abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 04:00 | IT novinky

    Java má dnes 30. narozeniny. Veřejnosti byla představena 23. května 1995.

    Ladislav Hagara | Komentářů: 0
    včera 21:55 | IT novinky

    1. července Mozilla vypne službu Fakespot pro detekci podvodných recenzí v internetových obchodech. Mozilla koupila Fakespot v květnu 2023.

    Ladislav Hagara | Komentářů: 1
    včera 21:33 | IT novinky

    8. července Mozilla vypne službu Pocket (Wikipedie) pro ukládání článků z webu na později. Do 8. října si uživatelé mohou vyexportovat data. Mozilla koupila Pocket v únoru 2017. Několik měsíců byl Pocket integrovanou součástí Firefoxu.

    Ladislav Hagara | Komentářů: 1
    včera 13:22 | Upozornění

    Turris OS má aktuálně problém s aktualizací související s ukončením podpory protokolu OCSP u certifikační autority Let's Encrypt.

    Ladislav Hagara | Komentářů: 2
    včera 04:00 | Zajímavý článek

    Nevidomý uživatel Linuxu v blogu upozornil na tristní stav přístupnosti na linuxovém desktopu (část první, druhá, závěr), přičemž stížnosti jsou podobné jako v roce 2022. Vyvolal bouřlivou odezvu. Následně např. Georges Stavracas shrnul situaci v GNOME. Debata o jiném aspektu přístupnosti, emulaci vstupu pod Waylandem, také proběhla na Redditu.

    Fluttershy, yay! | Komentářů: 8
    včera 03:00 | Komunita

    DevConf.CZ 2025, tj. open source komunitní konference sponzorovaná společností Red Hat, proběhne od 12. do 14. června v Brně na FIT VUT. Publikován byl program a spuštěna byla registrace.

    Ladislav Hagara | Komentářů: 0
    21.5. 18:22 | Nová verze

    Byla vydána nová major verze 28.0 programovacího jazyka Erlang (Wikipedie) a související platformy OTP (Open Telecom Platform, Wikipedie). Přehled novinek v příspěvku na blogu.

    Ladislav Hagara | Komentářů: 0
    21.5. 13:11 | Zajímavý článek

    Český telekomunikační úřad zveřejnil Výroční zprávu za rok 2024 (pdf), kde shrnuje své aktivity v loňském roce a přináší i základní popis situace na trhu. Celkový objem přenesených mobilních dat za rok 2024 dosáhl dle odhadu hodnoty přibližně 1,73 tis. PB a jeho meziroční nárůst činí zhruba 30 %. Průměrná měsíční spotřeba dat na datovou SIM kartu odhadem dosáhla 12,5 GB – v předchozím roce šlo o 9,8 GB.

    Ladislav Hagara | Komentářů: 13
    21.5. 12:33 | IT novinky

    Z novinek představených na Google I/O 2025: Přehledy od AI (AI Overviews) se rozšiřují do dalších zemí. Užitečné, syntetizované přehledy od generativní AI jsou nově k dispozici i českým uživatelům Vyhledávače.

    Ladislav Hagara | Komentářů: 0
    21.5. 11:44 | IT novinky

    Šestice firem označovaných jako „MAMAAN“ – tedy Meta (Facebook, Instagram), Alphabet (Google), Microsoft, Apple, Amazon a Netflix – je zodpovědná za více než padesát procent světového internetového provozu. Dalšími velkými hráči jsou TikTok a Disney+. Společně tak zásadně určují podobu digitálního prostředí, spotřebitelského chování i budoucích trendů v oblasti technologií. I přesto, že se podíl těchto gigantů od roku 2023 o něco snížil, jejich dominantní postavení zvyšuje volání po regulaci.

    Ladislav Hagara | Komentářů: 6
    Jaký je váš oblíbený skriptovací jazyk?
     (55%)
     (28%)
     (8%)
     (3%)
     (0%)
     (0%)
     (6%)
    Celkem 78 hlasů
     Komentářů: 6, poslední včera 14:43
    Rozcestník

    Nepracujte jako root, aneb nastavení sudo!

    22.6.2005 12:41 | Přečteno: 6032× | Linux | poslední úprava: 22.6.2005 13:31

    Dva důvody proč nepracovat jako root. A jak vyřešit problém s lidskou leností.

    Vždycky mě vytočí lidé, kteří obhajují práci v Linuxu (nebo jiném unixu) pod rootem. Nejčastějším důvodem je, jak jinak, lidská pohodlnost - Kdo tam má pořád dávat to heslo?, zní nejčastější námitka. Dokonce jsem zaslechl názory, že uživatel by se neměl nechat systémem omezovat.

    Důvody proč nepracovat jako root jsou dva:

    1. Bezpečnost
    2. Bezpečnost
    Je to sice jediný důvod, ale považoval jsem ho za tolik důležitý, že jsem jej uvedl dvakrát. Při práci na počítači děláme chyby, všichni a bez vyjímky výjimky. To, že nemáme veškeré pravomoce omezuje dosah našich chyb jen a pouze na naše vlastní data. Představme si, že budeme jako root a chceme si smazat soubor a zadáte rm -rf / home/user/soubor. Je to hloupý překlep, za kterou si vysloužíme hlášku Permission denied. Pokud nepracujeme root. V tomto případě se smaže celý systém, včetně přimountovaných disků (maximálně přežijí ntfs partition, ale jen kvůli tomu, že jsou připojeny jako ro).

    V době, kdy je stále více počítačů připojeno k internetu, se nebezpečí jenom zvyšuje. Počítače takových "chytráků", co si nenechají od počítače nic nařizovat, jsou potom velice snadným cílem všech útočníků. Ti je mohou využít na rozesílání spamu, lámání hesel, k nabourávání do dalších počítačů, ... . Pokud pracujete jako běžný uživatel, má to útočník mnohem těžší.

    Jenže, co je to všchno vysvětlování platné, když nejčastějším argumentem je již výše zmíněné Kdo tam má pořád dávat to heslo?

    Sudo

    Jedna z možností, jak obejít zadávání hesla, je nastavit su, aby se neptalo na heslo pro určité uživatele (typicky ze skupiny wheel). Tím můžete dát administrátorská práva jen určitým uživatelům. Ti pak nemusí zadávat heslo. Z mnoha důvodů to není ideální řešení (pořád má někdo k dispozici všechny práva roota, přestože je nepotřebuje).

    To správné řešení se jmenuje sudo. Pomocí tohoto programu můžete určitým uživatelům dát některé pravomoce roota, ale ne všechny (to lze taky, ale není to vhodné). Konfigurace programu sudo je uložena v /etc/sudoers, ale k nastavení se používá visudo, který mimo jiné kontroluje syntaxi. Veškeré podstatné informace jsou v manuálových stránkách (man sudoers), doporučuji především sekci EXAMPLES, kde jsou ukázky konkrétních konfigurací.

    Příklad nastavení

    Instalace softwaru je v linuxu často dělána pomocí správce balíčků (rpm, apt-get, urpmi, emerge, swaret, installpkg, ...). Ale je to privilegovaná operace, proto instalace může provádět pouze root. Jenže stále zadávat heslo nikoho nebaví. Proto si nastavíme sudo, abychom mohli instalovat balíčky jako normální uživatelé a bez nutnosti zadávat heslo.

    #/etc/sudoers
    # Host alias specification
    # User alias specification
    User_Alias      SYSADMIN = misak, michal
    # Cmnd alias specification
    Cmnd_Alias      INSTALL = /usr/bin/emerge
    # SYSADMINs could use emerge
    SYSADMIN        ALL = NOPASSWD: INSTALL
    

    Příkaz sudo /usr/bin/emerge již potom funguje i pod normálním uživatelem. Ale to už je kratší a pohodlnější napsat su, heslo a emerge! Což v mém případě znamená 16 znaků a sudo verze 20 znaků. Naštěstí tvůrci shellu s lidskou leností počítali, proto není nic jednoduššího, než použít alias emerge='sudo /usr/bin/emerge' a umístit jej do startovacího skriptu.

           

    Hodnocení: -

    zatím nehodnoceno
            špatnédobré        

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    22.6.2005 13:13 Michal Marek (twofish) | skóre: 55 | blog: { display: blog; } | Praha
    Rozbalit Rozbalit vše Výjimka
    Při práci na počítači děláme chyby, všichni a bez vyjímky.
    Omlouvám se, že otravuju kvůli pravopisu, ale chyba v téhle větě je hezká :-) Nebo je to schválně?
    22.6.2005 13:32 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: Výjimka
    Chybička :-), ale to tu větu jen potvrzuje! Už je to opraveno.
    When your hammer is C++, everything begins to look like a thumb.
    22.6.2005 13:35 unchallenger | skóre: 69 | blog: unchallenger
    Rozbalit Rozbalit vše Terminál
    Mám obvykle jeden výrazně visuálně odlišený terminál s root shellem. Dáš-li userovi přes sudo právo na instalaci softu (emerge, dpkg, rpm, ...), tak to je stejně instantní root, získá-li někdo tvůj přístup. V čem to má být o tolik bezpečnější?
    22.6.2005 14:15 David Jaša | skóre: 44 | blog: Dejvův blog
    Rozbalit Rozbalit vše Re: Terminál
    U mě je to bezpečnější v tom, že ta práva dám jenom sobě.
    22.6.2005 14:35 unchallenger | skóre: 69 | blog: unchallenger
    Rozbalit Rozbalit vše Re: Terminál
    A ten rozdíl je v čem? Nechceš snad naznačit, že si všichni mí uživatelé mohou spustit root shell? I když vyloučit to úplně nemohu... ;-)
    22.6.2005 16:44 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: Terminál
    Já si třeba roota pouštím jenom, když ho skutečně potřebuju, jinak ne. Bezpečnější je to proto, že můžu delegovat některá, předem definovaná práva, na jiného uživatele, který má méně možností, jak něco zrušit. To s emerge je jen příklad pro ilustraci (přestože jsem to takhle používal i na Slacku).
    When your hammer is C++, everything begins to look like a thumb.
    22.6.2005 13:59 #Tom
    Rozbalit Rozbalit vše PRACUJTE POD ROOTEM, JE TO NEJLEPŠÍ...

    ... zejména pro začátečníky. Já jsem si hrál s nastavením všecho možného, přesouval jsem věci sem a tam, instaloval jsem všecko možné. Další uživatelský účet jsem si pořídil teprve na to, abych si ověřil, jestli jsou správně nastavena práva, takže programy budou fungovat i nesprávci.

    Výše uvedený příklad s rm -rf / je pěkný. Ale co na tom? Programy jako su a sudo nebezpečí nesníží, protože občas se každý na svém počítači přihlašuje jako správce. Čím dříve někdo podobnou chybu udělá, tím líp, není nad poučení z vlastních chybiček :-)

    22.6.2005 14:09 Michal Marek (twofish) | skóre: 55 | blog: { display: blog; } | Praha
    Rozbalit Rozbalit vše Re: PRACUJTE POD ROOTEM, JE TO NEJLEPŠÍ...
    Ale jo, aspoň se začtečníci co nejdřív naučí, že dělat všechno pod rootem je blbost ;-)
    22.6.2005 14:40 Lukoko | skóre: 8 | blog: Lukoko | Praha
    Rozbalit Rozbalit vše Re: PRACUJTE POD ROOTEM, JE TO NEJLEPŠÍ...
    Taky delam pod rootem. Pocitac mam jenom pro sebe a tak nejakejm uzivatelskejm zalezitostem neholduju.

    Je fakt, ze co se tyka bezpecnosti, tak to je neco jinyho, ale stejne, je to asi pohodlnost.

    Stejne si rikam, ze pro veci jako installpkg bych si nastavil alias pres sudo, takze bych jenom neustále zadával heslo. nebo jeste lip bych byl neustale v konsoli pres su.

    Jedinej rozdil by teda asi byl, ze by mi Xka bezeli pod jinym uzivatelem.
    Mac OS X je taky unix
    Jiří Němec avatar 22.6.2005 14:09 Jiří Němec | skóre: 22 | blog: BluPix | Horní Smrčné
    Rozbalit Rozbalit vše sudo su
    Já mám obvykle jako jeden z prvních terminálů pod rootem (hrabu se v systému stále, nebo občas potřebuju upravit práva u nějakého php scriptu). Používám k tomu sudo su. Asi to není nejepší a nejbezpečnější řešení, ale mě na desktopu za NAT stačí.

    Samozřejmostí je odlišení rootshellu a normálního. V gentoo je rootshell červený a normální zelený, takže jsem si s tím nemusel hrát.

    Samozřejmě co nemusím dělat pod rootem, to pod rootem nedělám.
    Spock: "Logic, logic, logic. Logic is the beginning of wisdom, not the end.
    22.6.2005 15:00 imro | skóre: 19 | blog: hovado
    Rozbalit Rozbalit vše Re: sudo su
    Ten priklad s upgradovanim je trosku od veci.Ale,pouzivat comp pod root-om je fakt blbost.Spustate GUI,nejakeho firefoxa,mailoveho klienta.Ani neviete ako a moze sa vam dostat do systemu exploit.Na TU v Kosiciach si este zivo pamataju jedneho spravcu.Ten tiez robil na jednom dolezitom servi iba ako root.Ziadny user.Prezeral si postu,browsoval vsetko pod rootom,kym mu stvrtaci neposlali mailik s obrazkom Kurnikovovej.Samozrejme,root si ho chcel pozriet a uz mal v systeme krasny expolit.Ze ti ludia ziskali rootovske pravo na cely server,na ktorom boli ulozene testy a ze ich vzdy vedeli minimalne tyzden do predu zistili az o niekolko mesiacov!!!Vinnik doteraz neznamy!!!
    Jiří Němec avatar 22.6.2005 15:22 Jiří Němec | skóre: 22 | blog: BluPix | Horní Smrčné
    Rozbalit Rozbalit vše Re: sudo su
    GUI programy pod rootem zásadně nepoužívám. Nepamatuji si, kdy jsem se naposledy přihlásil jako root do grafického rozhraní. Akorát občas používám kdesu, když třeba potřebuji nainstalovat něco do firefoxu/thunderbirdu/eclipse. Tuším, že český spellchecker nešel instalovat pod userem. Ale to jen nainstaluju, víc v tom nedělám.
    Spock: "Logic, logic, logic. Logic is the beginning of wisdom, not the end.
    22.6.2005 16:13 mmrnda | skóre: 18 | blog: Pokusy | Liberec
    Rozbalit Rozbalit vše Re: sudo su
    Já teda nevím jak pod gentoo, ale mě jde normálně instalovat rozlišení pro FireFox atd. jen když chci něco nainstalovat(prográmek) tak to dělám pod root, ale to si taky pořádně rozmýšlím než začnu.
    Učený člověk na zem nespadl.
    Jiří Němec avatar 23.6.2005 14:22 Jiří Němec | skóre: 22 | blog: BluPix | Horní Smrčné
    Rozbalit Rozbalit vše Re: sudo su
    Rozšíření samozřejmě jdou instalovat, nejde jen to, co se zapisuje někam do /usr jako slovník, čeština, nebo search pluginy.
    Spock: "Logic, logic, logic. Logic is the beginning of wisdom, not the end.
    vencour avatar 23.6.2005 08:57 vencour | skóre: 56 | blog: Tady je Vencourovo | Praha+západní Čechy
    Rozbalit Rozbalit vše rm pod rootem
    a) naivně si myslím, že použitím mc se tomuhle můžu vyhnout
    b) roota používám minimálně, zatím třeba jen pro nahrání/odebrání modulů, mountování či zápis na fat32 partišnu - zatím jsem stále po ruce/nespěchá ono požadované tolik, abych to musel řešit jinak
    Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
    23.6.2005 10:31 Michal Čihař | skóre: 61 | blog: Bláboly | Praha
    Rozbalit Rozbalit vše Re: rm pod rootem
    No že bych zrovna mc nějak moc důvěřoval to říct nemůžu :-)
    23.6.2005 11:21 Michal Vyskočil | skóre: 60 | blog: miblog | Praha
    Rozbalit Rozbalit vše Re: rm pod rootem
    a) Jistě, používání mc se takový překlep nemůže stát. Ale já mc nepoužívám, ted ho tu dokonce ani nemám nainstalovaný, takže mě se to netýká. A ruku na srdce, kolikrát se stane, že člověk smaže špatný soubor/adresář. Dokonce i ta moje věta o chybách se sama potvrdila (udělal jsem v ní chybu). b) Já docela často instaluji software a jak jsem psal, je to hlavně o pohodlnosti a lenosti, než o něčem jiném :-). Narodíl od ostatních roota vypínám hned, jak ho nepotřebuji ... možná je to tím, že nejsem admin.
    When your hammer is C++, everything begins to look like a thumb.

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.