Dotaz: ROOT ucet vs klasicky ucet

[petrfm]

Ahoj, par dnu si hraju s linuxem a hodne se mi libi. Nemam moc casu a tak ctu kompletni dokumentaci po vecerech, ale jeste jsem nenarazil na uzivatelske ucty a jejich vyznam.

Proto polozim uplne stupidni a BFU dotaz, ktery je pro mne ale dulezity :

- Po instalaci linuxu, kdy nastavim rootovi nejake heslo, mohu pouzivat tento ucet pro beznou praci? Neco mi rika, ze bych si mel vytvorit hned uzivatele, treba Martin a nastavit si jine heslo. Pak vsechno delat pod uzivatelem Martin a pro pristup ke sprave pouzivat sudo, je tak?

Ale proc i kdyz jsem pod rootem, musim casto zadavat sudo, protoze mne to nechce pustit ? Ten root ucet je nejak omezeny?

Diky za vysvetleni, P.

---

---

Odpovědi

[Jack Hokus]

Dobrý den,

uvažujete správně, účet root je určen na správu systému. Pro práci jsou určeny uživatelské účty. Je to proto, aby běžný uživatel nerozhodil celý systém. A v úvahu je třeba brát i bezpečnostní hledisko. Pokud dojde ke kompromitování běžného účtu, tak pachatel nenadělá tolik škody.

[Jendа]

Pro práci jsou určeny uživatelské účty. Je to proto, aby běžný uživatel nerozhodil celý systém.

Osobně se mi ještě nestalo, že by mě použití uživatelského účtu ochránilo, nebo bych naopak pod rootem omylem zničil něco, co by se mi při použití uživatele nepovedlo.

Pokud dojde ke kompromitování běžného účtu, tak pachatel nenadělá tolik škody.

Což je v případě, kdy se z toho účtu uživatel přepíná na roota, celkem irelevantní.

[Skokan, Pavel]

dejte sem výstup z

whoami

a

id

na linuxu jsou uživatelská jména case sensitive

root, Root, rOot, roOt, rooT, ROot, RoOt, RooT, ... , ROOT jsou různé účty a root s id 0 je jen ten první (pokud neuděláte nějakou ošklivou nepěknou zlou věc)...

[petrfm]

Jojo uz jsem se dopidil toho prikazu id a jsem root. Mam tech linuxu vice - je to virtualka, kde si zkousim ruzne distra a sluzby, takze jsem nad tim zapremyslel a chci si do dat doporadku, nez se mi tam nekdo naboura

Jinak jak je to potom s ruznymi sluzbami - samba, server apache, atd... vsiml jsem si, ze postgresql treba taky pouziva nejakeho "uzivatele" - konkretne postres nebo tak nejak. Ale to je jen uzivatel v ramci te databaze - stejne jako u mysql, ze ? Cili to s rootem v linuxu nema moc spolecneho.

Diky za osvetu, je treba ziskat spravne navyky hned ze startu Treba vidle pouzivam dodnes pod Admin ucty a i kdyz se za to stydim, spatne se zvyka na to, mit tam x uzivatelu.

[Jendа]

Jinak jak je to potom s ruznymi sluzbami - samba, server apache, atd... vsiml jsem si, ze postgresql treba taky pouziva nejakeho "uzivatele" - konkretne postres nebo tak nejak. Ale to je jen uzivatel v ramci te databaze - stejne jako u mysql, ze ? Cili to s rootem v linuxu nema moc spolecneho.

V mnoha distribucích si služby vytváření skutečného unixového uživatele - např. Apache "www-data", postgres "postgres", mailserver "mail" atd. Je to hlavně pro lepší izolaci v případě kompromitace služby. Takže postgres nejspíš bude fakt unixový uživatel (+ databáze samozřejmě může mít vlastní správu uživatelů „uvnitř“, do čehož už systém nevidí). Zjistíš to třeba ve výpisu procesů (ps axu) nebo vůbec zjištěním, jestli takový uživatel existuje (getent passwd).

[petrfm]

Uz vim, co mne tak rozhodilo... Mam totiz 2x ubuntu. Jeden klasicky ubuntuserver 12.04 a druhy take, ale dodavany spolecne s instalaci nejakeho softu.

No a v jednom jsem jako root a ve druhem jako petr. Pritom Petr ma prava root. Tohle mne zmatlo, protoze jsem myslel, ze root je vzdy root a ma ID 0 a tady mam ID 1000. Koukam, ze ubuntu to ma proste udelane trochu jinak a root muze mit sve jmeno

Ale i tak je stale rootem a mel bych si tedy pro praci zridit jeste jeden ucet, ze ?

P.

[Skokan, Pavel]

v defaultním nastavení Ubuntu je účet roota uzamčený a první zavedený uživatel (při instalaci) má právo použít sudo na eskalaci oprávnění (práci s právy roota)

[j]

Krome mnoha jinych aspektu, ti pod rootem spousta veci v tucnakovi dobrovolne fungovat nebude a budou se tomu celkem aktivne branit. Tyka se temer vsech aplikaci mimo administraci - napr i Xka. A uvedom si, ze ani zdaleka nejde o to, ze by neco z venku melo napadnout system ... i pokud bude v aplikaci bug, tak pod rootem muze napachat daleko vetsi skody, nez kdyz bezi pod beznym uzivatelem. Nemuze se pak stat, ze prepise systemovy veci.

Navic v tucnakovi roota na provoz zadny appky nepotrebujes - narozdil od widli.

[rADOn]

Já bych jestě doplnil že ten nejzákeřenější (pro neznalého) rozdíl proti wydlím není technický, ale zvykový. Technicky mezi unixovým rootem a wydláckým administrátorem velký rozdíl není. Ale prakticky, protože se práce pod systémovým účtem nikdy nestala tak masovým nešvarem jako na wydlích, tak taky není zvykem aby se programy při každé kravině ptaly "jsi si jistý?"

[darksir]

Ja myslim, ze to bude spis tim, ze s linuxem pracuji uplne jini uzivatele, nez s vidlema Kazdopadne diky za objasneni, uz chapu, co se to delo, protoze pouzivam vesmes ubuntu a debian a tak mne ten zpusob roota trochu zmatl. (protoze na jeden se prihlasuju jako root a na druhy jako petr, ale defakto oba maji opravneni pouzivat sudo a proto jsem se divil, jakto.)

[petrfm]

Nechci zakladat dalsi thread, proto se zeptam tady. Pokrocil jsem a zacinam se po systemu trochu koukat. Vratil bych se tedy k tem uzivatelum jednotlivych sluzeb - napr. www-data pro apache, apod.

Chapu, proc to tak je, ale zajimalo by mne, jak je to reseno. Predpokladam, ze ja jako uzivatel nemam potrebu znat treba heslo tech uctu. Ale zajima mne, jak se nastavuje a zadava? Generuje se nahodne pri instalaci te sluzby? A jak se spousti? je nekde ulozene? Mam na disku v adresarich apache nejake podadresare se sluzbami a ty maji urcite adresare "vlastnene" svym uzivatelem. Neni mi uplne jasne, jak se k tomu mam chovat - nesahat na to, nebo s tim muzu hybat pres sudo, potazmo roota? Co kdyz zmenim vlastnika, tak se ta sluzba pos-re, pac to neotevre?

Tohle mi proste neni uplne jasne

P.

[NN]

pristupova prava v unixu(wiki)

[Michy]

Tyhle systémové uživatelské účty (s uid<1000) zpravidla vůbec nemají povolený přístup přes heslo, ale jelikož služby obvykle startují pod účtem roota, tak mají možnost se rootovského oprávnění vzdát a přepnout se do patřičného účtu, pod kterým potom pracují.

[petrfm]

Diky, to mi jako vysvetleni staci, vrtalo mi hlavou, jak s temi ucty operuji, kdyz neznaji heslo, nebo zda maji heslo nekde ulozene - to by zase bylo bezp.riziko.

Uz jsem si i nasel, jak se na ty jednotlive ucty prepnou pomoci roota, abych nemusel porad delat chown. Jeste donutit k prihlaseni WinSCP, at muzu pod www-data spravovat weby a budu uplne stastny clovek

P.

[petrfm]

Jeste se zeptam na posledni vec - pokud se tedy sluzby prepinaji pres roota na daneho uzivatele, pokud bych pod rootem zmenil nekterym souborum (treba databazovym, nebo www-data) v dusledku treba kopirovani majitele na root, tak by ty sluzby mely asi solidni problem, ze?

Cili si davat pozor a nezmenit omylem vlastnika, nebo ho pak nastavit zpatky.

[Max]

Když kopíruji, tak většinou kopíruji i oprávnění. Pokud je nezkopíruješ, tak pak je musíš samozřejmě nastavit, aby k nim měl příslušný uživatel/služba přístup.
Zdar Max

[j]

LDP http://www.root.cz/knihy/linux-dokumentacni-projekt/ ...

ucty pro Apache a spol jsou tam prave proto, aby se na ne z venku prihlasit ... NESLO. Pokud to povolujes, vyrabis bezpecnostni diru jak dopr...

Prepinat se na ne z konzole je pak naprosta blbost ... owner souboru je totiz naprosto nezajimavy - vetsinou je owner webu nejaky uzivatel nebo root, presto se k tomu apache dostane ... jednoduse proto, ze skupina ...

[darksir]

Rozumim, proto se ptam, abych si nezadelal na nejaky bezpecnostni problem. Zajimalo by mne tedy potom, jak ty soubory pro apache spravovat? Jak je tam nahravat, upravovat.... ?

Musim mit budto uzivatele, ktery je ve skupine www-data, nebo to delat pres roota, potazmo sudo, ne ? Jina moznost snad ani neni.

P.

[darksir]

Jinak dekuju za odkaz na LDP, ale to je pri jeho rozsahu po vecerech cteni cca na rok... (takze ho pomalu ctu), ale ja uz mam bezici linux a potrebuju na nem makat Samozrejme je mi jasne, ze pak otravuju s blbymi dotazy na zaklady a jsem taky vdecny kazdemu, kdo je ochotny mi poradit.

[Radek Hladik]

Záleží na tom s čím pracujete. Třeba ten apache potřebuje pouze práva na čtení a vlezení do adresáře (r-x), případně na zápis (w), pokud to někam potřebuje. A k tomu mu většinou stačí oprávnění "others", takže si klidně můžete nahrávat přes SCP pod svým uživatelem a apache bude fungovat. Pouze pokud někam potřebuje zapisovat, tak se mu to musí povolit. To se samozřejmě týká pouze adresáře se soubory webu, například logy musí být přístupné i pro zápis, ale ty se zase většinou dávají jinam.

A sice je to trochu kontroverzní téma, ale při nastavení přihlašování pomocí klíče je možné používat přihlášení přes SSH/SCP/SFTP přímo na roota; ovšem polovinu zde zmiňovaných výhod tím zničíte. Výhodou je (mimo jiné), že získáte možnost editovat konfigurační soubory a nejen je) vzdáleně, nevýhodou je (mimo jiné) , že získáte možnost editovat konfigurační soubory (a nejen je) vzdáleně.

http://www.abclinuxu.cz/faq/bezpecnost/prihlaseni-bez-hesel-i-na-roota

http://www.abclinuxu.cz/faq/bezpecnost/je-bezpecnejsi-prihlasovani-pomoci-bezneho-uzivatele-a-su-nez-primo-na-roota

[Šangala]

PS: RedHat, CentOS (,Fedora) s uid < 500, dle /etc/login.defs UIDMIN (SYSTEM_UID_MAX), případně GIDMIN (SYSTEM_GID_MAX).