Nepracujte jako root, aneb nastavení sudo!

22.6.2005 12:41 | Přečteno: 6096× | Linux | poslední úprava: 22.6.2005 13:31

Dva důvody proč nepracovat jako root. A jak vyřešit problém s lidskou leností.

Vždycky mě vytočí lidé, kteří obhajují práci v Linuxu (nebo jiném unixu) pod rootem. Nejčastějším důvodem je, jak jinak, lidská pohodlnost - Kdo tam má pořád dávat to heslo?, zní nejčastější námitka. Dokonce jsem zaslechl názory, že uživatel by se neměl nechat systémem omezovat.

Důvody proč nepracovat jako root jsou dva:

1. Bezpečnost
2. Bezpečnost

Je to sice jediný důvod, ale považoval jsem ho za tolik důležitý, že jsem jej uvedl dvakrát. Při práci na počítači děláme chyby, všichni a bez vyjímky výjimky. To, že nemáme veškeré pravomoce omezuje dosah našich chyb jen a pouze na naše vlastní data. Představme si, že budeme jako root a chceme si smazat soubor a zadáte rm -rf / home/user/soubor. Je to hloupý překlep, za kterou si vysloužíme hlášku Permission denied. Pokud nepracujeme root. V tomto případě se smaže celý systém, včetně přimountovaných disků (maximálně přežijí ntfs partition, ale jen kvůli tomu, že jsou připojeny jako ro).

V době, kdy je stále více počítačů připojeno k internetu, se nebezpečí jenom zvyšuje. Počítače takových "chytráků", co si nenechají od počítače nic nařizovat, jsou potom velice snadným cílem všech útočníků. Ti je mohou využít na rozesílání spamu, lámání hesel, k nabourávání do dalších počítačů, ... . Pokud pracujete jako běžný uživatel, má to útočník mnohem těžší.

Jenže, co je to všchno vysvětlování platné, když nejčastějším argumentem je již výše zmíněné Kdo tam má pořád dávat to heslo?

Sudo

Jedna z možností, jak obejít zadávání hesla, je nastavit su, aby se neptalo na heslo pro určité uživatele (typicky ze skupiny wheel). Tím můžete dát administrátorská práva jen určitým uživatelům. Ti pak nemusí zadávat heslo. Z mnoha důvodů to není ideální řešení (pořád má někdo k dispozici všechny práva roota, přestože je nepotřebuje).

To správné řešení se jmenuje sudo. Pomocí tohoto programu můžete určitým uživatelům dát některé pravomoce roota, ale ne všechny (to lze taky, ale není to vhodné). Konfigurace programu sudo je uložena v /etc/sudoers, ale k nastavení se používá visudo, který mimo jiné kontroluje syntaxi. Veškeré podstatné informace jsou v manuálových stránkách (man sudoers), doporučuji především sekci EXAMPLES, kde jsou ukázky konkrétních konfigurací.

Příklad nastavení

Instalace softwaru je v linuxu často dělána pomocí správce balíčků (rpm, apt-get, urpmi, emerge, swaret, installpkg, ...). Ale je to privilegovaná operace, proto instalace může provádět pouze root. Jenže stále zadávat heslo nikoho nebaví. Proto si nastavíme sudo, abychom mohli instalovat balíčky jako normální uživatelé a bez nutnosti zadávat heslo.

#/etc/sudoers
# Host alias specification
# User alias specification
User_Alias      SYSADMIN = misak, michal
# Cmnd alias specification
Cmnd_Alias      INSTALL = /usr/bin/emerge
# SYSADMINs could use emerge
SYSADMIN        ALL = NOPASSWD: INSTALL

Příkaz sudo /usr/bin/emerge již potom funguje i pod normálním uživatelem. Ale to už je kratší a pohodlnější napsat su, heslo a emerge! Což v mém případě znamená 16 znaků a sudo verze 20 znaků. Naštěstí tvůrci shellu s lidskou leností počítali, proto není nic jednoduššího, než použít alias emerge='sudo /usr/bin/emerge' a umístit jej do startovacího skriptu.

       

Komentáře

[Michal Marek (twofish)]

Při práci na počítači děláme chyby, všichni a bez vyjímky.

Omlouvám se, že otravuju kvůli pravopisu, ale chyba v téhle větě je hezká Nebo je to schválně?

[Michal Vyskočil]

Chybička , ale to tu větu jen potvrzuje! Už je to opraveno.

[unchallenger]

Mám obvykle jeden výrazně visuálně odlišený terminál s root shellem. Dáš-li userovi přes sudo právo na instalaci softu (emerge, dpkg, rpm, ...), tak to je stejně instantní root, získá-li někdo tvůj přístup. V čem to má být o tolik bezpečnější?

[David Jaša]

U mě je to bezpečnější v tom, že ta práva dám jenom sobě.

[unchallenger]

A ten rozdíl je v čem? Nechceš snad naznačit, že si všichni mí uživatelé mohou spustit root shell? I když vyloučit to úplně nemohu... ;-)

[Michal Vyskočil]

Já si třeba roota pouštím jenom, když ho skutečně potřebuju, jinak ne. Bezpečnější je to proto, že můžu delegovat některá, předem definovaná práva, na jiného uživatele, který má méně možností, jak něco zrušit. To s emerge je jen příklad pro ilustraci (přestože jsem to takhle používal i na Slacku).

[#Tom]

... zejména pro začátečníky. Já jsem si hrál s nastavením všecho možného, přesouval jsem věci sem a tam, instaloval jsem všecko možné. Další uživatelský účet jsem si pořídil teprve na to, abych si ověřil, jestli jsou správně nastavena práva, takže programy budou fungovat i nesprávci.

Výše uvedený příklad s rm -rf / je pěkný. Ale co na tom? Programy jako su a sudo nebezpečí nesníží, protože občas se každý na svém počítači přihlašuje jako správce. Čím dříve někdo podobnou chybu udělá, tím líp, není nad poučení z vlastních chybiček

[Michal Marek (twofish)]

Ale jo, aspoň se začtečníci co nejdřív naučí, že dělat všechno pod rootem je blbost

[Lukoko]

Taky delam pod rootem. Pocitac mam jenom pro sebe a tak nejakejm uzivatelskejm zalezitostem neholduju.

Je fakt, ze co se tyka bezpecnosti, tak to je neco jinyho, ale stejne, je to asi pohodlnost.

Stejne si rikam, ze pro veci jako installpkg bych si nastavil alias pres sudo, takze bych jenom neustále zadával heslo. nebo jeste lip bych byl neustale v konsoli pres su.

Jedinej rozdil by teda asi byl, ze by mi Xka bezeli pod jinym uzivatelem.

[Jiří Němec]

Já mám obvykle jako jeden z prvních terminálů pod rootem (hrabu se v systému stále, nebo občas potřebuju upravit práva u nějakého php scriptu). Používám k tomu sudo su. Asi to není nejepší a nejbezpečnější řešení, ale mě na desktopu za NAT stačí.

Samozřejmostí je odlišení rootshellu a normálního. V gentoo je rootshell červený a normální zelený, takže jsem si s tím nemusel hrát.

Samozřejmě co nemusím dělat pod rootem, to pod rootem nedělám.

[imro]

Ten priklad s upgradovanim je trosku od veci.Ale,pouzivat comp pod root-om je fakt blbost.Spustate GUI,nejakeho firefoxa,mailoveho klienta.Ani neviete ako a moze sa vam dostat do systemu exploit.Na TU v Kosiciach si este zivo pamataju jedneho spravcu.Ten tiez robil na jednom dolezitom servi iba ako root.Ziadny user.Prezeral si postu,browsoval vsetko pod rootom,kym mu stvrtaci neposlali mailik s obrazkom Kurnikovovej.Samozrejme,root si ho chcel pozriet a uz mal v systeme krasny expolit.Ze ti ludia ziskali rootovske pravo na cely server,na ktorom boli ulozene testy a ze ich vzdy vedeli minimalne tyzden do predu zistili az o niekolko mesiacov!!!Vinnik doteraz neznamy!!!

[Jiří Němec]

GUI programy pod rootem zásadně nepoužívám. Nepamatuji si, kdy jsem se naposledy přihlásil jako root do grafického rozhraní. Akorát občas používám kdesu, když třeba potřebuji nainstalovat něco do firefoxu/thunderbirdu/eclipse. Tuším, že český spellchecker nešel instalovat pod userem. Ale to jen nainstaluju, víc v tom nedělám.

[mmrnda]

Já teda nevím jak pod gentoo, ale mě jde normálně instalovat rozlišení pro FireFox atd. jen když chci něco nainstalovat(prográmek) tak to dělám pod root, ale to si taky pořádně rozmýšlím než začnu.

[Jiří Němec]

Rozšíření samozřejmě jdou instalovat, nejde jen to, co se zapisuje někam do /usr jako slovník, čeština, nebo search pluginy.

[vencour]

a) naivně si myslím, že použitím mc se tomuhle můžu vyhnout
b) roota používám minimálně, zatím třeba jen pro nahrání/odebrání modulů, mountování či zápis na fat32 partišnu - zatím jsem stále po ruce/nespěchá ono požadované tolik, abych to musel řešit jinak

[Michal Čihař]

No že bych zrovna mc nějak moc důvěřoval to říct nemůžu

[Michal Vyskočil]

a) Jistě, používání mc se takový překlep nemůže stát. Ale já mc nepoužívám, ted ho tu dokonce ani nemám nainstalovaný, takže mě se to netýká. A ruku na srdce, kolikrát se stane, že člověk smaže špatný soubor/adresář. Dokonce i ta moje věta o chybách se sama potvrdila (udělal jsem v ní chybu). b) Já docela často instaluji software a jak jsem psal, je to hlavně o pohodlnosti a lenosti, než o něčem jiném . Narodíl od ostatních roota vypínám hned, jak ho nepotřebuji ... možná je to tím, že nejsem admin.