Πώς να εκτελείτε προγράμματα ως root από το πρόγραμμα εκκίνησης στο Linux

Informatec Digital » Linux » Πώς να εκτελείτε προγράμματα ως root από το πρόγραμμα εκκίνησης στο Linux

Στα Windows, πολλοί άνθρωποι έχουν συνηθίσει να πατούν Shift+Enter ή Shift+αριστερό κλικ για να ανοίξουν ένα πρόγραμμα με αυξημένα δικαιώματα από το μενού Έναρξη. Στο Linux, αυτό δεν είναι πάντα απλό, επειδή η ασφάλεια βασίζεται σε root, sudo και γραφικά βοηθήματα , και κάθε περιβάλλον επιφάνειας εργασίας έχει τα δικά του εργαλεία. Παρόλα αυτά, υπάρχουν αρκετά απλοί τρόποι για να εκκινήσετε εφαρμογές ως root από ένα πρόγραμμα εκκίνησης, μια συντόμευση ή το μενού εφαρμογών, αν και είναι σημαντικό να κατανοήσετε τι συνεπάγεται αυτό.

Το κλειδί είναι ότι ο χρήστης root έχει τον απόλυτο έλεγχο του συστήματος και οι σύγχρονες διανομές, ειδικά το Ubuntu και τα παράγωγά του, συνήθως απενεργοποιούν την άμεση σύνδεση. Επομένως, δεν είναι συνηθισμένο να συνδέεστε ως root, αλλά μάλλον να αυξάνετε περιστασιακά τα δικαιώματα χρησιμοποιώντας το `sudo` ή ένα γραφικό πρόγραμμα που ζητά τον κωδικό πρόσβασης. Εάν θέλουμε ένα εικονίδιο εκκίνησης για να εκκινήσουμε μια εφαρμογή με αυτά τα δικαιώματα, θα πρέπει να τροποποιήσουμε την εντολή που εκτελεί ή να δημιουργήσουμε ένα συγκεκριμένο πρόγραμμα εκκίνησης.

Τι σημαίνει πραγματικά να εκτελείς κάτι ως root;

Στο Linux, ο root είναι ο λογαριασμός με UID 0 και απεριόριστα δικαιώματα . Μπορεί να διαβάσει, να τροποποιήσει ή να διαγράψει οποιοδήποτε αρχείο, να εγκαταστήσει λογισμικό, να αλλάξει τις ρυθμίσεις του πυρήνα και να ελέγξει τις διαδικασίες που ανήκουν σε οποιονδήποτε χρήστη. Αυτό το καθιστά ένα απίστευτα ισχυρό εργαλείο, αλλά και ένα τεράστιο ρίσκο εάν χρησιμοποιηθεί απρόσεκτα. Ένα απλό τυπογραφικό λάθος με `rm` ή `mv` μπορεί να καταστήσει το σύστημα άχρηστο και ένα κακόβουλο σενάριο που εκτελείται ως root μπορεί να εγκαταστήσει backdoors, να τροποποιήσει μέτρα ασφαλείας ή να κλέψει δεδομένα σχεδόν χωρίς ίχνος.

Στο Ubuntu, ο λογαριασμός root δεν έχει προεπιλεγμένο κωδικό πρόσβασης και η άμεση σύνδεση δεν επιτρέπεται. Η φιλοσοφία είναι ότι εργάζεστε με τον κανονικό λογαριασμό χρήστη σας και χρησιμοποιείτε το `sudo` για συγκεκριμένες εργασίες . Το `sudo` ουσιαστικά σημαίνει την εκτέλεση μιας εντολής ως άλλος χρήστης, συνήθως root, μετά από έλεγχο ταυτότητας με τον δικό σας κωδικό πρόσβασης, εάν ανήκετε στην ομάδα `sudo`. Αυτό περιορίζει το χρονικό διάστημα που είστε εκτεθειμένοι και διατηρεί ένα αρχείο για το ποιος έκανε τι.

Ωστόσο, σε πολύ συγκεκριμένες περιπτώσεις, όπως η ανάκτηση ενός κατεστραμμένου συστήματος, η εργασία σε περιορισμένα περιβάλλοντα ή η ρύθμιση παραμέτρων υπηρεσιών που απαιτούν μόνιμη πρόσβαση, μπορείτε να εξετάσετε το ενδεχόμενο να ενεργοποιήσετε προσωρινά το root. Η γενική σύσταση είναι να το απενεργοποιήσετε ξανά μόλις προκύψει η ανάγκη. Όσο λιγότερο χρόνο αφιερώνετε ως root, τόσο το καλύτερο για τη σταθερότητα και την ασφάλεια του μηχανήματος.

Κίνδυνοι από τη χρήση root χωρίς προσοχή

Ένας από τους πιο προφανείς κινδύνους είναι η τυχαία διαγραφή ζωτικών αρχείων . Ως root, δεν υπάρχουν περιορισμοί δικαιωμάτων. Μια εντολή όπως `sudo rm -rf /` μπορεί να σβήσει το σύστημα χωρίς προειδοποίηση. Επίσης, συνήθως δεν υπάρχει κάδος ανακύκλωσης για αυτές τις διαγραφές, επομένως η ανάκτηση μπορεί να απαιτεί πολύπλοκα εργαλεία εγκληματολογικής ανάλυσης ή ακόμα και πλήρη επανεγκατάσταση του συστήματος.

Ένας άλλος κίνδυνος είναι η εκτέλεση μη αξιόπιστων σεναρίων. Εάν εκτελέσετε κώδικα που έχετε κατεβάσει από οποιονδήποτε ιστότοπο με αυξημένα δικαιώματα, ουσιαστικά του δίνετε τα κλειδιά του σπιτιού σας . Ακόμα κι αν το σενάριο φαίνεται ακίνδυνο, θα μπορούσε να περιέχει καταστροφικές οδηγίες ή να εγκαταστήσει κακόβουλο λογισμικό με δικαιώματα root. Επομένως, συνιστάται να ελέγξετε τον κώδικα, να χρησιμοποιήσετε επίσημες πηγές, να ελέγξετε τα checksum και να τον δοκιμάσετε σε μια εικονική μηχανή ή κοντέινερ πριν το εκτελέσετε σε παραγωγή.

Υπάρχει επίσης ένα πρόβλημα ιχνηλασιμότητας. Όταν χρησιμοποιείτε το `sudo`, το σύστημα καταγράφει την εντολή, τον χρήστη που την εξέδωσε και τον χρόνο που απαιτείται για την εκτέλεση των `/var/log/auth.log`, `/var/log/secure` ή `journalctl` . Εάν συνδεθείτε απευθείας ως root, όλα εμφανίζονται ως root και χάνετε τη δυνατότητα να γνωρίζετε ποιο άτομο έκανε κάθε αλλαγή. Σε περιβάλλοντα με πολλούς διαχειριστές ή ISO 27001, PCI DSS ή άλλα πρότυπα ελέγχου, αυτή η έλλειψη ιχνηλασιμότητας αποτελεί σημαντική αδυναμία.

Τρόποι απόκτησης προνομίων από το τερματικό

Ο πιο συνηθισμένος και συνιστώμενος τρόπος είναι να προηγείται μια συγκεκριμένη εντολή με το `sudo`. Για παράδειγμα, για να ενημερώσετε πακέτα, να επανεκκινήσετε μια υπηρεσία ή να επεξεργαστείτε ένα προστατευμένο αρχείο, το `sudo` θα ζητήσει τον κωδικό πρόσβασης χρήστη σας, όχι τον κωδικό πρόσβασης root, και αφού σας επαληθεύσει, θα εκτελέσει την εντολή με αυξημένα δικαιώματα. Εάν χρειάζεται να την εκτελέσετε ως διαφορετικός χρήστης, μπορείτε να χρησιμοποιήσετε την εντολή `sudo -u username command` . Και αν συνειδητοποιήσετε ότι ξεχάσατε να χρησιμοποιήσετε το `sudo`, μπορείτε να επαναλάβετε την τελευταία εντολή με το `sudo !! `.

Όταν πρόκειται να εκτελέσετε πολλές διαχειριστικές εργασίες στη σειρά, μπορεί να είναι βολικό να ανοίξετε ένα προσωρινό κέλυφος root. Το `sudo -i` προσομοιώνει μια πλήρη σύνδεση root, φορτώνει το περιβάλλον root και σας τοποθετεί στον αρχικό κατάλογο. Λειτουργούν επίσης οι συναρτήσεις `sudo su` ή `sudo su -` , αν και το `sudo -i` είναι συνήθως πιο αξιόπιστο. Για να τερματίσετε αυτήν την περίοδο λειτουργίας, απλώς πληκτρολογήστε `exit`. Δεν συνιστάται να αφήνετε ένα κέλυφος root ανοιχτό χωρίς επίβλεψη.

Η εντολή `su`, από την άλλη πλευρά, αλλάζει χρήστες. Η εντολή `su - root` ή απλώς `su -` υιοθετεί επίσης τις μεταβλητές περιβάλλοντος του χρήστη-στόχου, ενώ η εντολή `su root` ή `su` χωρίς την παύλα διατηρεί μέρος του προηγούμενου περιβάλλοντος. Αυτή η διαφορά εξηγεί σφάλματα όπως το `command not found`: οι εντολές διαχειριστή βρίσκονται συνήθως στις διαδρομές `/usr/local/sbin`, `/usr/sbin` και `/sbin`, διαδρομές που δεν εμφανίζονται πάντα στη ΔΙΑΔΡΟΜΗ ενός κανονικού χρήστη. Εάν χρησιμοποιήσετε την εντολή `su` χωρίς την παύλα, θα πρέπει να πληκτρολογήσετε την πλήρη διαδρομή ή να μεταβείτε σε `su -` για να κληρονομήσετε τη ΔΙΑΔΡΟΜΗ ρίζας.

Αν θέλετε να ενεργοποιήσετε έναν κωδικό πρόσβασης για τον root, μπορείτε να το κάνετε με την εντολή `sudo passwd root` . Το Ubuntu δεν το αποθαρρύνει αυτό, αλλά τεχνικά επιτρέπει στον root να έχει κωδικό πρόσβασης. Για να κλειδώσετε τον λογαριασμό, χρησιμοποιήστε την εντολή `sudo passwd -l root` και για να τον ξεκλειδώσετε, χρησιμοποιήστε την εντολή `sudo passwd -u root`. Στο SSH, η άμεση πρόσβαση root ελέγχεται από το `PermitRootLogin` στο `/etc/ssh/sshd_config`. Είναι ασφαλέστερο να το διατηρήσετε σε `no` ή, το πολύ, σε `prohibit-password` για να επιτρέπονται μόνο κωδικοί πρόσβασης SSH. Στη συνέχεια, πρέπει να επανεκκινήσετε την υπηρεσία SSH.

Διαμορφώστε τα πουλόβερ με ακρίβεια

Το αρχείο `/etc/sudoers` ορίζει ποιος μπορεί να χρησιμοποιήσει το `sudo` και για ποιο σκοπό. Είναι καλύτερο να μην το επεξεργαστείτε χειροκίνητα. Η σωστή προσέγγιση είναι να χρησιμοποιήσετε το `sudo visudo` , το οποίο κλειδώνει το αρχείο και ελέγχει τη σύνταξη πριν από την αποθήκευση. Ο βασικός κανόνας έχει τη μορφή `host user=(target_user)`. Για παράδειγμα, το `bob ALL=(ALL) ALL` επιτρέπει στο `bob` να εκτελεί οποιαδήποτε εντολή ως root σε οποιοδήποτε μηχάνημα. Μπορούν επίσης να χρησιμοποιηθούν ομάδες, όπως `%admin ALL=(ALL) ALL`.

Για την εκχώρηση λεπτομερέστερων δικαιωμάτων, χρησιμοποιούνται ψευδώνυμα. Το `User_Alias ​​​​ADMINS = alice, bob` ομαδοποιεί χρήστες και το `Cmnd_Alias ​​​​LOCATE = /usr/sbin/updatedb` ομαδοποιεί εντολές. Στη συνέχεια, χρησιμοποιείται το `ADMINS ALL = LOCATE`, ώστε αυτοί οι χρήστες να μπορούν να εκτελούν μόνο αυτές τις εντολές. Ψευδώνυμα όπως το `NETWORKING` μπορούν να δημιουργηθούν για εντολές όπως `route`, `ifconfig`, `ping`, `iptables`, κ.λπ. Αυτό εφαρμόζει την αρχή των ελάχιστων προνομίων χωρίς να εκχωρεί πλήρη πρόσβαση root σε κανέναν.

Η επιλογή NOPASSWD σάς επιτρέπει να εκτελείτε συγκεκριμένες εντολές χωρίς κωδικό πρόσβασης, για παράδειγμα, `pi ALL=(ALL)`. NOPASSWD: ALL. Αυτό είναι βολικό, αλλά επικίνδυνο σε περίπτωση κατάχρησης. Επιπλέον, καταγράφεται κάθε χρήση του `sudo`, κάτι που βοηθά στον έλεγχο της πρόσβασης και στην αντιμετώπιση προβλημάτων. Εάν κάτι παρουσιάσει σφάλμα, η αναθεώρηση αυτών των αρχείων καταγραφής μπορεί να υποδείξει ποια πρόσφατη αλλαγή προκάλεσε την αποτυχία.

Εκκίνηση γραφικών εφαρμογών ως root από το πρόγραμμα εκκίνησης

Για προγράμματα με γραφική διεπαφή, η απλή χρήση του `sudo` συνήθως δεν λειτουργεί καλά επειδή δεν υπάρχει τερματικό για να ζητήσει τον κωδικό πρόσβασης. Εδώ έρχονται στο προσκήνιο οι γραφικοί βοηθοί . Στο KDE, υπάρχει το `kdesu` : αν γνωρίζετε ποια εντολή εκκινεί την εφαρμογή, μπορείτε να εκτελέσετε το `kdesu that_command`. Η επιλογή `Run Command` στο μενού του KDE σάς επιτρέπει επίσης να εκκινήσετε μια εφαρμογή ως άλλος χρήστης εισάγοντας τα διαπιστευτήριά του. Σε περιβάλλοντα GNOME και GTK , τα `gksu` και `gksudo` χρησιμοποιούνταν ευρέως . Αυτά είναι frontend για το `sudo` ή το `su`. Για παράδειγμα, το `gksu synaptic` ή το `gksudo gparted` ανοίγει την εφαρμογή και ζητά τον κωδικό πρόσβασης.

Στα σύγχρονα συστήματα, το gksu είτε δεν συνιστάται είτε έχει καταργηθεί. Η συνήθης εναλλακτική του είναι το pkexec , που βασίζεται στο PolicyKit, το οποίο επιτρέπει στα προγράμματα να εκτελούνται με προνόμια σύμφωνα με καθορισμένες πολιτικές. Πολλοί τρέχοντες εκκινητές χρησιμοποιούν το pkexec για διαχειριστικές εργασίες. Η ιδέα είναι η ίδια: ο χρήστης δεν χρειάζεται να ανοίξει τερματικό, αλλά το σύστημα επικυρώνει την εξουσιοδότηση με ελεγχόμενο τρόπο.

Για να δημιουργήσετε μια συντόμευση στο πρόγραμμα εκκίνησης, επεξεργάζεστε ένα αρχείο .desktop . Η γραμμή `Exec` είναι το κλειδί. Αν θέλετε να εκτελείται ως root, μπορείτε να χρησιμοποιήσετε κάτι όπως `Exec=gksu /path/to/program`, `Exec=kdesu /path/to/program` ή `Exec=pkexec /path/to/program`. Αν χρησιμοποιείτε απευθείας το `sudo`, θα χρειαστεί το πρόγραμμα εκκίνησης να έχει `Terminal=true` ή να διαμορφώσετε ένα γραφικό askpass. Μπορείτε επίσης να δοκιμάσετε να πατήσετε Alt+F2 και να πληκτρολογήσετε τον βοηθό και το όνομα του προγράμματος, για παράδειγμα, `gksu synaptic`. Στο KDE, το `kdesu synaptic` ή η επιλογή εκτέλεσης ως άλλος χρήστης εκτελεί μια παρόμοια λειτουργία.

Υπάρχει μια κλασική εναλλακτική λύση που ονομάζεται consolehelper , ένα περιτύλιγμα για εφαρμογές GUI. Δημιουργείτε έναν συμβολικό σύνδεσμο, για παράδειγμα, /usr/bin/xterm-root που δείχνει στο /usr/sbin/consolehelper. Στη συνέχεια, ρυθμίζετε το PAM δημιουργώντας το /etc/pam.d/xterm-root με τις συμπεριλήψεις auth, account και session από το config-util. Στη συνέχεια, ορίζετε το /etc/security/console.apps/xterm-root με USER=root και PROGRAM=/usr/bin/xterm. Όταν εκτελείτε το xterm-root, το consolehelper ζητά έλεγχο ταυτότητας PAM και εκκινεί το xterm ως root. Εάν αντιμετωπίσετε ένα σφάλμα "Xlib connection to :0.0 refused by server", η εκτέλεση του xhost local:root μπορεί να βοηθήσει.

Σε κάθε περίπτωση, το άνοιγμα γραφικών εφαρμογών ως root έχει μειονεκτήματα: αναμειγνύει μεταβλητές περιβάλλοντος, μπορεί να διακόψει τον δίαυλο συνεδρίας, να επηρεάσει το Wayland ή το X11 και να δημιουργήσει αρχεία που ανήκουν στον root στον αρχικό σας κατάλογο. Είναι καλύτερο να το χρησιμοποιείτε μόνο για συγκεκριμένα εργαλεία διαχείρισης και να τα κλείνετε μόλις τελειώσετε. Μην περιηγείστε στο διαδίκτυο ή ανοίγετε ύποπτα έγγραφα ως root , επειδή οποιαδήποτε εκμετάλλευση θα κληρονομούσε πλήρη δικαιώματα.

Συνηθισμένα παραδείγματα εργασιών που απαιτούν πρόσβαση root

Πολλές καθημερινές λειτουργίες απαιτούν αυξημένα δικαιώματα. Η διαχείριση πακέτων με apt, zypper, dnf ή yum συχνά απαιτεί sudo. Για παράδειγμα, `sudo apt update` , `sudo apt install firefox` ή `sudo zypper install docker-ce`. Το ίδιο ισχύει και για τις υπηρεσίες συστήματος: `sudo systemctl restart apache2`, `sudo systemctl restart ssh` ή `sudo systemctl restart nginx`. Για να τροποποιήσετε λογαριασμούς χρηστών, χρησιμοποιήστε `sudo usermod` και για να αλλάξετε την ιδιοκτησία αρχείων, χρησιμοποιήστε `sudo chown`. Η επεξεργασία κρίσιμων ρυθμίσεων, όπως `/etc/ssh/sshd_config`, απαιτεί επίσης δικαιώματα root εάν γίνεται με nano, vim ή gedit.

Δεν χρειάζεστε το `sudo` για εντολές που διαβάζουν μόνο πληροφορίες ή δεν τροποποιούν το σύστημα, όπως το `zypper repos` ή το `systemctl status NetworkManager`. Η χρήση του `sudo` για τα πάντα από συνήθεια είναι κακή πρακτική. Το λογικό είναι να αυξάνετε τα δικαιώματα μόνο όταν το απαιτεί η εργασία και στη συνέχεια να επιστρέφετε στον κανονικό χρήστη το συντομότερο δυνατό.

Βέλτιστες πρακτικές κατά την εργασία με αυξημένα δικαιώματα

Η αρχή των ελάχιστων δικαιωμάτων θα πρέπει να καθοδηγεί τα πάντα. Χρησιμοποιήστε το `sudo` για μεμονωμένες εντολές όποτε είναι δυνατόν, αποφύγετε τα επίμονα root shells εκτός εάν είναι απολύτως απαραίτητο και τερματίστε αμέσως μόλις τελειώσετε. Μην εκτελείτε scripts από άγνωστες πηγές ως root. Ελέγξτε τον κώδικα εκ των προτέρων, κατεβάστε τον από επίσημα αποθετήρια ή αξιόπιστα έργα, επαληθεύστε τα checksums και δοκιμάστε τον σε ένα απομονωμένο περιβάλλον εάν έχετε οποιεσδήποτε αμφιβολίες. Μια υγιής δόση σκεπτικισμού είναι ένα πλεονέκτημα όταν ασχολείστε με κώδικα τρίτων που έχει πλήρη δικαιώματα.

Συνιστάται επίσης να ρυθμίζετε λεπτομερώς τα sudoers, χωρίς να βασίζεστε αποκλειστικά στην ομάδα sudo για τα πάντα, και να διατηρείτε τα αρχεία καταγραφής ελεγμένα. Εάν διαχειρίζεστε διακομιστές, ελέγξτε τα `/var/log/auth.log`, `/var/log/secure` ή `journalctl -xe` για να εντοπίσετε κακή χρήση. Σε περιβάλλοντα πολλαπλών χρηστών, η γνώση του ποιος εκτέλεσε κάθε εντολή είναι το κλειδί για την λογοδοσία και τη συμμόρφωση με τους κανονισμούς ασφαλείας.

Ενεργοποίηση και απενεργοποίηση root με κεφαλή

Αν αποφασίσετε να ενεργοποιήσετε την πρόσβαση root, αντιστοιχίστε έναν κωδικό πρόσβασης με το `sudo passwd root`, χρησιμοποιήστε τον μόνο για βασικές εργασίες και, στη συνέχεια, κλειδώστε ξανά τον λογαριασμό. Για να απενεργοποιήσετε την άμεση σύνδεση SSH, επεξεργαστείτε το `sshd_config` και ορίστε το `PermitRootLogin no` ή το `prohibit-password` και, στη συνέχεια, επανεκκινήστε το SSH. Για να κλειδώσετε τον λογαριασμό τοπικά, χρησιμοποιήστε το `sudo passwd -l root`. Για να τον ξεκλειδώσετε, χρησιμοποιήστε το `sudo passwd -u root`. Αυτά τα μέτρα μειώνουν την επιφάνεια επίθεσης και αποτρέπουν τις επιθέσεις brute-force εναντίον του πιο ισχυρού λογαριασμού.

Στις περισσότερες περιπτώσεις, η πρακτική απάντηση στο αρχικό ερώτημα είναι ναι: μπορείτε να εκκινήσετε ένα πρόγραμμα από τον εκκινητή με δικαιώματα root χρησιμοποιώντας έναν γραφικό βοηθό όπως kdesu, gksu, gksudo ή pkexec ή δημιουργώντας ένα αρχείο .desktop με την κατάλληλη εντολή. Ωστόσο, αυτό δεν είναι κάτι που πρέπει να αφήσετε ρυθμισμένο για οποιαδήποτε εφαρμογή. Είναι καλύτερο να έχετε συγκεκριμένους διαχειριστικούς εκκινητές με σαφή ονόματα και να τους χρησιμοποιείτε μόνο όταν είναι απαραίτητο.

Το βασικό συμπέρασμα είναι ότι το root δεν είναι παιχνίδι και το sudo υπάρχει ακριβώς για να σας ενδυναμώσει χωρίς να μετατρέπει κάθε κλικ σε μόνιμο κίνδυνο. Εάν χρειάζεται να ξεκινήσετε μια γραφική εφαρμογή ως superuser, δώστε προτεραιότητα στους βοηθούς που απαιτούν κωδικό πρόσβασης, επαληθεύστε ότι η εφαρμογή τον χρειάζεται πραγματικά και περιορίστε τη χρήση του σε εργασίες διαχείρισης. Με αυτόν τον τρόπο, απολαμβάνετε την ευκολία του launcher χωρίς να θυσιάζετε την ασφάλεια που κάνει το Linux τόσο ισχυρό.