michal Marek (twofish) | skóre: 55 | blog: { display: blog; } | Praha
    Rozbalit Rozbalit vše Výjimka
    Při práci na počítači děláme chyby, všichni a bez vyjímky.
    Omlouvám se, že otravuju kvůli pravopisu, ale chyba v téhle větě je hezká :-) Nebo je to schválně?
    22.6.2005 13:32 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: Výjimka
    Chybička :-), ale to tu větu jen potvrzuje! Už je to opraveno.
    When your hammer is C++, everything begins to look like a thumb.
    22.6.2005 13:35 unchallenger | skóre: 69 | blog: unchallenger
    Rozbalit Rozbalit vše Terminál
    Mám obvykle jeden výrazně visuálně odlišený terminál s root shellem. Dáš-li userovi přes sudo právo na instalaci softu (emerge, dpkg, rpm, ...), tak to je stejně instantní root, získá-li někdo tvůj přístup. V čem to má být o tolik bezpečnější?
    22.6.2005 14:15 David Jaša | skóre: 44 | blog: Dejvův blog
    Rozbalit Rozbalit vše Re: Terminál
    U mě je to bezpečnější v tom, že ta práva dám jenom sobě.
    22.6.2005 14:35 unchallenger | skóre: 69 | blog: unchallenger
    Rozbalit Rozbalit vše Re: Terminál
    A ten rozdíl je v čem? Nechceš snad naznačit, že si všichni mí uživatelé mohou spustit root shell? I když vyloučit to úplně nemohu... ;-)
    22.6.2005 16:44 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: Terminál
    Já si třeba roota pouštím jenom, když ho skutečně potřebuju, jinak ne. Bezpečnější je to proto, že můžu delegovat některá, předem definovaná práva, na jiného uživatele, který má méně možností, jak něco zrušit. To s emerge je jen příklad pro ilustraci (přestože jsem to takhle používal i na Slacku).
    When your hammer is C++, everything begins to look like a thumb.
    22.6.2005 13:59 #Tom
    Rozbalit Rozbalit vše PRACUJTE POD ROOTEM, JE TO NEJLEPŠÍ...

    ... zejména pro začátečníky. Já jsem si hrál s nastavením všecho možného, přesouval jsem věci sem a tam, instaloval jsem všecko možné. Další uživatelský účet jsem si pořídil teprve na to, abych si ověřil, jestli jsou správně nastavena práva, takže programy budou fungovat i nesprávci.

    Výše uvedený příklad s rm -rf / je pěkný. Ale co na tom? Programy jako su a sudo nebezpečí nesníží, protože občas se každý na svém počítači přihlašuje jako správce. Čím dříve někdo podobnou chybu udělá, tím líp, není nad poučení z vlastních chybiček :-)

    22.6.2005 14:09 Michal Marek (twofish) | skóre: 55 | blog: { display: blog; } | Praha
    Rozbalit Rozbalit vše Re: PRACUJTE POD ROOTEM, JE TO NEJLEPŠÍ...
    Ale jo, aspoň se začtečníci co nejdřív naučí, že dělat všechno pod rootem je blbost ;-)
    22.6.2005 14:40 Lukoko | skóre: 8 | blog: Lukoko | Praha
    Rozbalit Rozbalit vše Re: PRACUJTE POD ROOTEM, JE TO NEJLEPŠÍ...
    Taky delam pod rootem. Pocitac mam jenom pro sebe a tak nejakejm uzivatelskejm zalezitostem neholduju.

    Je fakt, ze co se tyka bezpecnosti, tak to je neco jinyho, ale stejne, je to asi pohodlnost.

    Stejne si rikam, ze pro veci jako installpkg bych si nastavil alias pres sudo, takze bych jenom neustále zadával heslo. nebo jeste lip bych byl neustale v konsoli pres su.

    Jedinej rozdil by teda asi byl, ze by mi Xka bezeli pod jinym uzivatelem.
    Mac OS X je taky unix
    Jiří Němec avatar 22.6.2005 14:09 Jiří Němec | skóre: 22 | blog: BluPix | Horní Smrčné
    Rozbalit Rozbalit vše sudo su
    Já mám obvykle jako jeden z prvních terminálů pod rootem (hrabu se v systému stále, nebo občas potřebuju upravit práva u nějakého php scriptu). Používám k tomu sudo su. Asi to není nejepší a nejbezpečnější řešení, ale mě na desktopu za NAT stačí.

    Samozřejmostí je odlišení rootshellu a normálního. V gentoo je rootshell červený a normální zelený, takže jsem si s tím nemusel hrát.

    Samozřejmě co nemusím dělat pod rootem, to pod rootem nedělám.
    Spock: "Logic, logic, logic. Logic is the beginning of wisdom, not the end.
    22.6.2005 15:00 imro | skóre: 19 | blog: hovado
    Rozbalit Rozbalit vše Re: sudo su
    Ten priklad s upgradovanim je trosku od veci.Ale,pouzivat comp pod root-om je fakt blbost.Spustate GUI,nejakeho firefoxa,mailoveho klienta.Ani neviete ako a moze sa vam dostat do systemu exploit.Na TU v Kosiciach si este zivo pamataju jedneho spravcu.Ten tiez robil na jednom dolezitom servi iba ako root.Ziadny user.Prezeral si postu,browsoval vsetko pod rootom,kym mu stvrtaci neposlali mailik s obrazkom Kurnikovovej.Samozrejme,root si ho chcel pozriet a uz mal v systeme krasny expolit.Ze ti ludia ziskali rootovske pravo na cely server,na ktorom boli ulozene testy a ze ich vzdy vedeli minimalne tyzden do predu zistili az o niekolko mesiacov!!!Vinnik doteraz neznamy!!!
    Jiří Němec avatar 22.6.2005 15:22 Jiří Němec | skóre: 22 | blog: BluPix | Horní Smrčné
    Rozbalit Rozbalit vše Re: sudo su
    GUI programy pod rootem zásadně nepoužívám. Nepamatuji si, kdy jsem se naposledy přihlásil jako root do grafického rozhraní. Akorát občas používám kdesu, když třeba potřebuji nainstalovat něco do firefoxu/thunderbirdu/eclipse. Tuším, že český spellchecker nešel instalovat pod userem. Ale to jen nainstaluju, víc v tom nedělám.
    Spock: "Logic, logic, logic. Logic is the beginning of wisdom, not the end.
    22.6.2005 16:13 mmrnda | skóre: 18 | blog: Pokusy | Liberec
    Rozbalit Rozbalit vše Re: sudo su
    Já teda nevím jak pod gentoo, ale mě jde normálně instalovat rozlišení pro FireFox atd. jen když chci něco nainstalovat(prográmek) tak to dělám pod root, ale to si taky pořádně rozmýšlím než začnu.
    Učený člověk na zem nespadl.
    Jiří Němec avatar 23.6.2005 14:22 Jiří Němec | skóre: 22 | blog: BluPix | Horní Smrčné
    Rozbalit Rozbalit vše Re: sudo su
    Rozšíření samozřejmě jdou instalovat, nejde jen to, co se zapisuje někam do /usr jako slovník, čeština, nebo search pluginy.
    Spock: "Logic, logic, logic. Logic is the beginning of wisdom, not the end.
    vencour avatar 23.6.2005 08:57 vencour | skóre: 56 | blog: Tady je Vencourovo | Praha+západní Čechy
    Rozbalit Rozbalit vše rm pod rootem
    a) naivně si myslím, že použitím mc se tomuhle můžu vyhnout
    b) roota používám minimálně, zatím třeba jen pro nahrání/odebrání modulů, mountování či zápis na fat32 partišnu - zatím jsem stále po ruce/nespěchá ono požadované tolik, abych to musel řešit jinak
    Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
    23.6.2005 10:31 Michal Čihař | skóre: 61 | blog: Bláboly | Praha
    Rozbalit Rozbalit vše Re: rm pod rootem
    No že bych zrovna mc nějak moc důvěřoval to říct nemůžu :-)
    23.6.2005 11:21 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: rm pod rootem
    a) Jistě, používání mc se takový překlep nemůže stát. Ale já mc nepoužívám, ted ho tu dokonce ani nemám nainstalovaný, takže mě se to netýká. A ruku na srdce, kolikrát se stane, že člověk smaže špatný soubor/adresář. Dokonce i ta moje věta o chybách se sama potvrdila (udělal jsem v ní chybu). b) Já docela často instaluji software a jak jsem psal, je to hlavně o pohodlnosti a lenosti, než o něčem jiném :-). Narodíl od ostatních roota vypínám hned, jak ho nepotřebuji ... možná je to tím, že nejsem admin.
    When your hammer is C++, everything begins to look like a thumb.

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.