Sudo vs. su, blokovaný root účet

11.6.2008 11:36 | poslední úprava: 11.6.2008 11:39

Některé OS mají defaultně zablokovaný účet administrátora root. Není mi sice jasné jak je to provedeno Zda neznámým, extrémně dlouhým heslem, či naprostou blokací, ale to by až tak nevadilo. Mezi hlavní výhodu sudo bývají řazeny možnosti jemnějšího nastavení delegace práv a neznalost útočníka "jména administrátorského účtu". klasicky je to root, ale pokud root chybí, útočník ho nezná. V distribucích jako opensuse existují su a sudo vedle sebe. Naproti tomu ubuntu má jen sudo a roota zablokovali. Má zablokovaný root nějaké nevýhody? Pokud ne, proč jej postupně neblokují všechny distribuce? Naopak, generuje odblokování root účtu například v ubuntu nějaké technické problémy uživateli (ubuntu.wiki to důrazně nedoporučuje). Co preferujete vy?

       

Anketa

Komentáře

[qiRzT]

Ono především záleží na tom, k čemu a jak se danný stroj využívá, jak je dostupný. Třeba u toho Ubuntu to nemá IMHO jiný význam než posílení blbuvzdornosti. U serveru, který má být spravován několika lidmi, kteří ještě můžou přicházet a odcházet, bych viděl použití sudo jako nutnost. Na druhou stranu - na routeru s OpenWRT mám jediný účet - roota

[Heron]

Můžeš alespoň přibližně naznačit proč je "sudo" na serveru nutnost? Na většině serverů které spravuji mají správci běžný účet a na roota jdou pres "su", napíšou heslo a pracují. Nedokáži si představit zadávat všechno do suda.

[qiRzT]

Do určitého počtu lidí a míry jejich fluktuace to asi nutnost není. Taky to asi záleží na vzájemné důvěře mezi těmi lidmi. Spíš jsem to asi měl napsat tak, že existují situace, ve kterých je to nutnost. Hlavní důvod bych asi viděl v tom, že se lidé s většími právy mohou střídat (zaměstnanec odejde z firmy, ale server se všemi hesly zůstane). I když na druhou stranu - jednou root, vždycky root.

[Käyttäjä 11133]

Tady kolega si totiž myslí, že po vyhození/odchodu takového admina prostě zablokuje jeho běžný účet a je v klidu. Což je však blbost. Nemůže totiž vědět, jestli už tam admin nezavedl nějaké backdoory,...

[pools]

zkus někdy kouzelnou kombinaci "sudo bash"...

[Jiří Němec]

nebo sudo -s

[Heron]

Je to delší a vyžaduje to zápis do konf. suda, jinak:

"tomas is not in the sudoers file. This incident will be reported."

Zatímco "su -" funguje samo (když funguje).

[pools]

? to chceš jako používat sudo bez toho abys byl uvedený v sudeoers ? Jinak tvůj příspěvek upřímě absolutně nechápu(kéž bych byl PT a mohl to napsat rovnou, že jsi debil )

[Heron]

Ne nechci, psal jsem to kousek nahoře. Tohle byla reakce na to, že su - je jako sudo bash -> ale ono není.

PS: klidně můžeš, už se z toho stává tradice

[pools]

ale aby to pak nedopadlo jako tady

[unknown_]

I su nemusí fungovat vždycky, musíš být ve wheel

[kozzi]

Ne nemusis, ja tam treba sem kvuli sudo, ale kvuli su tam byt nemusim.

[alpha]

To zalezi na nastaveni distra -- v Gentoo si v defaultni konfiguraci bez wheel se su neskrtnes.

[kozzi]

Jo já vím. Proto jsme psal ze obecne nepalti ze clovek musi byt ve wheel

[unknown_]

Ach ten Arch

[pools]

...

[unknown_]

Od tebe bych spíš čekal .
Velkou tečku

[pavlix]

su nefunguje samo.

Musíš dát rootovi heslo nejdřív. A nebo zajistit přihlášení bez hesla (např. pomocí PAM). Ale nikdy (naštěstí) nefunguje samo.

[CEST]

Ja osobne bych sudo na serveru jako nutnost nevidel. Je to proste jenom super vyhoda.

Napr. chces nejakymu uzivateli dat moznost, aby na serveru spustil nekaky admin proces, ktery musi bezet pod rootem nebo pod jinym uzivatelem. Tak mu samozrejme nedas heslo k rootovi, ale proste v sudoers povolis tomu uzivateli spustit konkretni prikaz (at uz systemovy nebo nejaky shell script) pod jinym uzivatelem a jeste se muzes rozhodnout, jestli to ma chtit zadat uzivatelovo heslo nebo to muze spustit bez hesla.

Dalsi vec je, ze muzes samozrejme dovolit uzivateli spustit sudem /bin/bash, cili ziska kompletni root pristup, aniz by znal root heslo. Po odchodu takovyho cloveka pak opravdu staci zrusit jeho ucet. Samozrejme root kity a backdoory se musi resit jinak.

U nas mame LDAP autentizaci, takze nemusim delat ucty vzdy na serveru. Mame sudo-ldap, takze konfigurace se bere ze LDAPu. Bohuzel i presto pouzivam root heslo - je proste jednodussi rsyncovat systemovy veci primo z/na roota, nez delat config pro rsync pod rootem, nebo to kopirovat pres uzivatelsky ucty. Navic, kdyz se neco stane se siti a LDAP neni dostupnej, tak je treba se prihlasit primo pod rootem.

[Filip Jirsák]

Dalsi vec je, ze muzes samozrejme dovolit uzivateli spustit sudem /bin/bash, cili ziska kompletni root pristup, aniz by znal root heslo. Po odchodu takovyho cloveka pak opravdu staci zrusit jeho ucet. Samozrejme root kity a backdoory se musi resit jinak.

To je ale pouze trochu krkolomná varianta su nebo přidání klíčku do rootova authorized_keys, ne?

[xkucf03]

nebo přidání klíčku do rootova authorized_keys

Jak často vídáš servery, kde je možné se na dálku přes SSH přihlásit jako root? Já minimálně, resp. už si ani nevzpomínám, kdy jsem nějaký takový naposledy viděl

[Filip Jirsák]

Vlastně jsem zatím asi neviděl server, kde by to nešlo. Asi se holt nestýkám s tou správnou skupinou lidí, kteří bezpečnost serverů řeší zaříkáváním, bylinkami a zákazem přímého přihlášení na roota.

[kozzi]

Tak ono tvrdit že je root blokovaný není pravda. On prostě jen nemá zadaný heslo . Jinak já osobně si myslím že sudo i su má svoje výhody. Dost často používam sudo (spíš vyhrádně), ale když mám v plánu něco nastavovat přes konzoli a vím že těch příkazů bude požehnaně, tak se přepnu rovnou na roota abych nemusel furt zadávat sudo.

[extender]

to lze dělat i pomocí sudo -i nebo sudo bash ne?

[kozzi]

No a jeste pomoci sudo su

[extender]

no já na to taky používám su. Spíše mě zajímalo, jestli je lepší přístup su + sudo, tak jak to dělá například opensuse, nebo mít jenom sudo, jak to má Ubuntu a jeho deriváty.

[kozzi]

no tak ubuntu pokud vím má taky oboje. Jsem to před tydnem instaloval u kámoše a je tam oboje akorát jsem musel u roota zadat heslo.

[extender]

No. Oni ho mají "nějak deaktivovaný" a na Ubuntu stránkách to důrazně nedoporučují s tím že některé aplikace nebudou se su koretkně fungovat. Nevím, nezkoušel jsem.

[kozzi]

Jn ta jejich deaktivace akorát spočívá právě v tom že root nemá žádné heslo tudíž se na něj nedá přihlásit. Ale jak říkám stačí mu zadat heslo a je to. Jinak ten jejich kec že některé aplikace nebudou s su dobře pracovat je opravdu blbost. A ten kdo to napsal by se měl stydět. To že si pro roota zadám heslo přece nemůže žádne aplikaci vadit.

[Ladicek]

Jo. Jednou jsem se dostal k nějakému čerstvě nainstalovanému Ubuntu, a první věc, co jsem udělal, bylo sudo passwd

[alblaho]

To jsem chtěl napsat, hned jak jsem viděl tento blogpost.

sudo passwd je první věc, co po instalaci Ubuntu dělám. Nedovedu si představit, že bych se nemohl přihlásit jako root, na to sudo prostě nejsem zvyklý. Když něco instaluju, nejprve dám su a pak teprve jako root apt-get install.

V podstatě se musím přiznat, že sudo jsem nikdy nějak nepochopil. Jako chápu, co to může mít za výhody, ale třeba nevím, jak se udělá, aby někdo mohl spustit něco jako root.

[Ladicek]

ale třeba nevím, jak se udělá, aby někdo mohl spustit něco jako root

Já taky ne, kdysi jsem si za mohutné podleshovy asistence napsal do sudoers něco jako ALL:ALL, a od té doby to neřeším

[anicka]

Vedela bych o distribuci, ktera na to ma graficke klikatko...

[Ladicek]

Když já su úchyl. Z těžkého windowsáka jsem se během pár týdnů stal uživatelem, jehož klíčová aplikace je rxvt. Pak jsem ho teda vyměnil za Konsoli a tu zas nedávno za yakuake, ale pořád mi ta klikátka nějak extra nescházejí

[anicka]

V tom případě máš před sebou ještě dlouhou cestu, na které nejspíš man sudoers nebude to nejsložitější, co Tě potká Ale určitě to stojí za to, to zas jo

[pavlix]

Já zase obvykle rootí heslo nepoužívám, sdílený hesla jsou na prd, a často se stane, že nějaký stroj nespravuje jen jeden člověk.

[pavlix]

Jen pro doplnění, na vzdálených kompech heslo pokud možno nepoužívám vůbec.

[qiRzT]

Mno někdo by moh narazit na to, že když se v konzoli přihlásí přes su, tak mu tak nepůjdou spouštět aplikace pro X.

[belisarivs]

sux?

[extender]

Na to je snad kdesu ne? i když oni pro to splácali kdesudo

[Honza Jaroš]

Vždycky když vidím příkaz kdesu, vzpomenu si na valašský výklad zkratky GPS: Gde Proboha Su?

[petr_p]

pam_xauth

[Kvakor]

Jn ta jejich deaktivace akorát spočívá právě v tom že root nemá žádné heslo tudíž se na něj nedá přihlásit.

Hmm, tak to by me zajimalo, jak se resi katastroficke udalosti typu pozkozeni root fs, kdy se pri startu po nezdarenem pokusu o automatickou opravu musi fsck spustit rucne, nebo kdyz se musi jit do single-user rezimu (runlevel 1) se staticky-linkovanycm shellem (nebo busyboxem) pri pozkozeni zakladnich knihoven nebo dynamickeho loaderu.

[12345]

To raději nechtějte vědět. Root shell dostanene bez ptaní, just like that.

[Ladicek]

Párkrát jsem to zkoušel, a přišlo mi, že sudo su vždycky trvá o poznání dýl než sudo bash, čím to?

[anicka]

Těžko říct, strace napoví Pro začátek bych se podívala na zoubek pamu, co všechno zkouší vyvádět při su...

[Ladicek]

Hm, na tom něco bude. Já to nijak zvlášť neřešil, na sudo bash už mají moje prsty takový malý návyk

[Käyttäjä 11133]

Hmm a není lepší si udělat alias?

[Ladicek]

Cha, mám aliasy na ledacos, ale na tohle mne to ani nenapadlo Dobrý nápad. Ten alias se bude jmenovat su

[CEST]

ja pouzivam sudo -i (pripadne sudo -s na starsich sudo)

[kozzi]

No tak u mě je to stejně rychlí. Teda až na to sudo -i to je 2x pomalejší. Jak už říkala anička asi by se chtělo podívat do pam modulů. Já je mám nastaveny tak že když su vyvolá root tak to hned uzná a je to.

[Kvakor]

Ja osobne pouzivam prvni virtualni textovou (no, vlasne framebufferovou) konzolu (/dev/tty1) jako rootovskou, je to take jedina konzola, na kterou se muzu jako root prihlasit (a zadnou vzdalenou zpravu na desktopu nemam). Takze su ani sudo temer nepouzivam, snad az na veci v Xkach jako Synaptics (ale tam je gsu ci jak se to jmenuje).

[belisarivs]

Ja osobne vidim vyhodu sudo ve dvou vecech.

Clovek si musi pamatovat jenom jedno heslo (coz je rovnez riziko) a zaroven jde jemneji nastavit pristupova prava.

Spravce bude mit roota, spravce databaze bude mit sudo pro hrabani se v databazich a bezny uzivatel muze mit sudo treba pro spustneni wifi-radaru, ktery vyzaduje prava roota, a nic vic.

Ale bezpecnost sudo IMHO nezvysuje. Hadani loginu je security by obscurity a kdyz neumoznim prime prihlaseni se na roota (cili se na nej muze prihlasit jenom uz prihlaseny uzivatel) tak je IMHO bezpecnost vyssi, protoze je root chranen dvema hesly.

[diverman]

Zadani dvou hesel po sobe ma podstatne vic nevyhod nez vyhod oproti zadani jednoho hesla o pouhy jeden znak delsiho.

[pc2005]

Mám takový pocit, že tohle tu už jednou bylo a byl z toho flame

[diverman]

Ano, tak nechapu, ze se vzdycky najde nekdo, kdo argumentje proti. Lidska hloupost je nekonecna...

[pc2005]

Asi bych se neměl přiznávat, že pracuji permanentně jako root .

[extender]

perfektní. Tohle je nejlepší příspěvek

[Filip Jirsák]

Proč ne? Pokud děláte permanentně rootovskou práci…

[pc2005]

Vždycky samozřejmě ne, ale občas jsem x-krát za den kompiloval moduly , celkově mě to za držení normálního účtu nestojí. Na druhou stranu si zase dávám pořád pozor, abych neudělal chybu.

[petr]

No, já od doby, co jsem přešel na OS X, tak "musím" používat sudo. Root lze sice odemknout, ale proč bych to dělal? Je mi úplně jedno, jestli používám sudo nebo su (to konkrétně nefunguje, protože root má blokovaný login, ale sudo su ano ). Co se serverů týče, tam by mi sudo také nevadilo. Teď mě tak napadá, že už vlastně žádný server ve správě nemám

[alfonz]

sudo, zvyknl jsem si na něj a už mi přijde normální, když potřebuji delší práci a vadilo by mi tak dávám sudo -s a je tam;) Jinak používám distribuce výhradně na debianu/ubuntu a sudo je tam všude, takže sudo:) zatím jsem se sudem narazil jen jednou (nevím co by s tím dělalo su/login roota) nějakým zázračným způsobem se mi přesynchronizoval čas DOZADU o pár minut a já byl mezitím chvilku přihlášený na sudo, sudo mělo v logu uloženo že jsem byl přihlášen dříve než je nynější čas a nechtělo mě lognout. stačilo počkat pár minut a byl jsem vevnitř. Ani pak se mi ale nepodařilo zjistit co se stalo s tou synchronizací času. (možná nějaká chybka na timeservru?) nevím, ale je jasné, že to je dobrá bezpečnostní politika;)

[12345]

Mně se jednou povedlo nainstalovat Ubuntu s časem posunutým asi o 7 hodin. Opravil jsem to za použití sudo…a to byl poslední administrační úkon, který jsem toho dne na počítači provedl

[Smajchl]

uff, nedávno sem rozebíral notebook a smazal se bios a pak sem měl datum 2048 nebo tak něco a syslog žral 100% cpu. Nedovedu si představit že bych čekal 40 let

I když dá se to změnit v biosu