Как да стартирате програми като root от стартовия панел в Linux

Информатек Дигитал » Linux » Как да стартирате програми като root от стартовия панел в Linux

В Windows много хора са свикнали да натискат Shift+Enter или Shift+щракване с левия бутон на мишката, за да отворят програма с повишени привилегии от менюто „Старт“. В Linux това не винаги е лесно, защото сигурността разчита на root, sudo и графични помощници , а всяка работна среда има свои собствени инструменти. Въпреки това има сравнително прости начини за стартиране на приложения като root от стартер, пряк път или менюто с приложения, въпреки че е важно да се разбере какво означава това.

Ключът е, че root потребителят има абсолютен контрол над системата , а съвременните дистрибуции, особено Ubuntu и неговите производни, обикновено деактивират директното влизане. Следователно, не е обичайно да се влиза като root, а по-скоро от време на време да се повишават привилегиите, използвайки `sudo` или графична програма, която изисква парола. Ако искаме икона на стартера да стартира приложение с тези привилегии, ще трябва да променим командата, която изпълнява, или да създадем специален стартер.

Какво всъщност означава да стартираш нещо като root?

В Linux, root е акаунтът с UID 0 и неограничени привилегии . Той може да чете, променя или изтрива всеки файл, да инсталира софтуер, да променя конфигурациите на ядрото и да контролира процеси, принадлежащи на всеки потребител. Това го прави невероятно мощен инструмент, но също така и огромен риск, ако се използва небрежно. Една проста печатна грешка с `rm` или `mv` може да направи системата неизползваема, а злонамерен скрипт, изпълнен като root, може да инсталира задни врати, да променя мерките за сигурност или да краде данни практически без следа.

В Ubuntu, root акаунтът няма парола по подразбиране и директното влизане не е разрешено. Философията е, че работите с обикновения си потребителски акаунт и използвате `sudo` за специфични задачи . `sudo` по същество означава изпълнение на команда като друг потребител, обикновено root, след удостоверяване със собствената си парола, ако принадлежите към групата `sudo`. Това ограничава времето, през което сте изложени на риск, и запазва запис на това кой какво е направил.

Въпреки това, в много специфични ситуации, като например възстановяване на повредена система, работа в ограничена среда или конфигуриране на услуги, които изискват постоянен достъп, може да обмислите временно активиране на root достъпа. Общата препоръка е да го деактивирате отново веднага щом възникне необходимост. Колкото по-малко време прекарвате като root, толкова по-добре за стабилността и сигурността на машината.

Рискове от използването на root без предпазливост

Една от най-очевидните опасности е случайното изтриване на жизненоважни файлове . Като root потребител, няма ограничения за разрешения; команда като `sudo rm -rf /` може да изтрие системата без предупреждение. Обикновено няма и кошче за тези изтривания, така че възстановяването може да изисква сложни криминалистични инструменти или дори пълно преинсталиране на системата.

Друг риск е изпълнението на ненадеждни скриптове. Ако стартирате код, изтеглен от който и да е сайт с повишени привилегии, вие по същество му давате ключовете от дома си . Дори ако скриптът изглежда безобиден, той може да съдържа разрушителни инструкции или да инсталира зловреден софтуер с root привилегии. Затова е препоръчително да прегледате кода, да използвате официални източници, да проверите контролните суми и да го тествате във виртуална машина или контейнер, преди да го стартирате в производствена среда.

Съществува и проблем с проследимостта. Когато използвате `sudo`, системата регистрира командата, потребителя, който я е издал, и времето за `/var/log/auth.log`, `/var/log/secure` или `journalctl` . Ако влезете директно като root, всичко се показва като root и губите възможността да знаете кой човек е направил всяка промяна. В среди с множество администратори или ISO 27001, PCI DSS или други одиторски стандарти, тази липса на проследимост е значителна слабост.

Начини за получаване на привилегии от терминала

Най-разпространеният и препоръчителен начин е да се предшества конкретна команда от `sudo`. Например, за да актуализирате пакети, да рестартирате услуга или да редактирате защитен файл, `sudo` ще поиска вашата потребителска парола, а не паролата на root, и след като ви удостовери, ще изпълни командата с повишени привилегии. Ако трябва да я стартирате като друг потребител, можете да използвате `sudo -u username command` . И ако осъзнаете, че сте забравили да използвате `sudo`, можете да повторите последната команда с `sudo !! `.

Когато ще изпълнявате няколко административни задачи подред, може да е удобно да отворите временна root обвивка. `sudo -i` симулира пълно root влизане, зарежда root средата и ви поставя в началната директория. `sudo su` или `sudo su -` също работят, въпреки че `sudo -i` обикновено е по-надежден. За да излезете от тази сесия, просто напишете `exit`. Не е препоръчително да оставяте root обвивка отворена без надзор.

Командата `su`, от друга страна, превключва потребителите. `su - root` или просто `su -` също приема променливите на средата на целевия потребител, докато `su root` или `su` без тирето запазва част от предишната среда. Тази разлика обяснява грешки като `command not found`: административните команди обикновено се намират в `/usr/local/sbin`, `/usr/sbin` и `/sbin`, пътища, които не винаги се появяват в PATH на обикновен потребител. Ако използвате `su` без тирето, ще трябва да въведете пълния път или да превключите на `su -`, за да наследите root PATH.

Ако искате да активирате парола за root, можете да го направите с `sudo passwd root` . Ubuntu не препоръчва това, но технически позволява на root потребители да имат парола. За да заключите акаунта, използвайте `sudo passwd -l root` , а за да го отключите, използвайте `sudo passwd -u root`. В SSH, директният root достъп се контролира от `PermitRootLogin` в `/etc/ssh/sshd_config`. Най-безопасно е да го зададете на `no` или най-много `prohibit-password`, за да разрешите само SSH пароли. След това трябва да рестартирате SSH услугата.

Конфигурирайте пуловерите точно

Файлът `/etc/sudoers` определя кой може да използва `sudo` и с каква цел. Най-добре е да не го редактирате ръчно; правилният подход е да използвате `sudo visudo` , което заключва файла и проверява синтаксиса преди запазване. Основното правило е във вида `host user=(target_user)`. Например, `bob ALL=(ALL) ALL` позволява на `bob` да изпълнява всяка команда като root на всяка машина. Могат да се използват и групи, като например `%admin ALL=(ALL) ALL`.

За предоставяне на по-фини разрешения се използват псевдоними. `User_Alias ​​​​ADMINS = alice, bob` групира потребителите, а `Cmnd_Alias ​​​​LOCATE = /usr/sbin/updateddb` групира командите. След това се използва `ADMINS ALL = LOCATE`, така че тези потребители да могат да изпълняват само тези команди. Псевдоними като `NETWORKING` могат да бъдат създадени за команди като `route`, `ifconfig`, `ping`, `iptables` и др. Това прилага принципа на най-малките привилегии, без да се предоставя пълен root достъп на никого.

Опцията NOPASSWD ви позволява да изпълнявате определени команди без парола, например `pi ALL=(ALL)`. NOPASSWD: ALL. Това е удобно, но опасно, ако се злоупотреби. Освен това, всяко използване на `sudo` се регистрира, което помага за одит на достъпа и отстраняване на проблеми. Ако нещо се повреди, прегледът на тези регистрационни файлове може да покаже коя скорошна промяна е причинила неуспеха.

Стартиране на графични приложения като root от стартовия панел

За програми с графичен интерфейс, простото използване на `sudo` обикновено не работи добре, защото няма терминал, който да поиска парола. Тук се намесват графичните помощници . В KDE има `kdesu` : ако знаете коя команда стартира приложението, можете да изпълните `kdesu that_command`. Опцията `Run Command` в менюто на KDE също ви позволява да стартирате приложение като друг потребител, като въведете неговите идентификационни данни. В среди на GNOME и GTK , `gksu` и `gksudo` бяха широко използвани ; това са интерфейси за `sudo` или `su`. Например, `gksu synaptic` или `gksudo gparted` отварят приложението и искат парола.

В съвременните системи gksu е или нежелан, или остарял. Обичайната му алтернатива е pkexec , базиран на PolicyKit, който позволява на програмите да се изпълняват с привилегии съгласно дефинираните правила. Много съвременни стартери използват pkexec за административни задачи. Идеята е същата: потребителят не е нужно да отваря терминал, но системата валидира оторизацията по контролиран начин.

За да създадете пряк път в стартера, редактирате .desktop файл . Редът `Exec` е ключът. Ако искате да се стартира като root, можете да използвате нещо като `Exec=gksu /path/to/program`, `Exec=kdesu /path/to/program` или `Exec=pkexec /path/to/program`. Ако използвате директно `sudo`, ще ви е необходимо стартерът да има `Terminal=true` или да конфигурирате графичен askpass. Можете също да опитате да натиснете Alt+F2 и да въведете помощната команда и името на програмата, например `gksu synaptic`. В KDE, `kdesu synaptic` или опцията за стартиране като друг потребител изпълнява подобна функция.

Съществува класическа алтернатива, наречена consolehelper , обвивка за GUI приложения. Създавате символна връзка, например /usr/bin/xterm-root, сочеща към /usr/sbin/consolehelper. След това конфигурирате PAM, като създавате /etc/pam.d/xterm-root с включванията auth, account и session от config-util. След това дефинирате /etc/security/console.apps/xterm-root с USER=root и PROGRAM=/usr/bin/xterm. Когато стартирате xterm-root, consolehelper пита за PAM удостоверяване и стартира xterm като root. Ако срещнете грешка „Xlib connection to :0.0 refused by server“ (Xlib връзка към :0.0 е отказана от сървъра), изпълнението на xhost local:root може да помогне.

Във всеки случай, отварянето на графични приложения като root има недостатъци: смесва променливи на средата, може да прекъсне сесийната шина, да повлияе на Wayland или X11 и да създаде файлове, собственост на root, във вашата домашна директория. Най-добре е да го използвате само за специфични административни инструменти и да ги затваряте веднага щом приключите. Не сърфирайте в интернет и не отваряйте подозрителни документи като root , защото всеки експлойт би наследил пълни привилегии.

Често срещани примери за задачи, които изискват root достъп

Много ежедневни операции изискват повишени привилегии. Управлението на пакети с apt, zypper, dnf или yum често изисква sudo. Например, `sudo apt update` , `sudo apt install firefox` или `sudo zypper install docker-ce`. Същото важи и за системните услуги: `sudo systemctl restart apache2`, `sudo systemctl restart ssh` или `sudo systemctl restart nginx`. За да промените потребителски акаунти, използвайте `sudo usermod`, а за да промените собствеността на файла, използвайте `sudo chown`. Редактирането на критични конфигурации, като `/etc/ssh/sshd_config`, също изисква root права, ако се извършва с nano, vim или gedit.

Не е необходимо да използвате `sudo` за команди, които само четат информация или не променят системата, като например `zypper repos` или `systemctl status NetworkManager`. Използването на `sudo` за всичко по навик е лоша практика. Разумното нещо е да повишавате привилегиите само когато задачата го изисква и след това да превключвате обратно към нормален потребител възможно най-скоро.

Най-добри практики при работа с повишени привилегии

Принципът на най-малките привилегии трябва да ръководи всичко. Използвайте `sudo` за отделни команди, когато е възможно, избягвайте постоянни root shell-ове, освен ако не е абсолютно необходимо, и излезте веднага щом приключите. Не стартирайте скриптове от неизвестни източници като root; прегледайте кода предварително, изтеглете го от официални хранилища или реномирани проекти, проверете контролните суми и тествайте в изолирана среда, ако имате някакви съмнения. Здравословната доза скептицизъм е добродетел, когато работите с код на трети страни, който има пълни привилегии.

Препоръчително е също така да конфигурирате sudo-ърите гранулирано, без да разчитате единствено на групата sudo за всичко, и да поддържате одитирани лог файлове. Ако администрирате сървъри, проверете `/var/log/auth.log`, `/var/log/secure` или `journalctl -xe`, за да откриете злоупотреба. В многопотребителски среди, знанието кой е изпълнил всяка команда е ключово за отчетност и спазване на разпоредбите за сигурност.

Активиране и деактивиране на root с head

Ако решите да активирате root достъп, задайте парола с `sudo passwd root`, използвайте я само за важни задачи и след това заключете отново акаунта. За да деактивирате директното SSH влизане, редактирайте `sshd_config` и задайте `PermitRootLogin no` или `prohibit-password`, след което рестартирайте SSH. За да заключите акаунта локално, използвайте `sudo passwd -l root`. За да го отключите, използвайте `sudo passwd -u root`. Тези мерки намаляват повърхността за атака и предотвратяват атаки с груба сила срещу най-мощния акаунт.

В повечето случаи практическият отговор на първоначалния въпрос е „да“: можете да стартирате програма от стартовата програма с root права, използвайки графичен помощник като kdesu, gksu, gksudo или pkexec, или като създадете .desktop файл със съответната команда. Това обаче не е нещо, което трябва да оставяте настроено за всяко приложение. По-добре е да имате специфични административни стартови програми с ясни имена и да ги използвате само когато е необходимо.

Ключовият извод е, че root правата не са играчка, а sudo съществува именно за да ви дава възможности, без да превръща всяко кликване в постоянен риск. Ако трябва да стартирате графично приложение като суперпотребител, приоритизирайте помощните програми, които изискват парола, проверете дали приложението наистина се нуждае от нея и ограничете използването ѝ до административни задачи. По този начин ще се насладите на удобството на стартера, без да жертвате сигурността, която прави Linux толкова силен.