Dotaz: vypnutí počítače bez roota

[Jcas]

Už jsem pákrát zažil, že se počítač opravdu kousnul. Někdy víc, někdy míň, ale jediná věc, která vždy fungovala bylo přepnutí na virtuální terminál. Když chcu PC vypnout nebo restartovat v tomto okamžiku mohu příkazy volat pouze jako root. A jaké má řešení běžný uživatel, který by nikdy neměl znát heslo roota a ani příkaz sudo?

Odpovědi

[Amarok]

Jako root editovat soubor /etc/sudoers
Dole by melo byt nasledujici:

%wheel ALL=(root) NOPASSWD: /sbin/shutdown
%wheel ALL=(root) NOPASSWD: /sbin/halt
%wheel ALL=(root) NOPASSWD: /sbin/reboot

Skupina wheel funguje kazdopadne v archlinuxu, mozna je to pro jine distribuce trochu jinak.

Prikaz 'sudo' se bude muset ale pouzit, nevidim nejak duvod, proc by mel byt problem zadat 'sudo reboot' apod.

[Jcas]

jasně, takže mu ty příkazy jen povolím. Nakonec mu vůbec nemusím říkat co sudo znamená a navíc i když mu to řeknu, tak to stejně na jiné příkazy nemůže použít. Akorát ještě nevím (neznalost), proč příkazy pro vypnutí může volat jenom root. Nemá to nějaké bezpečností souvislosti? A gdm, kdm, xdm když volají halt, tak se taky tváří jako root?

[Jooky (inactive)]

- linux je multipouzivatelsky system a preto je neziaduce aby mohol hociaky uzivatel vypnut masinu (keby mohol vypnut server hocikto kto ma ssh access tak to by riadne zavanalo problemom). Pokial nejde o servrovu masinu tak sa vypinanie vacsinou riesi cez klikatko v UI, alebo login manageri, popripade ako uz kolega pisal cez sudo.

- login manager bezi pod rootom aby mohol prihlasit hociakeho autentifikovaneho uzivatela a teda reboot/halt moze volat ako root

[Amarok]

"login manager bezi pod rootom" - me by jen zajimalo, jak je vypnuti systemu reseno, pokud se vypne uz primo z okenniho manazera (nektere jako KDE a GNOME prece tu moznost nabizeji). KDE ani GNOME uz nepouzivam, tak jsem si musel do hlavniho menu Openboxu a Fluxboxu zadat manualne polozku "vypnout" a hodit za to spusteni prikazu "sudo halt" (ktere jsem si musel nejdriv povolit tak, jak jsem psal nahore v reakci na hlavni dotaz), jak to teda ale dela KDE/GNOME?

[Michal Kubeček]

Těžko říct, jedna z možností je, že tuto informaci předá zpátky kdm/gdm a shutdown provede ten.

[pakanek]

KDE, Gnome řeknou při ukončování právě tomu login manageru. V login manageru pak bývá seznam uživatelů, kteří mohou vypnout počítač.

[michich]

Ve Fedoře (+ jinde, kde je taky ConsoleKit) o to GNOME požádá přes D-Bus console-kit-daemona (interface org.freedesktop.ConsoleKit.Manager). Ten si přes PolicyKit ověří, zda je k tomu daný uživatel oprávněn, a když ano, provede to. Oprávnění se dají nastavovat v GUI polkit-gnome-authorization. V tomto případě je to konkrétně akce s identifikátorem org.freedesktop.consolekit.system.stop.

[Amarok]

Uf dik, takhle detailne to ani nebylo treba... :)

[dustin]

Díky za info

[vencour]

Když to tu už zaznělo, mně přijde SysMagicRq jako docela bezpečnostní díra právě kvůli možnosti vypnutí přes Alt+SysRq+O ... co si o tom myslíte?

[Michal Kubeček]

Ono je to určeno hlavně pro testovací systémy, kde se dá očekávat, že se něco "kousne". Povolovat to na produkčním stroji nebo dokonce serveru bych nepovažoval za moc šťastný nápad.

[pht]

Nějak mi uniká to slavné bezpečnostní riziko, které sysrq přináší... člověk s přístupem ke konzoli to obvykle může vypnout i jinak než nějakým opičím chvatem.

[Michal Kubeček]

Může mít přístup ke klávesnici (a monitoru), ale ne k vlastnímu počítači. Navíc Magic SysRq key umožňuje i jiné věci, než jen vypnout počítač, ale nepamatuji si z hlavy, co tam všechno je (a jak je nebezpečné zpřístupnit to náhodnému kolemjdoucímu).

[vencour]

Třeba přemountovat z RW na RO.

[Michal Kubeček]

To ano (to si zrovna pamatuji), ale myslel jsem spíš, jestli mezi těmi funkcemi není něco, co by místo DoS umožnilo získání práv, která uživateli nepříslušejí.

[houska]

http://www.abclinuxu.cz/clanky/tipy/magicka-klavesa-sysrq

[Michal Kubeček]

Hm, tak třeba u toho vyvolání OOM killeru bych si dokázal představit scénář, kdy by to útočníkovi při troše štěstí (a po nějaké době střílení naslepo) mohlo pomoci získat práva lokálního uživatele nebo dokonce roota.

[pht]

To teda nevím jak, nota bene když OOM můžete vyvolat i vzdáleně.

Ad zpřístupnění klávesnice a monitoru ale ne počítače: dejte mi příklad z praxe, kde je to prospěšné a čemu...

Spíš bych vyzdvihl sysrq pro použití jako SAK, bez kterého může kdokoliv s přístupem ke klávesnici a monitoru získat Vaše heslo.

[Michal Kubeček]

To teda nevím jak, nota bene když OOM můžete vyvolat i vzdáleně.

Třeba tak, že by tím odstřeleným procesem byl vlock, xlock nebo něco podobného. Spolehlivě se to samozřejmě zařídit nedá, ale stoprocentně nemožné to také není.

Ad zpřístupnění klávesnice a monitoru ale ne počítače: dejte mi příklad z praxe, kde je to prospěšné a čemu...

Třeba jakákoli forma "informačního kiosku" - jízdní řády nebo objednávkový automat na nádraží, počítač, na kterém si může zákazník naťukat objednávku (jako mají třeba v Alze) atd. V některých případech vystačíte s redukovanou klávesnicí (šipky, Enter, Esc), ale ne vždy. Nebo třeba v internetové kavárně.

[pht]

Kiosk je dosti speciální zařízení, které se chová spíše jako terminál (tenký klient), než svévolný počítač. Tudíž jakákoliv akce (nejhorší varianta: vypnutí kiosku) je omezená na kiosk a neublíží (z bezpečnostního hlediska) serveru, který informace poskytuje.

A u všech ostatních případů je opravdu jednodušší se vlomit šroubovákem než mačkat oom killer a čekat až ustřelí zámek na session. Naopak, pro diagnózu a řešení spousty problémů na servrech jsem sysrq již hodněkrát využil.

[fafsdfs]

Ideálně tlačítkem na bedne.

Už cca  deset let maji PC acpi kompatibilní zdroje, ktere umožňují komunikaci s deskou (biosem) i při vypínání. Stačí mít acpi demona (obvykle default) a ten zařídí vše potřebné.

[AraxoN]

Okrem už spomínaného sudo je tu možnosť nainštalovať a mať spustený acpid. Ten potom odchytí stlačenie vypínača na počítačovej skrini (alebo notebooku) a shutdown inicializuje sám.

[vlastikroot]

Da se pres suid bit.

chmod +s /sbin/shutdown

[Michal Kubeček]

/sbin/shutdown může být skript.

[vlastikroot]

Muze, ale nikdo nerekl ze je

[l4m4]

Používat consolehelper (userhelper). Např. u mne je /usr/bin/reboot či /usr/bin/poweroff symlink na consolehelper. A v /etc/pam.d/reboot je pak

#%PAM-1.0
auth       sufficient	pam_rootok.so
auth       required	pam_console.so
account    required	pam_permit.so

Tučný řádek dává lokálním uživatelům (tj, přihlášeným na konzole) možnost příkaz použít. Jelikož takový uživatel může většinou stejně počítač vypnout fyzicky, nic se nemění.

Nejmenovná distribuce, kterou používám, to má takto nastveno implicitně.

[Ash]

Používám za tím to účelem ctrl-alt-del.