Juurõigus Linuxis: mis see on, milleks seda kasutatakse ja kuidas seda ohutult kasutada

Informatec Digital » Ressursid » Juurõigus Linuxis: mis see on, milleks seda kasutatakse ja kuidas seda ohutult kasutada

Kui sa tuled Windowsist (vt kasutajakontod Windowsis ) ja maandud Linuxisse, siis kuulus root-kasutaja võib kõlada nagu seosetu jama, aga tegelikult on see võtmeelement, mis eraldab stabiilset ja turvalist süsteemi täielikust katastroofist. Root on süsteemi "absoluutne boss", see, kes saab installida, kustutada, rikkuda ja parandada praktiliselt kõike ilma luba küsimata.

Linuxi süsteemi haldamiseks on oluline mõista root'i eesmärki, selle seost `sudo` ja `su` käskudega ning sellega seotud riske, olgu tegemist koduarvuti või tootmisserveriga . See artikkel selgitab üksikasjalikult ja arusaadavat keelt kasutades, mis on root, kuidas seda erinevates distributsioonides (eriti Ubuntus) kasutatakse, selle võimalikke ohte ja parimaid tavasid, kuidas vältida arvuti kasutuskõlbmatuks muutumist.

Mis on Linuxi root kasutaja ja mis teeb selle eriliseks?

Igas GNU/Linuxi süsteemis on täielike õigustega kasutaja nimega root, tuntud ka kui superkasutaja . Sellel kasutajal on UID 0 ja talle ei kehti tavapärased faili- ja protsessiõiguste piirangud: ta saab lugeda, muuta või kustutada mis tahes faili, installida või desinstallida tarkvara, muuta süsteemi seadeid, hallata teisi kasutajaid ja pääseda juurde kriitilistele teenustele.

Kui võrrelda seda Windowsiga, oleks root samaväärne administraatoriga, aga veelgi suuremate volitustega.Sest Linuxis on õiguste mudel täpsem ja kasutajate ning teenuste eraldatus on palju rangem. Kuigi tavakasutaja võimalused sellistes teedes nagu /etc, /usr, /var o /bootJuurjuurdepääs võimaldab teil kõikjale ligi pääseda ilma luba küsimata.

Lisaks tavakasutajatele ja root'ile defineerib Linux "süsteemikasutajaid" ehk teenusekontosid (deemoneid), millel on väga piiratud õigused veebiserverite, andmebaaside või muude deemonite käitamiseks. See tagab, et isegi teenuse ohustamise korral ei saa ründaja automaatselt süsteemile täielikku juurdepääsu... välja arvatud juhul, kui neil õnnestub õigusi root'ile laiendada.

Vaikimisi ei saa tavakasutaja installida süsteemiprogramme, muuta globaalseid konfiguratsioonifaile ega luua katalooge tundlikes piirkondades.Nende ülesannete täitmiseks peate õigusi tõstma selliste tööriistade abil nagu sudo o sumis on täpselt tavalised mehhanismid superkasutaja kontrollitud viisil "kutsutamiseks".

Paljudes tänapäevastes distributsioonides, eriti Ubuntus ja selle derivaatides, on otsene root-sisselogimine keelatud.Selle asemel luuakse installimise ajal tavakasutaja, kes kuulub administraatorite gruppi (näiteks sudo o admin) ja käsku kasutatakse sudo administratiivsete toimingute tegemiseks, küsides oma parooli, mitte juurparooli.

Erinevus tavakasutajate, root'i ja sudo grupi vahel

Linux rakendab kasutajatel ja gruppidel põhinevat õiguste süsteemi . Laias laastus saame eristada kolme peamist kontotüüpi, millega igapäevases kasutuses root'ist rääkides kokku puutute:

TavakasutajadNeed on süsteemi kasutajate kontod. Neil on kodus Nad saavad programme oma kataloogi installida, töölauarakendusi käivitada, dokumente salvestada jne. Siiski Nad ei saa süsteemi administratiivseid ülesandeid täita kuidas paigaldada globaalseid pakette, muuta konfiguratsioone /etc või hallata teisi kasutajaid, välja arvatud juhul, kui nad kasutavad sudo o su.

Juurkasutaja on superkasutaja, kellel on absoluutne kontroll. Talle ei kehti õiguste piirangud, välja arvatud need, mille on kehtestanud kernel ise või täiustatud turvamehhanismid . Ta saab sõna otseses mõttes "teha, mida tahab", alates juurkataloogi kustutamisest kuni mis tahes faili õiguste muutmiseni. Just sel põhjusel ei soovitata tema kasutamist igapäevaste toimingute jaoks.

Administraatori kasutajad (sudoerid): on tavakasutajad, kes kuuluvad spetsiaalsesse gruppi (tavaliselt sudo o admin) Ja Neil on õigus käivitada käske root'ina, kasutades sudoNäiteks kasutaja lisamiseks gruppi sudo Võite kasutada midagi sellist:
sudo usermod -aG sudo nombreusuario

Kui kasutaja on sudo grupi osa, saab ta privilegeeritud käske täita eesliite lisades sudoSüsteem küsib teie parooli (mitte root-kasutaja parooli) ja kui see on õige, käivitab see käsu superkasutaja õigustega. See tagab hea tasakaalu turvalisuse ja mugavuse vahel.

Mis on praktikas juur ja milleks seda kasutatakse?

Lisaks teooriale on juurkasutaja identiteet, mida süsteem kasutab sügavamate muudatuste tegemiseks . Saate jätkata tööd oma tavalise kasutajakontoga ja pääseda juurde juurkasutajale ainult vajadusel. Vaatame mõningaid selle peamisi kasutusviise.

Süsteemitarkvara installimine või desinstalliminePaketihaldurid (näiteks) apt, dnf o pacmanNad peavad kirjutama kaitstud radadele, seega Nad töötavad alati root-õigustegaTüüpiline näide oleks:
sudo apt install vlc

Süsteemi konfiguratsioonifailide muutmineEnamik süsteemiteenuseid ja programme konfigureeritakse tekstifailide kaudu kataloogides, näiteks /etcNende avamiseks redaktoriga ja salvestamiseks vajate kõrgendatud õigusi. Näiteks:
sudo nano /etc/hosts

Muutke juurkasutaja parooli või teiste kasutajate parooleSellised toimingud nagu superkasutaja enda või teise konto parooli muutmine hõlmavad juurdepääsu süsteemi paroolide andmebaasile. Tüüpiline käsk oleks:
sudo passwd root

Käivita potentsiaalselt ohtlikke käske. Tööriistad nagu rm (kustuta) chmod (muuda õigusi), chown (omaniku vahetus) või mkfs (vormindamine) võib väärkasutamisel palju kahju teha. Süsteem vajab juurõigusi toimingute jaoks, mis mõjutavad kriitilisi faile või seadmeid. et tavakasutaja ei saaks süsteemi kogemata rikkuda.

Masina käivitamise, seiskamise ja taaskäivitamise haldamineKäsklused nagu reboot, poweroff või täiustatud käsitlemine systemctl süsteemiteenuste kohta Samuti vajavad nad superkasutaja õigusi. Lisateavet systemd ja selle teenuste haldus Võite tutvuda spetsiaalse dokumentatsiooniga. Vastasel juhul saab iga kasutaja tootmisserveri igal ajal taaskäivitada.

Praktikas, kui Linuxis midagi ebaõnnestub ja kuvatakse viga "luba keelatud", on üsna tõenäoline, et peate selle käivitama juurõigustega. kasutamine sudo või lülitudes ajutiselt superkasutajaks su.

sudo ja su käsud: millal neid kasutada

Kui olete aru saanud, et root on süsteemi "omanik", on aeg aru saada, kuidas neid õigusi oma tavalise kasutajakonto alt hankida.Kaks klassikalist tööriista selleks on sudo y sumis ei tee täpselt sama asja, kuigi paljud inimesed ajavad neid segamini.

sudo („superuser do“) abil saab ühe käsu täita teise kasutaja, tavaliselt root'i, õigustega.Sa ei vaheta seanssi, sa ei saa root'i "kõige jaoks"; ainult see konkreetne käsk käivitatakse kõrgendatud õigustega. Näiteks:
sudo apt install gparted

Iga kord, kui te kasutate sudo Süsteem küsib teie parooli (kui te pole seda hiljuti sisestanud).Pärast mõneminutilist tegevusetust aegub sudo "ticket" ja peate uuesti autentima, mis lisab olulise turvakihi.

su („kasutaja vahetamine“) muudab teie kasutajaidentiteeti sama seansi jooksulKui kasutate seda argumentideta, saate root-kasutajaks (see küsib root-parooli) ja kõiki järgnevaid käske täidetakse nende õigustega kuni väljumiseni. exit. Näiteks:
su
Contraseña:
whoami # devuelve 'root'

Võite ka kasutada su nombreusuario ühelt kasutajalt teisele lülitumisekseeldusel, et teate sihtkonto parooli. See muudab keskkonna täielikult uue kasutaja omaks (muutujad, kodusjne) on soovitatav kasutada su - o su - nombreusuario.

Üldiselt peetakse seda ohutumaks ja soovitatavamaks kasutada sudo konkreetsete käskude jaoks ja pöörduda su ainult siis, kui teil on tõesti vaja pikemat juurkasutaja seanssi (näiteks taastamisülesannete või keeruka hoolduse korral).

Juurõiguse iseärasused Ubuntus ja tuletatud distributsioonides

Ubuntu ja paljud Ubuntu-põhised distributsioonid järgivad üsna selget turvafilosoofiat: root on küll olemas, aga otsene sisselogimine on lukustatud . See tähendab, et pärast standardset installimist ei saa enam terminalis ega graafilises keskkonnas root'ina parooliga sisse logida, kuna seda pole määratud.

Selle asemel valib Ubuntu intensiivse kasutamise sudoInstalliprotsessi käigus luuakse administraatori õigustega kasutaja, kes kuulub gruppi sudoSealt edasi tehakse kõik haldusülesanded järgmiselt:
sudo comando

Kui vajate Ubuntus "täielikku" juurkesta, on teil mitu turvalist valikut.:
sudo -i # Ava root sisselogimisseanss
sudo su - # Lülitu root-kasutajaks sisselogimiskeskkonnaga

Mõlemad meetodid jätavad teid terminali root-kasutajaks, kuni väljute käsuga exitNäete, et viip tavaliselt muutub ja lõpeb # asemel $See on klassikaline märk sellest, et sul on superkasutaja õigused. Oluline on seda meeles pidada, et vältida ohtlike käskude täitmist seal, kus neid ei tohiks teha.

Kuigi seda ei soovitata, saate Ubuntus root-kasutaja lubada, määrates talle parooli. koos:
sudo passwd root
Pärast uue parooli sisestamist ja kinnitamist root "avatakse" ja seda on võimalik kasutada näiteks su ilma eelneva sudota või isegi TTY või SSH kaudu otse sisselogimise lubamiseta (midagi, mida avatud serverites väga ei soovitata).

Root'i hooletu kasutamise tegelikud riskid

Juurkasutajana töötamine ilma täpselt teadmata, mida sa teed, on nagu veoautoga maanteel tagurdamine: see võib küll toimida, aga kui sa kasvõi sekundiks keskendumise kaotad, on see katastroof . Linux on vaikimisi loodud üsna turvaliseks, aga niipea kui sa privileege tõstad, kaovad paljud kaitsefunktsioonid.

Esimene suurem oht ​​on failisüsteemi kogemata kustutamine või rikkumine.Käsklused, näiteks:
rm -rf /
rm -rf /*
või veelgi peenemaid konstruktsioone, näiteks:
rm -rf "$directorio"/*
Nad võivad kogu süsteemi sekunditega hävitada, kui neid käivitada root'ina ja tee pole see, mida sa arvad.Mõnikord piisab vaid tühjast muutujast, valest kaldkriipsust või valest tabulaatoriklahvist, et muuta pealtnäha süütu käsk katastroofiks.

Teine suur oht on pahavara installimine täielike õigustega . Skriptide allalaadimine ja käivitamine internetist root'ina ilma koodi vaatamata on nagu oma maja võtme andmine võõrale. Pahatahtlik skript võib installida rootkitte , klahvilogijaid või tagauksi, muuta kerneli, luurata kõike, mida teete, ja jääda pikaks ajaks varjatuks.

Samuti on süsteemi turvalisust suhteliselt lihtne kahjustada, muutes kriitilisi failiõigusi.Näiteks kui käivitate midagi sellist:
chmod 000 /etc -R
või muudate õigusi /boot kuni /etc/passwd teadmata, mida sa teed, Saate muuta masina käivitamatuks või kasutaja autentimise võimatuks.Paljudel juhtudel on ainus lahendus LiveCD kasutamine või isegi uuesti installimine.

Turvalisuse seisukohast muudab pidev root-kasutajana töötamine selle konto ainsaks rikkeallikaks . Kui ründaja saab root-juurdepääsu (jõuvõtete, andmepüügi, pahavara jms abil), on tal täielik kontroll: ta saab krüpteerida kettaid, varastada andmeid, liituda botnetiga või kasutada teie serverit kolmandate osapoolte ründamiseks. Nende riskide maandamiseks peaksite uurima SELinuxi ja muude kaitsemehhanismide abil karastamistehnikaid.

Lisaks muudab juurvilja intensiivne kasutamine jälgitavuse keeruliseks.Kui käske täidetakse koos sudoSüsteem salvestab, kes need käivitas ja millal, samas kui kui kõik tehakse root'ina, pole selge, kes iga toimingu taga on, mis raskendab auditeid ja probleemide diagnoosimist.

Kuva tärnid sudo parooli sisestamisel

Vaikimisi ei näe paljudes distributsioonides (näiteks Ubuntus) sudo parooli sisestamisel punkte ega tärne . See oli mõeldud turvameetmena, et keegi ei saaks ekraani vaadates teie parooli pikkust järeldada, kuid praktikas on see üsna ebamugav: kirjutate ja midagi ei juhtu.

Juba mõnda aega on sudo lubanud aktiveerida käitumist nimega pwfeedbackSee kuvab iga sisestatud tähe kohta tärni. See ei näita teie parooli, kuid kinnitab, et klaviatuur reageerib ja aitab tuvastada kirjavigu.

Selle aktiveerimiseks peate turvalise tööriista abil muutma sudo konfiguratsiooni. visudoSee valideerib süntaksi enne salvestamist, et vältida sudo õiguste kaotamist rumala vea tõttu. Toimingud oleksid järgmised:

1. Ava sudo seaded:
sudo visudo

2. Lisa rida:
Defaults pwfeedback

3. Salvesta ja välju redaktorist

Sellest hetkest alates ilmuvad iga kord, kui sisestate oma sudo parooli, tärnid.Kui soovite mingil hetkel algse käitumise juurde naasta, eemaldage see rida lihtsalt käsuga `return`. visudo.

Juurkonto keelamine või blokeerimine

Keskkondades, kus mitmel inimesel on ligipääs samale arvutile, võib root-parooli kergesti kuritarvitada . Kui liiga paljud inimesed teavad seda parooli, on vaid aja küsimus, enne kui keegi põhjustab (või kannatab) suurema probleemi. Väga mõistlik lahendus on root-konto keelamine ja ainult sudo kasutamine.

Juurkasutaja konto lukustamisel takistate kasutajatel selle kasutajana otse sisselogimist. ja te takistate ka selle kasutamist su Juurjuurdepääsu saamiseks oma parooliga. Siiski Volitatud kasutajad saavad endiselt kasutada sudo privilegeeritud käskude täitmiseks.

Paljudes distributsioonides juurkonto lukustamiseks käivitage lihtsalt:
sudo passwd -l root

See käsk "külmutab" root parooli, nii et seda ei saa kasutada.Kui teil on vaja see hiljem uuesti aktiveerida, peate määrama uue parooli, mis näeb välja selline:
sudo passwd root

Taasta või muuda oma root parooli, kui oled selle kaotanud

Kui olete oma root-parooli unustanud või konto lukustanud ja peate selle taastama, pole kõik veel kadunud . Linux pakub selle lähtestamiseks mitu võimalust, tavaliselt süsteemi käivitamine erirežiimis või LiveCD kasutamine.

Väga levinud valik on seda teha GRUB-ist, kasutades taasterežiimi . Paljudel distributsioonidel on kirje "Täpsemad valikud", kus saab valida "Taasterežiim". Selle valimine laadib piiratud keskkonna päästevalikutega.

Kui valite taasterežiimis juurkonsooli hankimise , on standardvoog tavaliselt järgmine:

1. Paigalda failisüsteem kirjutamisõigustega:
mount -o rw,remount /

2. Määrake rootile uus parool:
passwd root

3. Muudatuste rakendamiseks sünkroonige andmed ja taaskäivitage:
sync
reboot

Teine peamine viis on käivitada Linuxi distributsiooni LiveCD-lt või LiveUSB-lt (näiteks Ubuntu režiimis "Proovi ilma installimata") ja töötada installitud süsteemiga väljastpoolt.

Tüüpilises LiveCD stsenaariumis oleksid sammud järgmised :

1. Ava terminal ja hangi ajutine juurkest:
sudo su

2. Tuvastage oma Linuxi süsteemi sisaldav partitsioon, kasutades midagi sellist:
fdisk -l

3. Paigalda see partitsioon töökataloogi (näide, kasutades /dev/sda1):
mkdir /mnt/recover
mount /dev/sda1 /mnt/recover

4. Muutke süsteemi juurkataloogiks kataloog, mis on ühendatud chroot:
chroot /mnt/recover

5. Sealt edasi kasutage passwd root uue parooli määramiseks ning pärast väljalogimist ja taaskäivitamist saate tavapäraselt sisse logida.

Fail /etc/sudoers ja kuidas juurkasutaja õigusi peenhäälestada

Juurhalduse üks võimsamaid (ja delikaatsemaid) aspekte on failihaldus. /etc/sudoers, kus on määratletud, kes saab kasutada sudoSiin saate kõrgendatud õigustega juurdepääsu üksikasjalikult kohandada, määrates, kus ja milliseid käske täita.

Väga oluline: ärge kunagi muutke /etc/sudoers otse mis tahes redaktorigaKasutage alati:
sudo visudo
sest see tööriist Enne salvestamist kontrollige süntaksitSelle faili viga võib takistada sudo kasutamist ja koos visudo Sa minimeerid selle riski.

Tüüpiline sisu /etc/sudoers Puhas Ubuntu sisaldab ridu, mis on sarnased:
root ALL=(ALL:ALL) ALL
%sudo ALL=(ALL:ALL) ALL

Esimene näitab, et juurkasutaja saab mis tahes käsu mis tahes hostis käivitada nagu iga kasutaja ja rühm.Teine teeb sama, aga kõigi grupi kasutajate jaoks. sudoSel viisil on igal selle grupi liikmel täielik võim läbi sudo.

Täiustatud konfiguratsioonide jaoks võimaldab sudoers teil määrata kasutajate, käskude ja teostusrühmade aliase , näiteks:

User_Alias ADMINES = pepe, perico, andres
Cmnd_Alias POWER = /sbin/shutdown, /sbin/halt, /sbin/reboot, /sbin/restart
Runas_Alias WEB = www-data, apache

Nende definitsioonide abil saate näiteks anda ADMINES'ile loa süsteemi paroolita sulgeda või taaskäivitada. sellise reegliga:
ADMINES ALL = NOPASSWD: POWER

Sildid nagu NOPASSWD Need võimaldavad teil teatud käske sudo abil käivitada ilma parooli sisestamata.See on väga kasulik automatiseeritud skriptide, teiste süsteemidega integratsioonide või personaalarvutite puhul, kus olete ainus kasutaja.

Kurioosumina on olemas variant nn. insults et kui sa selle ridadele lisad DefaultsSee paneb sudo sind iga kord vale parooli sisestamise korral inglise keeles "solvama".See ei paranda ohutust, aga vähemalt toob töö keskel näole naeratuse.

Terminali kaudu failide ja õiguste haldamiseks kasutatakse juurkasutaja õigusi

Praktikas keskendub root'i kasutamine suures osas failide ja õiguste haldamisele terminali kaudu . Superkasutaja õigustega saate navigeerida kogu failisüsteemis ja muuta kõike, mida vajate, alati äärmise ettevaatusega.

Mõned põhikäsud, mis muutuvad root'ina eriti tundlikuks, on järgmised:

ls: loetleb failid ja kataloogid. Juurkasutajana näed isegi faile, mida teised kasutajad ei saa loetleda.

cp y mvFailide või kataloogide kopeerimiseks ja teisaldamiseks kasutage käsku `sudo`. Näiteks saate `sudo` abil teisaldada fondi... Descargas üles /usr/share/fonts/ nii et see oleks kogu süsteemile kättesaadav.

rm: kustutab failid ja kaustad. Koos :ga -r y -f See on äärmiselt ohtlik, kui kasutate seda root'ina ilma teed korralikult kontrollimata.

chmod y chownNeed seaded muudavad õigusi ja omandiõigust. Need on olulised failidele juurdepääsu andmiseks konkreetsetele kasutajatele, kuid väärkasutamine võib muuta süsteemi ebaturvaliseks või kasutuskõlbmatuks.

Tüüpiline näide süsteemifondi installimiseks root-kasutajana oleks :

sudo cp ~/Descargas/Underdog.ttf /usr/share/fonts/
sudo chmod 644 /usr/share/fonts/Underdog.ttf

Režiim 644 See näitab, et omanik (juur) saab lugeda ja kirjutada, samas kui grupp ja teised kasutajad saavad ainult lugeda., piisavalt, et font töötaks, kuid ilma juhuslike muudatusteta.

Parimad tavad root, sudo ja su abil töötamisel

Superkasutaja õigustega töötamist ei tohiks kergekäeliselt võtta . On mitmeid juhiseid, mille mõistmine säästab teid paljudest probleemidest:

Minimeeri root'ina veedetud aega. USA sudo comando Võimalusel vältige püsiva root-seansi avamist. Mida vähem aega veedate täielike õigustega, seda väiksem on tõenäosus, et teete vea.

Väldi iga hinna eest kahtlastest allikatest pärit skriptide käivitamist käsuga `sudo` . Kui laadid internetist alla skripti ja esimene asi, mida näed, on "käivita see käsuga `sudo`", ava see tekstiredaktoriga ja loe hoolikalt läbi. Kui sa ei saa aru, mida see teeb, siis ära seda käivita.

Katsetamiseks kasutage testkeskkondi (virtuaalmasinaid, konteinereid) . Kui kavatsete puutetundlikke konfiguratsioone testida, agressiivseid käske testida või ebaselgeid skripte käivitada, tehke seda kõigepealt süsteemis, mida saate ohutult murda. Turvalise virtualiseerimise juhendeid leiate virtuaalmasinate ja konteinerite alt.

Konfigureeri sudo detailselt, kui administraatoreid on mituSee pole sama kasutaja jaoks, kes peab ainult teenuse taaskäivitama, ja kellegi jaoks, kes vajab täielikku kontrolli. Kasutage /etc/sudoers piirata seda, mida iga inimene teha saab.

Autentimislogide jälgimine (/var/log/auth.log o journalctlSee võimaldab teil näha, kes, kust ja milliste käskudega sudot kasutab. See on lihtne viis ebatavalise käitumise või privileegide kuritarvitamise tuvastamiseks.

Ärge sirvige internetti, avage manuseid ega käivitage töölauarakendusi root-kasutajana . Kui graafilise rakenduse turvalisus satub ohtu ajal, mil seda kasutate superkasutajana, saab ründaja suure summa.

Lühidalt öeldes on Linuxi juurõigus uskumatult võimas tööriist, millega tuleb ettevaatlikult ümber käia . Selle eesmärgi mõistmine, millal kasutada `sudo`-d või `su`-d, kuidas kontot taastada või lukustada ning kuidas `sudo`-d seadistada, võimaldab teil oma süsteemi turvaliselt ja enesekindlalt hallata, kasutades GNU/Linuxi paindlikkust täiel määral ära, ilma et peaksite terminali avades oma elu ohtu seadma.