Nejde přepnout na roota v příkazovém řádku

[Petr Tomeš]

Ze se root nedoporucuje ale neni zadna super vychytavka na bezpecnost, co si budeme povidat. Sudo slouzi k rozdeleni zcela konkretnich prav, treba aby honza mohl spoustet Firestarter, ale venca uz ne. Jak se pouziva tady je dokonce jeste o neco hazardnejsi nez on root a prihlasovani pres su, ktere tady mnozi tak zatracuji. Uvedomte si, ze normalne "sudu" davate sve vlastni heslo, tedy heslo usera. To se ovsem ziskat da mnohem snaze nez heslo roota, za predpokladu, ze root je aktivovan a ze ma jine heslo nez uzivatel, uz jen proto, ze pod timto uzivatelem a tedy i pod jeho heslem fungujete porad. Muze byt vyhoda, ze cokoliv psane se sudem se loguje, nicmene to se bud zcvoknete s neustaleho psani (a zapominani) slova "sudo" nebo date treba sudo bash...to se pak ale uz neloguje, takze to je taky o nicem.
Tak to jen tak na okraj. J

Souhlas! Ja take porad nechapu, proc se ucet roota na Ubuntu tak zatracuje. sudo passwd byl muj prvni prikaz na konzoli cerstveho panenskeho Ubuntu.

Koncepce sudo má mnoho podstatných výhod pro uživatele, mimo jiné právě bezpečnostní. Doporučuji vám prostudovat si: https://wiki.ubuntu.com/RootSudo#head-6cfb89699f99dbeee57c81c64945454d6ded2fac

[Jakub Šťastný]

Petre, s tou bezpecnosti je to blbost, nesmis taky verit vsemu, co se kde napise, vis? Jasne, sudo a bezpecnost patri neodmyslitelne k sobe, ale idea sudo neni %admin ALL=(ALL) ALL, ale kazdemu prava presne takova, jake nutne potrebuje. Zminil jsem nahore, proc z bezpecnostniho hlediska to neni zadna vyhra. Krom toho, kdyz koukam na ten odkaz, cos sem hodil - ze cracker zkousi nejdrive ucet roota - no tak samozrejme povolim prihlaseni roota jenom pres su - tedy aby bylo treba nejdriv se prihlasit na uzivatele ve skupine wheel (a to budu stejnak jen ja) a teprve z nej aby bylo mozno se prihlasit na roota. Tedy by nejprve musel prolomit me a teprve potom rooti heslo, a to uz se s timto neda srovnavat ani nahodou. Nerkuli, ze Ubuntu ma dneska kazdy, a tento trapny figl si obejde, nenech se vysmat, ne vsichni hackeri jsou padli na hlavu, naopak. O tech lozich jsem uz take mluvil, jak je sudo bash, tak to je taky posledni vec v tom logu a neminim se "usudovat". Krom toho - prihlasovani pres "su" je v unixech zcela bezne, je to standard, a ze unixy na tom jsou s bezpecnosti lepe nez vyborne. Zaverem - nesnasim ty tve odkazy na nejakou anglickou stranku. Bud tomu rozumim (!) a pak to vyjadrim vlastnimi slovy, staci v nekolika malo vetach nebo tomu nerozumim a mlcim.

[Petr Tomeš]

Ubuntu ma dneska kazdy... Krom toho - prihlasovani pres "su" je v unixech zcela bezne, je to standard, a ze unixy na tom jsou s bezpecnosti lepe nez vyborne.

Stačí se podívat, která z těch koncepcí byla jedním z důvodů úspěchu *Ubuntu. Kdo chce, tak si může účet roota zavést - je to otázka několika desítek sekund.

Zaverem - nesnasim ty tve odkazy na nejakou anglickou stranku. Bud tomu rozumim (!) a pak to vyjadrim vlastnimi slovy, staci v nekolika malo vetach nebo tomu nerozumim a mlcim.

Tu stránku pomohlo vytvářet během několika let mnoho lidí a uvedli na ní souhrn silných důvodů, proč je ta koncepce používána (včetně výhod oproti su), aby si náhodou někdo nemyslel, že to nemá smysl. V tuto chvíli bohužel nemám čas to překládat.

[Pitris]

Jednu dobu jsem delal admina na nekolika malo Win NT pocitacich (porod). To co ted napisu se da zevseobecnit i na Linux, protoze proti tomu neni 100% obrana. respektive v systemu. Jednalo se o ucebnu na vysoke skole.
Vsiml jsem si, ze prunik do systemu se deje nejcasteji
1) Sledovanim uzivatele o kterem predpokladam, ze ma vysoka prava (ucitel). Protoze pred zacatkem vyuky se musi nalogovat a vsichni na nej koukaji, behem 4-5 seminaru jsem zjistil, ze jeho heslo odpozorovali a jeho ucet suverenne pouzivali. Ja jsem system administroval vetsinou pri minimalnim provozu a to jsem jeste vsechny vyhnal, at mi nestoji za zady, kdyz pisu admin heslo. Nezlobte se na me, Petre, ale pokud dam takovemu uzivateli prava sudo, tak je to dira do systemu jako vrata do garaze.
2)Zajistit si ucet (at uz nelegalne nebo oficialne), byt jen s malymi pravy a snazit se pomoci sniferu pozorovat okoli. Nebo proste jen si stahnou z netu programy, ktere obchazeji zname bezpecnostni diry.

Nekteri uzivatele jsou takovi pitomci, ze dokonce posilaji sve heslo e-mailem (a pak jim dejte pravo sudo), je porad lepsi chranit system vice barierama (hesly) nez jednim a navic prustrenlym (kdo ma na uzivatelskem uztu nastaveno bezpecne heslo typu "kPlU3I$80-" ? Nikdo!). Ja nemam nic proti sudo, ale melo by se pouzivat s rozumem. Netvrdim Petre, ze Vas nazor je spatny, sve vyhody sudo bezesporu ma, ale mozna stoji za uvahu nechytat se kazde nove teze treba jen proto, ze je moderni. Ja povazuji sudo jen za jakysi vyborny doplnek. Napriklad firma, ktera se stara na kopirku s tiskarnou, podrebuje admin prava, ale jen na administraci tiskarny. Ale to neznamena ze jim dam heslo na roota. Na toto je sudo jako stvorene.
BTW. Debian je povazovan za Linuxovou spicku na serverech a prvni ucet, ktery vytvorite uz pri instalaci je root a druhy je Vas.

[Petr Tomeš]

Ale houby, ja jsem si to prelozil, vim, co se tam pise (sice se Stardictem, ale prelozil). Mne jen stve, ze se pletes do veci, kterym sam nerozumis, o to mi slo, kdyz jsi to nepochopil v jiz takhle dosti explicitnim vyjadreni, tak to ted musim napsat slovo po slovu.

Ale jistě, že tomu rozumím. Právě proto jsem poskytl ten odkaz, ze kterého sis mimochodem potřeboval doplnit info.

[GlidingFLY]

Co se týče "sudo" jednoznačně souhlasím s Petrem a zároveň s Kríglem. Považuji filosofii práce se systémem jak z pohledu správce tak i z pohledu uživatele za naprosto správnou. A pokud bych měl uvést příklad z jiného systému, tak například v zatím nejpropracovanějším systému, MacOSX, to je zařízeno úplně stejně. Ani jako správce tohoto systému si nepamatuji, kdy jsem naposledy potřeboval aktivovat roota. Netvrdím, že nikdy, ale pro běžnou správu vyhovuje standartní používání "sudo příkaz". Kluci, Botanicus a Pitris, já chápu, že jste do systéme ponořeni velmi hluboko, a že zkrátka z vašeho pohledu to nemusí sedět, ale nezapomeňte, že Ubuntu je systém pro všechny a sláva bohu, že tomu tak je, že zase nikdo nevymejšlí nějakou specialitku.
Je to skvělé distro a i z pohledu správy systémy, perfektně řešené pro širokou uživatelskou veřejnost. A o to hlavně jde.

[Ondřej Surý]

'su' nepředstavuje v žádném případě další bariéru. Ve chvíli, kdy je prolomený uživatelský účet, tak se s bezpečností rozlučte, pokud si při každém přihlášení nekontrolujete celý environment, cestu k binárkám a ostatní vychytávky.  Není nic snazšího než vám podstrčit do systému falešné su, které zaloguje zadané heslo a pak spustí pravé 'su'.  Ale já myslím, že tato diskuze je značně off-topic v tomto tématu.

Jinak jen tak mimochodem, já na svém účtu bezpečné heslo nastavené mám a pravidelně jej měním.

[Jakub Šťastný]

GlidingFLY: Ale vzdyt ja nerikam, ze je to spatne, jen jsem reagoval na to neustale opovrhovani pouzivani "su" a co to znamena z bezpecnostniho hlediska. A co se tyce MacOS, ten je prece delany aby byl user-friendly, coz je ale tu a tam na ukor
Ondrej Sury: nesouhlas. Jasne, utocnik zrejme nebude blb, ale porad tu ten rozdil je. Ostatne, co se utoku tyce, nejde o to udelat system nedostupny, protoze to nejde, a pokud teda bychom to udelali, tak by ten system pravdepodobne nebyl k rozumne praci. Jde ale o to nastrkat potencialnimu utocniku co nejvice prekazek, a to je tady. Treba uz jen to, ze utocnik bude muset cekat, az budu delat administraci. Kdyz si treba pres do sudoers dam programy jako mount/umount, ktere casto pouzivam, nebudu se muset na roota zas moc casto zahlasovat a to uz pak je hodne vyrazny rozdil. Krom toho si dam do .bashrc alias sudo mount na mount, a do sudoers to dan s NOPASSWD (jen pro mount), a pochopitelne zrusim dostupnost ALL. A hned to mam X-krat bezpecnejsi a zaroven bez nebezpeci, ze se "usuduju" k smrti. Ostatne jak rikam, vzpomenme, k cemu ma sudo slouzit...

[Krígl]

Roota bych radši neaktivoval, nejjednodušší je používat sudo před povely, které vyžadují roota.
Pokud to nestačí (těch případů moc není a ještě asi chvilku potrvá než na něco podobného narazíš) nebo se Ti nechce psát sudo šestkrát po sobě, stačí

Kód: [Vybrat]

sudo -sa dostaneš rootovský terminál. Odhlásíš se z něj příkazem

Kód: [Vybrat]

exitSudo si nějakou dobu pamatuje heslo, takže když s ním doděláš, je dobré ho zrušit -

Kód: [Vybrat]

sudo -K

[Ondřej Surý]

Ondrej Sury: nesouhlas. Jasne, utocnik zrejme nebude blb, ale porad tu ten rozdil je. Ostatne, co se utoku tyce, nejde o to udelat system nedostupny, protoze to nejde, a pokud teda bychom to udelali, tak by ten system pravdepodobne nebyl k rozumne praci. Jde ale o to nastrkat potencialnimu utocniku co nejvice prekazek, a to je tady. Treba uz jen to, ze utocnik bude muset cekat, az budu delat administraci. Kdyz si treba pres do sudoers dam programy jako mount/umount, ktere casto pouzivam, nebudu se muset na roota zas moc casto zahlasovat a to uz pak je hodne vyrazny rozdil. Krom toho si dam do .bashrc alias sudo mount na mount, a do sudoers to dan s NOPASSWD (jen pro mount), a pochopitelne zrusim dostupnost ALL. A hned to mam X-krat bezpecnejsi a zaroven bez nebezpeci, ze se "usuduju" k smrti. Ostatne jak rikam, vzpomenme, k cemu ma sudo slouzit...

Nereagoval jsem na to, že správně doladěné sudo je mnohem lepší než obecně nastavené sudo, ale tuto vaši zprávu:

Souhlas! Ja take porad nechapu, proc se ucet roota na Ubuntu tak zatracuje. sudo passwd byl muj prvni prikaz na konzoli cerstveho panenskeho Ubuntu.

Mezi 'su' a 'sudo' (tak jak je nastavené v Ubuntu) neexistuje z bezpečnostního hlediska žádný rozdíl. Co je výhodou sudo je to, že to podporuje minimalizovat čas strávený jako root.

[Jakub Šťastný]

Vsak ja vim, na co jsi reagoval, ja jen ukazuju, jak s prihlasovani pres "su" dosahnout vetsi bezpecnosti, ze na to pouzivam sudo (zpusobem, jak bylo autory zamysleno), je nepodstatne. Ja to vzdavam, ,vidim, ze to nema smysl, podal jsem, myslim, dost rozumne argumenty, ze tam ten rozdil je nebo snad ne? J

[Libor Šedivý]

Já prakticky nepoužívám sudo, ale jen su, kde se vyplní jednou heslo a už se to celé chová jako root dokud nezadáte exit. Já nevím, ale mě to dost vyhovuje . Někdy se ale šikne i sudo, ale zatím se mi to stalo minimálně. Mě nevadí čas strávený jako root.

[Pitris]

'su' nepředstavuje v žádném případě další bariéru. Ve chvíli, kdy je prolomený uživatelský účet, tak se s bezpečností rozlučte, pokud si při každém přihlášení nekontrolujete celý environment, cestu k binárkám a ostatní vychytávky.  Není nic snazšího než vám podstrčit do systému falešné su, které zaloguje zadané heslo a pak spustí pravé 'su'.  Ale já myslím, že tato diskuze je značně off-topic v tomto tématu.

Takhle to fungovat nemuze. Tedy v dobre zabezpecenem systemu. Jak chcete rootu "postrcit" su. Cesty mate nastaveny v profilu. Profil roota menit nemuzete (jako uzivatel). Z bezpecnostnich duvodu (prave pro podstrceni) se s tisicem vykricniku nedoporucuje mit v promenne $PATH tecku (aktualni adresar). Neni mi jasne to podstrceni. To by mohl nahakovat system kazdy uzivatel, co ma pristup do systemu.  Pokud ovsem nebudete prolamovat system Live Distrem Ubuntu na kompu, ke kteremu mate fyzicky pristup. Ale to jina kapitola.

Jinak jen tak mimochodem, já na svém účtu bezpečné heslo nastavené mám a pravidelně jej měním.

Tak to jedine chvalim.

BTW: Jako off-topic diskuze mi to neprijde. Navice se opravdu jen zastavam Botanicuse v tom, ze nechapeme proc su neni bezpecne. To mi opravdu nekdo vysvetlete.

[zutroy]

Proc ma byt 'sudo' pro beznejsi uzivatele, nez 'su'?? V cem je pochopitelnejsi (zvlast kdyz vsechna literatura mluvi o root uctu)?
Su je jednoduzsi nejen koncepci, ale je taky o 2 znaky kratsi. ;-)
A sudo v podani Ubuntu se mi zda opravdu nestastne. Na Ubuntu jsem s unixy prakticky zacinal a prvni, co jsem se naucil v terminalu bylo vytvoreni root uctu.
Taky bavit se o bezpecnosti na tehle urovni, to mluvime o serverech, nebo o desktopech v tak dratickym prostredi (skolni LAN?), ze by se bezpecnost stejne musela resit prekopanim systemu (neco jak psal botanicus).

[Ondřej Surý]

'su' nepředstavuje v žádném případě další bariéru. Ve chvíli, kdy je prolomený uživatelský účet, tak se s bezpečností rozlučte, pokud si při každém přihlášení nekontrolujete celý environment, cestu k binárkám a ostatní vychytávky.  Není nic snazšího než vám podstrčit do systému falešné su, které zaloguje zadané heslo a pak spustí pravé 'su'.  Ale já myslím, že tato diskuze je značně off-topic v tomto tématu.

Takhle to fungovat nemuze. Tedy v dobre zabezpecenem systemu. Jak chcete rootu "postrcit" su. Cesty mate nastaveny v profilu. Profil roota menit nemuzete (jako uzivatel).

Není zapotřebí nic podstrkovat rootovi, ale běžnému uživateli, který má práva na su/sudo, změníte mu profil, cestu, atp., a v tu chvíli už se spuštěním su/sudo můžete manipulovat. Bezpečnost uživatelského účtu, který má právo spouštět su/sudo je zapotřebí chránit stejně jako by to byl root sám.

Navice se opravdu jen zastavam Botanicuse v tom, ze nechapeme proc su neni bezpecne. To mi opravdu nekdo vysvetlete.

To tady nikdo netvrdí. Pouze tvrdím, že používání 'su' žádnou výhodu oproti 'sudo' nepřináší.

[Ondřej Surý]

Proc ma byt 'sudo' pro beznejsi uzivatele, nez 'su'?? V cem je pochopitelnejsi (zvlast kdyz vsechna literatura mluvi o root uctu)?

1. Protože máte jedno heslo.
2. Protože se normálně nemůžete přihlásit na roota a tudíž lze předejít Administrátorskému syndromu (tj. dělám všechno pod rootem).

A sudo v podani Ubuntu se mi zda opravdu nestastne. Na Ubuntu jsem s unixy prakticky zacinal a prvni, co jsem se naucil v terminalu bylo vytvoreni root uctu.

To je opravdu jenom otázka zvyku. Někomu vyhovuje více sudo, druhému více su. S linuxem dělám už od devadésáteho pátého šestého a sudo tak jak je nastavené v Ubuntu mi vyhovuje, ale možná je to tím, že jsem sudo používal vždy.

Taky bavit se o bezpecnosti na tehle urovni, to mluvime o serverech, nebo o desktopech v tak drastickym prostredi (skolni LAN?), ze by se bezpecnost stejne musela resit prekopanim systemu (neco jak psal botanicus).

Každé prostředí má své specifika. Jedna věc je můj hobby server, kde mám přihlašování rovnou na roota (jen klíčem) a druhá věc je například DNS server pro TLD doménu, kde je přihlašování přes další uživatelský účet (klíčem) a sudo (heslem).

V agresivním prostředí jako je škola by asi bylo vhodné použít centrální ověřování, častou změnu hesel, kontrolu stanice odkud se přihlašuje učitel, pravidelné zasílání logů loginů nebo např. one-time passwordy nebo omezením práv učitele tak, aby standardně neměl vyšší práva, ale musel se dopřihlásit pro provedení privilegované akce. Navíc stejně nejlépe zabírá rákoska :-), třeba ve formě kázeňského postihu pro studenty, kteří se do systému bourají, ona dvojka z chování je brzy vyvede z omylu, že je to kewl.

O.

[zutroy]

Hehe, rakoska! ROFL :-D
Takovi by zaslouzili spis jednicku z informatiky. Nas ucitel se priznal, ze se nekomu podarilo ziskat heslo do woken (nebo to byl Novel?). Kazdopadne ho to stalo flasku, protoze tvrdil ze nemaji sanci (podstrceny prihlasovaci okno je swine:).

K tem 2 heslum: je jednoduzsi na pochopeni, ze mam v systemu 2 uzivatele, nez ze s nejakym 'sudo' neco jde a bez nej ne.

Ale kazdemu, co jedo jest.. alespon ze se da snadno vytvorit root ucet.

[Pitris]

Není zapotřebí nic podstrkovat rootovi, ale běžnému uživateli, který má práva na su/sudo, změníte mu profil, cestu, atp., a v tu chvíli už se spuštěním su/sudo můžete manipulovat. Bezpečnost uživatelského účtu, který má právo spouštět su/sudo je zapotřebí chránit stejně jako by to byl root sám.

Prave proto jsem psal, ze v promenne $PATH nikdy menit tecku! Uzivatele se sudo a ti co znaji heslo na roota predevsim.

Jak to tak vidim, tak tak su vs. sudo asi bude never-ending story . Ja sudo obcas pouziji, nic proti nemu nemam. Ale zrovnatak, pokud zde na foru nekdo doporuci udelat si ucet uzivatele root, neni to spatne. Proste je to jen jiny pohledd.

[Ondřej Surý]

Není zapotřebí nic podstrkovat rootovi, ale běžnému uživateli, který má práva na su/sudo, změníte mu profil, cestu, atp., a v tu chvíli už se spuštěním su/sudo můžete manipulovat. Bezpečnost uživatelského účtu, který má právo spouštět su/sudo je zapotřebí chránit stejně jako by to byl root sám.

Prave proto jsem psal, ze v promenne $PATH nikdy menit tecku! Uzivatele se sudo a ti co znaji heslo na roota predevsim.

Ale v tom nejsme ve sporu. Tečka by v $PATH nikdy neměla být. Ale ve chvíli, kdy se vám někdo nabourá do účtu, tak vám tu tečku (nebo jinou cestu) do $PATH může přidat, tj. změnit nastavení systému, tak aby už nebyl "dobře" nastavený. Prostě uživatele, který má právo k su nebo sudo musíte střežit úplně stejně jako uživatele root.

Jak to tak vidim, tak tak su vs. sudo asi bude never-ending story . Ja sudo obcas pouziji, nic proti nemu nemam. Ale zrovnatak, pokud zde na foru nekdo doporuci udelat si ucet uzivatele root, neni to spatne. Proste je to jen jiny pohledd.

V tom také nejsme ve sporu. Možná jediné o co jde, že začátečníkům bych nechal standardní nastavení a to je sudo.

[vlako]

ono je aj celkom zaujimave ze ak si to nezmenis tak v safe mode ta bootne ako root a to je nebezpecne podla mna
je jasne ze na inych distrach to ide cez single mod ale z tohoto som bol dost v sokuze bootnem d=safe a hned root bez hesla

[Ondřej Surý]

ono je aj celkom zaujimave ze ak si to nezmenis tak v safe mode ta bootne ako root a to je nebezpecne podla mna
je jasne ze na inych distrach to ide cez single mod ale z tohoto som bol dost v sokuze bootnem d=safe a hned root bez hesla

Nevím, co myslíte tím safe módem, ale pokud se bavíme o volbě (recover mode), tak to je single user mode, viz. tenhle snippet z /boot/grub/menu.lst

Kód: [Vybrat]

title           Ubuntu, kernel 2.6.15-23-amd64-xeon (recovery mode)
root            (hd0,1)
kernel          /boot/vmlinuz-2.6.15-23-amd64-xeon root=/dev/sda2 ro single
initrd          /boot/initrd.img-2.6.15-23-amd64-xeon
bootVe chvíli, kdy je nechráněný přístup k počítači, tak nelze zajistit ochranu dat, jen se dá útok odsunovat...

Můžete mít např. grub chráněný heslem:

Kód: [Vybrat]

## password ['--md5'] passwd
# If used in the first section of a menu file, disable all interactive editing
# control (menu entry editor and command-line)  and entries protected by the
# command 'lock'
# e.g. password topsecret
#      password --md5 $1$gLhU0/$aW78kHK1QfV3P2b2znUoe/
# password topsecreta

Kód: [Vybrat]

## should update-grub lock alternative automagic boot options
## e.g. lockalternative=true
##      lockalternative=false
# lockalternative=falseAle to se dá jednoduše obejít libovolným systémem z CDčka.

Můžete mít chráněný přístup heslem do počítače, no tak vám útočník vyškubne disk a přečte si ho.

V podstatě jediná rozumná ochrana je mít šifrovaný disk a klíč k němu na nějakém externím médiu (USB klíčenka), kterou potřebujete kdykoli když počítač startuje.

Ale to už vůbec nesouvisí s debatou su vs. sudo.

Protože nakonec to celé stejně skončí na tom, že si zvolíte jako heslo 'heslo' :))))).

O.

[scippio]

Protože nakonec to celé stejně skončí na tom, že si zvolíte jako heslo 'heslo' :))))).

O.

Jaktože znaš moje root heslo?? :D

[Ondřej Surý]

Protože nakonec to celé stejně skončí na tom, že si zvolíte jako heslo 'heslo' :))))).

O.

Jaktože znaš moje root heslo?? :D

Statisticky :-))).