Root a Linux: què és, per a què serveix i com utilitzar-lo amb seguretat

Informatec Digital » Recursos » Root a Linux: què és, per a què serveix i com utilitzar-lo amb seguretat

Si veniu de Windows (consulteu comptes d'usuari a Windows ) i aterreu a Linux, el famós usuari root pot sonar a xinès, però en realitat és la peça clau que separa un sistema estable i segur d'un autèntic desastre. Root és el “cap absolut” del sistema, el que pot instal·lar, esborrar, trencar i arreglar pràcticament qualsevol cosa sense demanar permís.

Entendre bé per a què serveix root a Linux, com es relaciona amb sudo i el seu, i quins són els seus riscos és imprescindible per administrar el teu equip, ja sigui un portàtil domèstic o un servidor en producció . En aquest article veuràs, amb força detall i en un llenguatge proper, què és root, com es fa servir en diferents distribucions (especialment a Ubuntu), quins perills té i quines bones pràctiques convé seguir per no deixar la teva màquina inservible.

Què és l'usuari root a Linux i què ho fa especial

En qualsevol sistema GNU/Linux hi ha un usuari amb privilegis totals anomenat root, també conegut com a superusuari . Aquest usuari té l'UID 0 i no està sotmès a les restriccions habituals de permisos de fitxers i processos: pot llegir, modificar o eliminar qualsevol fitxer, instal·lar o desinstal·lar programari, canviar la configuració del sistema, gestionar altres usuaris i tocar serveis crítics.

Si ho compares amb Windows, root seria l'equivalent a l'Administrador, però amb encara més poder, perquè a Linux el model de permisos està més afinat i la separació entre usuaris i serveis és molt més estricta. Mentre un usuari normal està limitat en allò que pot fer en rutes com /etc, /usr, /var o /boot, root entra a tot arreu sense demanar permís.

A més dels usuaris normals i de root, Linux defineix “usuaris del sistema” o comptes de servei (daemons) amb permisos molt reduïts que s'utilitzen per executar servidors web, bases de dades o altres dimonis. Això permet que, encara que un servei sigui compromès, l'atacant no tingui automàticament accés total a l'equip… tret que aconsegueixi elevar privilegis a root.

Per defecte, un usuari estàndard no pot instal·lar programes del sistema, modificar fitxers de configuració globals ni crear directoris en zones sensibles. Per fer qualsevol d'aquestes tasques necessitareu elevar privilegis usant eines com sudo o su, que són precisament els mecanismes habituals per “invocar” el superusuari de forma controlada.

En moltes distribucions modernes, especialment a Ubuntu i derivades, l'inici de sessió directe com a root ve deshabilitat. En lloc d'això, durant la instal·lació es crea un usuari normal que pertany al grup d'administradors (per exemple, sudo o admin) i s'usa l'ordre sudo per executar accions administratives demanant la vostra pròpia contrasenya, no la de root.

Diferència entre usuaris normals, root i el grup sudo

Linux implementa un sistema de permisos basat en usuaris i grups . A grans trets, podem distingir tres grans tipus de comptes que et trobaràs en el dia a dia en parlar de root:

Usuaris normals: són els comptes de les persones que usen el sistema. Tenen un casa propi, poden instal·lar programes al vostre directori, executar aplicacions d'escriptori, desar documents, etc. No obstant això, no poden realitzar tasques administratives de sistema com instal·lar paquets globals, modificar configuracions a /etc o gestionar altres usuaris, llevat que usin sudo o su.

Usuari root : és el superusuari amb control absolut. No està subjecte a restriccions de permisos excepte les que imposi el mateix nucli o mecanismes de seguretat avançats . Podeu, literalment, “fer i desfer al vostre gust”, des d'esborrar el directori arrel fins a canviar permisos de qualsevol fitxer. Precisament per això es desaconsella fer-lo servir per a tasques quotidianes.

Usuaris administradors (sudoers): són usuaris normals que pertanyen a un grup especial (habitualment sudo o admin) I tenen permís per executar ordres com a root usant sudo. Per exemple, per afegir un usuari al grup sudo pots fer servir alguna cosa així com:
sudo usermod -aG sudo nombreusuario

Quan un usuari forma part del grup sudo, pot executar ordres privilegiades anteposant sudo. El sistema us demanarà la vostra contrasenya (no la de root), i si és correcta executarà l'ordre amb privilegis de superusuari. Això dóna un bon equilibri entre seguretat i comoditat.

Què és root a la pràctica i per què s'utilitza

Més enllà de la teoria, l'usuari root és la identitat que el sistema utilitza per fer qualsevol canvi profund . Tu pots seguir treballant sempre amb el teu usuari normal i recórrer a root només quan calgui. Vegem alguns dels usos principals.

Instal·lar o desinstal·lar programari del sistema. Els gestors de paquets (com apt, dnf o pacman) necessiten escriure en rutes protegides, per la qual cosa sempre s'executen amb permisos de root. Un exemple típic seria:
sudo apt install vlc

Edita fitxers de configuració del sistema. La majoria de serveis i programes de sistema es configuren a través de fitxers de text en directoris com /etc. Per obrir-los amb un editor i poder desar-los necessites privilegis elevats. Per exemple:
sudo nano /etc/hosts

Canviar la contrasenya de root o altres usuaris. Operacions com ara modificar la clau del propi superusuari, o la d'un altre compte, impliquen tocar la base de dades de contrasenyes del sistema. Una ordre típica seria:
sudo passwd root

Executar ordres potencialment perilloses. Eines com rm (esborrar), chmod (canviar permisos), chown (canviar propietari) o mkfs (formatar) poden fer molt de mal si es fan servir malament. El sistema exigeix ​​permisos de root per a operacions que afectin fitxers o dispositius crítics per evitar que un usuari normal destrueixi el sistema per error.

Gestionar l'arrencada, apagat i reinici de la màquina. Comandes com reboot, poweroff o el maneig avançat de systemctl sobre serveis del sistema també requereixen privilegis de superusuari. Per a més informació sobre systemd i la seva gestió de serveis pots consultar la documentació especialitzada. En cas contrari, qualsevol usuari podria reiniciar un servidor en producció quan li vingués de gust.

A la pràctica, si alguna cosa et falla amb un error de “permís denegat” a Linux, és força probable que necessitis executar-ho amb permisos de root usant sudo o canviant temporalment el superusuari amb su.

Comandes sudo i la seva: quan utilitzar cadascun

Un cop tens clar que root és el “amo” del sistema, toca entendre com aconseguir aquests privilegis des del teu usuari normal. Les dues eines clàssiques per això són sudo y su, que no fan exactament el mateix encara que molta gent les barregi.

sudo (“superuser do”) serveix per executar una única ordre amb permisos d'un altre usuari, normalment root. No canvies de sessió, no et converteixes en root “per a tot”; només aquesta ordre concreta s'executa amb privilegis elevats. Per exemple:
sudo apt install gparted

Cada vegada que facis servir sudo el sistema us demanarà la vostra contrasenya (si no l'heu introduïda recentment). Després d'uns minuts d'inactivitat, el tiquet de sudo caduca i hauràs de tornar a autenticar-se, fet que afegeix una capa de seguretat important.

su (“switch user”) canvia la teva identitat d'usuari dins la mateixa sessió. Si el fas servir sense arguments, passaràs a ser root (et demanarà la contrasenya de root) i totes les ordres posteriors s'executaran amb aquests privilegis fins que surtis amb exit. Per exemple:
su
Contraseña:
whoami # devuelve 'root'

També pots fer servir su nombreusuario per passar d'un usuari a un altre, sempre que conegueu la contrasenya del compte de destinació. Perquè l'entorn canviï completament el del nou usuari (variables, casa, etc.) es recomana fer servir su - o su - nombreusuario.

En general, es considera més segur i recomanable fer servir sudo per a comandes puntuals i recórrer a su només quan de debò necessitis una sessió de root perllongada (per exemple, en tasques de recuperació o manteniment complex).

Particularitats de root a Ubuntu i distribucions derivades

Ubuntu i moltes distros basades en ella segueixen una filosofia de seguretat força clara: l'usuari root existeix, però ve bloquejat per a l'inici de sessió directe . Això significa que després d'una instal·lació estàndard no podeu iniciar sessió com a root ni a la terminal ni a l'entorn gràfic usant una contrasenya, perquè no teniu cap assignada.

En lloc d'això, Ubuntu aposta per l'ús intensiu de sudo. Durant el procés d'instal·lació es crea un usuari administrador que pertany al grup sudo, ia partir d'aquí qualsevol tasca administrativa es fa amb:
sudo comando

Si necessites una shell de root “completa” a Ubuntu, tens diverses opcions segures:
sudo -i # obre una sessió de login de root
sudo su - # canvia a root amb entorn de login

Tots dos mètodes et deixen com a root en aquesta terminal fins que surtis amb exit. Veuràs que el prompt sol canviar i acaba a # en lloc de $, senyal clàssic que estàs com a superusuari. És important no perdre de vista aquest detall per no executar ordres perilloses on no toca.

Tot i que no és recomanable, podeu habilitar l'usuari root a Ubuntu assignant-li una contrasenya amb:
sudo passwd root
Després d'introduir i confirmar la nova contrasenya, root quedarà “desbloquejat” i serà possible, per exemple, fer servir su sense suo previ o fins i tot permetre inici de sessió directe a TTY o per SSH (cosa molt desaconsellable en servidors exposats).

Riscos reals d'usar root sense cura

Treballar com a root sense saber exactament el que estàs fent és com conduir un camió en marxa enrere per una autopista: pot sortir bé, però com que et despistis un segon la embolicada és èpica . Linux està dissenyat per ser força segur per defecte, però així que eleves privilegis desapareixen moltes proteccions.

El primer gran risc és esborrar o corrompre el sistema de fitxers per accident. Comandes com:
rm -rf /
rm -rf /*
o fins i tot construccions més subtils com:
rm -rf "$directorio"/*
poden destrossar tot el sistema en qüestió de segons si s'executen com a root i la ruta no és la que creus. De vegades n'hi ha prou amb una variable buida, una barra mal posada o un tabulador fora de lloc perquè una ordre aparentment innocent sigui catastròfica.

El segon gran perill és instal·lar programari maliciós amb privilegis totals . Descarregar i executar scripts d'Internet com a root sense mirar el codi és donar la clau de casa teva a un desconegut. Un script maliciós pot instal·lar rootkits , keyloggers o portes del darrere, modificar el nucli, espiar tot el que fas i mantenir-se ocult durant molt de temps.

També és relativament fàcil trencar la seguretat del sistema tocant permisos darxius crítics. Per exemple, si executes alguna cosa com:
chmod 000 /etc -R
o canvies els permisos de /boot o de /etc/passwd sense saber què fas, podeu deixar la màquina inarrencable o fer impossible l'autenticació d'usuaris. En molts casos, l'única solució passa per recórrer a un LiveCD o fins i tot reinstal·lar.

Des del punt de vista de seguretat, operar sempre com a root converteix aquest compte en un “punt únic de fallada” . Si un atacant aconsegueix accés a root (per força bruta, phishing, malware, etc.), té comandament total: pot xifrar discos, robar dades, unir-te a una botnet o fer servir el teu servidor per atacar tercers. Per mitigar riscos us interessa aprofundir en tècniques de hardening amb SELinux i altres mecanismes de protecció.

A més, l'ús intensiu de root dificulta la traçabilitat. Quan s'executen ordres amb sudo, el sistema registra qui els ha llançat i quan, mentre que si tot es fa com a root no queda clar quina persona està darrere de cada acció, cosa que complica auditories i diagnòstics de problemes.

Mostrar asteriscs en escriure la contrasenya de sudo

Per defecte, quan introdueixes la contrasenya de sudo en moltes distribucions (com Ubuntu) no veus ni punts ni asteriscs . Això es va pensar com a mesura de seguretat perquè ningú pugui deduir la longitud de la teva clau només mirant la pantalla, però a la pràctica resulta força incòmode: tecleges i sembla que no passa res.

Des de fa temps, sudo permet activar un comportament anomenat pwfeedback, que mostra un asterisc per cada caràcter que escrius. No revela la contrasenya, però et confirma que el teclat respon i t'ajuda a detectar errors de pulsació.

Per activar-lo, cal editar la configuració de sudo amb l'eina segura visudo, que valida la sintaxi abans de guardar per evitar que et quedis sense sudo per una fallada ximple. Els passos serien:

1. Obrir la configuració de sudo:
sudo visudo

2. Afegeix la línia:
Defaults pwfeedback

3. Desar i sortir de l'editor

A partir d'aquell moment, cada cop que introduïu la contrasenya de sudo apareixeran asteriscs. Si en algun moment vols tornar al comportament original, només cal eliminar aquesta línia usant de nou visudo.

Desactivar o bloquejar el compte root

En entorns on diverses persones tenen accés al mateix ordinador, la contrasenya de root pot acabar rodant més del compte . Si massa gent coneix aquesta clau, és qüestió de temps que algú faci (o pateixi) un desastre. Una solució molt raonable és desactivar el compte root i treballar només amb sudo.

Quan bloqueges el compte root, impedeixes iniciar sessió directament com aquest usuari i també evites que es faci servir su per passar a root amb la contrasenya. Això sí, els usuaris autoritzats continuaran podent utilitzar sudo per executar ordres privilegiades.

Per bloquejar el compte root en moltes distrostres només cal executar:
sudo passwd -l root

Aquesta ordre “congela” la contrasenya de root perquè no es pugui utilitzar. Si més endavant necessites reactivar-la, hauràs d'establir una contrasenya nova amb alguna cosa com:
sudo passwd root

Recuperar o canviar la contrasenya de root si l'has perdut

Si heu oblidat la contrasenya de root o heu bloquejat el compte i necessiteu recuperar-lo, no tot està perdut . Linux ofereix diverses vies per restablir-la, normalment arrencant el sistema en una manera especial o usant un LiveCD.

Una opció molt habitual és fer-ho des del GRUB, usant el mode de recuperació . A moltes distribucions tens una entrada tipus “Advanced options” on pots triar un “Recovery mode”. En seleccionar-lo, es carrega un entorn limitat amb opcions de rescat.

Si escolliu l'opció d'obtenir una consola de root en mode recuperació , el flux estàndard sol ser:

1. Muntar el sistema de fitxers amb permisos d'escriptura:
mount -o rw,remount /

2. Establir una contrasenya nova per a root:
passwd root

3. Sincronitzar dades i reiniciar per aplicar els canvis:
sync
reboot

L'altra gran via és arrencar amb un LiveCD o LiveUSB d'una distribució Linux (per exemple, Ubuntu en mode “Provar sense instal·lar”) i treballar sobre el sistema instal·lat des de fora.

En un escenari típic amb LiveCD, els passos serien :

1. Obrir una terminal i obtenir una shell de root temporal:
sudo su

2. Identificar la partició que conté el teu sistema Linux amb alguna mena:
fdisk -l

3. Muntar aquesta partició en un directori de treball (exemple usant /dev/sda1):
mkdir /mnt/recover
mount /dev/sda1 /mnt/recover

4. Canviar l'arrel del sistema al directori muntat amb chroot:
chroot /mnt/recover

5. Des d'aquí, fer servir passwd root per definir una nova contrasenya i, després de sortir i reiniciar, podreu tornar a accedir amb normalitat.

El fitxer /etc/sudoers i com afinar els permisos de root

Un dels punts més potents (i delicats) de la gestió de root és el fitxer /etc/sudoers, on es defineix qui pot utilitzar sudo, des d'on i per executar quines ordres. Aquí és on podeu personalitzar al detall l'accés a privilegis elevats.

Molt important: mai edites /etc/sudoers directament amb un editor qualsevol. Fes servir sempre:
sudo visudo
perquè aquesta eina comprova la sintaxi abans de desar. Un error en aquest fitxer pot deixar-te sense possibilitat d'usar sudo, i amb visudo minimitzes aquest risc.

El contingut típic de /etc/sudoers en un Ubuntu net inclou línies similars a:
root ALL=(ALL:ALL) ALL
%sudo ALL=(ALL:ALL) ALL

La primera indica que l'usuari root pot executar qualsevol ordre a qualsevol host com qualsevol usuari i grup. La segona fa el mateix però per a tots els usuaris del grup sudo. Així, qualsevol en aquest grup té poder total via sudo.

Per a configuracions més avançades, sudoers permet definir àlies d'usuaris, ordres i grups d'execució , per exemple:

User_Alias ADMINES = pepe, perico, andres
Cmnd_Alias POWER = /sbin/shutdown, /sbin/halt, /sbin/reboot, /sbin/restart
Runas_Alias WEB = www-data, apache

Amb aquestes definicions podries, per exemple, donar a ADMINES permís per apagar o reiniciar el sistema sense contrasenya amb una regla com:
ADMINES ALL = NOPASSWD: POWER

Les etiquetes com NOPASSWD permeten executar certes ordres amb sudo sense haver d'escriure la contrasenya, cosa molt útil en scripts automatitzats, integracions amb altres sistemes o equips personals on ets l'únic usuari.

Com a curiositat, hi ha una opció anomenada insults que, si l'afegeixes a les línies Defaults, fa que sudo t'insulti en anglès cada vegada que t'equivoques de contrasenya. No millora la seguretat, però almenys et treu un somriure al mig de la feina.

Ús de root per gestionar fitxers i permisos des de la terminal

A la pràctica, gran part de l'ús de root es concentra en la gestió d'arxius i permisos mitjançant la terminal . Amb privilegis de superusuari pots moure't per tot el sistema de fitxers i modificar allò que necessitis, sempre extremant les precaucions.

Alguns comandaments bàsics que es tornen especialment delicats com a root són:

ls: llista arxius i directoris. Com a root veureu fins i tot fitxers que altres usuaris no poden llistar.

cp y mv: copiar i moure fitxers o directoris. Amb sudo pots, per exemple, moure una font tipogràfica des de Descargas fins /usr/share/fonts/ perquè estigui disponible per a tot el sistema.

rm: elimina fitxers i carpetes. En combinació amb -r y -f és extremadament perillós si el fas servir com a root sense revisar bé la ruta.

chmod y chown: canvien permisos i propietaris. Són essencials per deixar accessibles fitxers a determinats usuaris, però mal usats poden deixar el sistema insegur o inservible.

Un exemple típic d'ús de root per instal·lar una font del sistema seria :

sudo cp ~/Descargas/Underdog.ttf /usr/share/fonts/
sudo chmod 644 /usr/share/fonts/Underdog.ttf

la manera 644 indica que el propietari (root) pot llegir i escriure, mentre que el grup i la resta d'usuaris només poden llegir, suficient perquè la font funcioni però sense permetre canvis accidentals.

Bones pràctiques en treballar amb root, sudo i la seva

Operar amb privilegis de superusuari no és una cosa que s'hagi de fer a la lleugera . Hi ha una sèrie de pautes que, si les interioritzes, t'estalviaran molts ensurts:

Minimitza el temps que passes com a root. EUA sudo comando sempre que pugueu, en lloc d'obrir una sessió de root persistent. Com menys temps estiguis amb tots els permisos, menys probabilitats hi ha que fiquis la pota.

Evita sigui com sigui executar scripts de fonts dubtoses amb sudo . Si descarregues un script d'Internet i el primer que veus és “executa això amb sudo”, obre'l amb un editor i llegeix-lo de dalt a baix. Si no entens què fa, no ho executis.

Utilitza entorns de proves (màquines virtuals, contenidors) per experimentar . Si toques configuracions delicades, provar ordres agressives o scripts poc clars, fes-ho primer en un sistema que puguis trencar sense por. Pots trobar guies sobre virtualització segura en màquines virtuals i contenidors.

Configura sudo de forma granular quan hi hagi diversos administradors. No és el mateix un usuari que només cal reiniciar un servei que algú que ha de tenir control total. Usa /etc/sudoers per limitar què pot fer cadascú.

Supervisa els registres d'autenticació (/var/log/auth.log o journalctl) per veure qui està usant suo, des d'on i amb quines ordres. És una manera senzilla de detectar comportaments estranys o abusos de privilegis.

No navegueu per Internet, no obriu adjunts ni executeu aplicacions d'escriptori com a root . Si una aplicació gràfica es veu compromesa mentre l'executes com a superusuari, l'atacant s'emporta el premi gros.

En definitiva, root a Linux és una eina potentíssima que cal tractar amb cura . Entendre bé per a què serveix, quan utilitzar sudo o la seva, com recuperar o bloquejar el compte i com ajustar sudoers et permetrà administrar el teu sistema amb seguretat i confiança, aprofitant tota la flexibilitat de GNU/Linux sense jugar-te el tipus cada vegada que obris la terminal.