Slik kjører du programmer som root fra launcheren i Linux

Informatec Digital » Linux » Slik kjører du programmer som root fra launcheren i Linux

I Windows er mange vant til å trykke Shift+Enter eller Shift+venstreklikk for å åpne et program med utvidede rettigheter fra Start-menyen. I Linux er ikke dette alltid like greit, fordi sikkerheten er avhengig av root, sudo og grafiske hjelpere , og hvert skrivebordsmiljø har sine egne verktøy. Likevel finnes det ganske enkle måter å starte programmer som root fra en startprogram, en snarvei eller programmenyen, selv om det er viktig å forstå hva det innebærer.

Nøkkelen er at root-brukeren har absolutt kontroll over systemet , og moderne distribusjoner, spesielt Ubuntu og dets derivater, deaktiverer vanligvis direkte pålogging. Derfor er det ikke vanlig å logge inn som root, men heller å heve privilegiene av og til ved å bruke `sudo` eller et grafisk program som ber om passord. Hvis vi vil at et launcher-ikon skal starte en app med disse rettighetene, må vi endre kommandoen den utfører eller opprette en spesifikk launcher.

Hva betyr det egentlig å kjøre noe som root?

I Linux er root kontoen med UID 0 og ubegrensede rettigheter . Den kan lese, endre eller slette enhver fil, installere programvare, endre kjernekonfigurasjoner og kontrollere prosesser som tilhører enhver bruker. Dette gjør det til et utrolig kraftig verktøy, men også en stor risiko hvis det brukes uforsiktig. En enkel skrivefeil med `rm` eller `mv` kan gjøre systemet ubrukelig, og et ondsinnet skript som kjøres som root kan installere bakdører, endre sikkerhetstiltak eller stjele data uten å spore.

I Ubuntu har ikke root-kontoen noe standardpassord, og direkte pålogging er ikke tillatt. Filosofien er at du jobber med din vanlige brukerkonto og bruker `sudo` til spesifikke oppgaver . `sudo` betyr i hovedsak å kjøre en kommando som en annen bruker, vanligvis root, etter å ha autentisert med ditt eget passord hvis du tilhører `sudo`-gruppen. Dette begrenser hvor lenge du er eksponert og holder oversikt over hvem som gjorde hva.

I svært spesifikke situasjoner, som å gjenopprette et skadet system, arbeide i begrensede miljøer eller konfigurere tjenester som krever vedvarende tilgang, kan du imidlertid vurdere å aktivere root midlertidig. Den generelle anbefalingen er å deaktivere det igjen så snart behovet oppstår. Jo mindre tid du bruker som root, desto bedre for maskinens stabilitet og sikkerhet.

Risikoer ved å bruke rot uten forsiktighet

En av de mest åpenbare farene er utilsiktet sletting av viktige filer . Som root er det ingen tillatelsesbegrensninger; en kommando som `sudo rm -rf /` kan slette systemet uten forvarsel. Det finnes vanligvis heller ingen papirkurv for disse slettingene, så gjenoppretting kan kreve komplekse rettsmedisinske verktøy eller til og med en fullstendig systeminstallasjon på nytt.

En annen risiko er å kjøre upålitelige skript. Hvis du kjører kode lastet ned fra et nettsted med utvidede rettigheter, gir du det i hovedsak nøklene til huset ditt . Selv om skriptet virker harmløst, kan det inneholde destruktive instruksjoner eller installere skadelig programvare med rotrettigheter. Derfor er det lurt å gjennomgå koden, bruke offisielle kilder, sjekke sjekksummer og teste den i en virtuell maskin eller container før du kjører den i produksjon.

Det er også et sporbarhetsproblem. Når du bruker `sudo`, logger systemet kommandoen, brukeren som utstedte den, og tiden til `/var/log/auth.log`, `/var/log/secure` eller `journalctl` . Hvis du logger deg inn direkte som root, vises alt som root, og du mister muligheten til å vite hvilken person som gjorde hver endring. I miljøer med flere administratorer eller ISO 27001, PCI DSS eller andre revisjonsstandarder, er denne mangelen på sporbarhet en betydelig svakhet.

Måter å få privilegier fra terminalen

Den vanligste og anbefalte måten er å sette `sudo` foran en spesifikk kommando. For eksempel, for å oppdatere pakker, starte en tjeneste på nytt eller redigere en beskyttet fil, vil `sudo` be om brukerpassordet ditt, ikke root-passordet, og etter å ha autentisert deg, vil den utføre kommandoen med forhøyede rettigheter. Hvis du trenger å kjøre den som en annen bruker, kan du bruke `sudo -u username command` . Og hvis du innser at du glemte å bruke `sudo`, kan du gjenta den siste kommandoen med `sudo!! `.

Når du skal utføre flere administrative oppgaver på rad, kan det være praktisk å åpne et midlertidig rotskall. `sudo -i` simulerer en fullstendig root-pålogging, laster inn rotmiljøet og plasserer deg i hjemmekatalogen. `sudo su` eller `sudo su -` fungerer også, selv om `sudo -i` vanligvis er mer pålitelig. For å avslutte denne økten, skriver du bare `exit`. Det er ikke tilrådelig å la et rotskall være åpent uten tilsyn.

`su`-kommandoen, derimot, bytter brukere. `su-root` eller bare `su-` tar også i bruk miljøvariablene til målbrukeren, mens `su root` eller `su` uten bindestrek beholder deler av det forrige miljøet. Denne forskjellen forklarer feil som `kommando ikke funnet`: administrative kommandoer finnes vanligvis i `/usr/local/sbin`, `/usr/sbin` og `/sbin`, stier som ikke alltid vises i en vanlig brukers PATH. Hvis du bruker `su` uten bindestrek, må du skrive inn hele stien eller bytte til `su-` for å arve rot-PATH.

Hvis du vil aktivere et passord for root, kan du gjøre det med `sudo passwd root` . Ubuntu fraråder dette, men tillater teknisk sett at root har et passord. For å låse kontoen, bruk `sudo passwd -l root` , og for å låse den opp, bruk `sudo passwd -u root`. I SSH kontrolleres direkte root-tilgang av `PermitRootLogin` i `/etc/ssh/sshd_config`. Det er tryggest å holde den satt til `no` eller maksimalt `prohibit-password` for å bare tillate SSH-passord. Etterpå må du starte SSH-tjenesten på nytt.

Konfigurer gensere nøyaktig

`/etc/sudoers` -filen definerer hvem som kan bruke `sudo` og til hvilket formål. Det er best å ikke redigere den manuelt; den riktige fremgangsmåten er å bruke `sudo visudo` , som låser filen og sjekker syntaksen før lagring. Grunnregelen har formen `host user=(target_user)`. For eksempel lar `bob ALL=(ALL) ALL` `bob` utføre en hvilken som helst kommando som root på en hvilken som helst maskin. Grupper kan også brukes, for eksempel `%admin ALL=(ALL) ALL`.

For å gi finere tillatelser brukes aliaser. `User_Alias ​​​​ADMINS = alice, bob` grupperer brukere, og `Cmnd_Alias ​​​​LOCATE = /usr/sbin/updatedb` grupperer kommandoer. Deretter brukes `ADMINS ALL = LOCATE` slik at disse brukerne bare kan utføre disse kommandoene. Aliaser som `NETWORKING` kan opprettes for kommandoer som `route`, `ifconfig`, `ping`, `iptables`, osv. Dette anvender prinsippet om minste privilegium uten å gi full root-tilgang til noen.

NOPASSWD - alternativet lar deg kjøre visse kommandoer uten passord, for eksempel `pi ALL=(ALL)`. NOPASSWD: ALL. Dette er praktisk, men farlig hvis det misbrukes. Videre logges all bruk av `sudo`, noe som hjelper med å revidere tilgang og feilsøke problemer. Hvis noe går i stykker, kan en gjennomgang av disse loggene indikere hvilken nylig endring som forårsaket feilen.

Starte grafiske applikasjoner som root fra startprogrammet

For programmer med grafisk grensesnitt fungerer det vanligvis ikke bra å bare bruke `sudo` fordi det ikke finnes noen terminal som ber om passordet. Det er her grafiske hjelpere kommer inn i bildet. I KDE finnes det `kdesu` : hvis du vet hvilken kommando som starter programmet, kan du kjøre `kdesu that_command`. Alternativet `Kjør kommando` i KDE-menyen lar deg også starte et program som en annen bruker ved å oppgi brukernavn og passord. I GNOME- og GTK-miljøer ble `gksu` og `gksudo` mye brukt ; disse er brukergrensesnitt for `sudo` eller `su`. For eksempel åpner `gksu synaptic` eller `gksudo gparted` appen og ber om passordet.

I moderne systemer frarådes eller avskrives gksu. Det vanlige alternativet er pkexec , basert på PolicyKit, som lar programmer kjøre med rettigheter i henhold til definerte retningslinjer. Mange nåværende oppstartsprogrammer bruker pkexec til administrative oppgaver. Ideen er den samme: brukeren trenger ikke å åpne en terminal, men systemet validerer autorisasjon på en kontrollert måte.

For å opprette en snarvei i oppstartsprogrammet, redigerer du en .desktop -fil . `Exec`-linjen er nøkkelen. Hvis du vil at den skal kjøre som root, kan du bruke noe som `Exec=gksu /path/to/program`, `Exec=kdesu /path/to/program` eller `Exec=pkexec /path/to/program`. Hvis du bruker `sudo` direkte, må oppstartsprogrammet ha `Terminal=true` eller konfigurere en grafisk askpass. Du kan også prøve å trykke Alt+F2 og skrive inn hjelperen og programnavnet, for eksempel `gksu synaptic`. I KDE utfører `kdesu synaptic` eller alternativet for å kjøre som en annen bruker en lignende funksjon.

Det finnes et klassisk alternativ kalt consolehelper , en wrapper for GUI-applikasjoner. Du oppretter en symbolsk lenke, for eksempel /usr/bin/xterm-root som peker til /usr/sbin/consolehelper. Deretter konfigurerer du PAM ved å opprette /etc/pam.d/xterm-root med auth-, account- og session-inkluderingene fra config-util. Deretter definerer du /etc/security/console.apps/xterm-root med USER=root og PROGRAM=/usr/bin/xterm. Når du kjører xterm-root, ber consolehelper om PAM-autentisering og starter xterm som root. Hvis du støter på feilen "Xlib connection to :0.0 refused by server", kan det hjelpe å kjøre xhost local:root.

Uansett har det ulemper å åpne grafiske applikasjoner som root: det blander miljøvariabler, kan ødelegge sesjonsbussen, påvirke Wayland eller X11, og opprette root-eide filer i hjemmekatalogen din. Det er best å bare bruke det for spesifikke administrative verktøy og lukke dem så snart du er ferdig. Ikke surf på internett eller åpne mistenkelige dokumenter som root , fordi enhver utnyttelse vil arve alle rettigheter.

Vanlige eksempler på oppgaver som krever root-tilgang

Mange daglige operasjoner krever utvidede rettigheter. Administrering av pakker med apt, zypper, dnf eller yum krever ofte sudo. For eksempel `sudo apt update` , `sudo apt install firefox` eller `sudo zypper install docker-ce`. Det samme gjelder systemtjenester: `sudo systemctl restart apache2`, `sudo systemctl restart ssh` eller `sudo systemctl restart nginx`. For å endre brukerkontoer, bruk `sudo usermod`, og for å endre fileierskap, bruk `sudo chown`. Redigering av kritiske konfigurasjoner, for eksempel `/etc/ssh/sshd_config`, krever også root-rettigheter hvis det gjøres med nano, vim eller gedit.

Du trenger ikke `sudo` for kommandoer som bare leser informasjon eller ikke endrer systemet, som `zypper repos` eller `systemctl status NetworkManager`. Å bruke `sudo` for alt av vane er dårlig praksis. Det fornuftige å gjøre er å heve privilegier bare når oppgaven krever det, og deretter bytte tilbake til vanlig bruker så snart som mulig.

Beste praksis når du arbeider med utvidede rettigheter

Prinsippet om minste privilegium bør veilede alt. Bruk `sudo` for individuelle kommandoer når det er mulig, unngå vedvarende rotskaller med mindre det er absolutt nødvendig, og avslutt så snart du er ferdig. Ikke kjør skript fra ukjente kilder som root; gjennomgå koden på forhånd, last ned fra offisielle arkiver eller anerkjente prosjekter, bekreft sjekksummer og test i et isolert miljø hvis du er i tvil. En sunn dose skepsis er en dyd når man har med tredjepartskode å gjøre som har fulle rettigheter.

Det er også lurt å konfigurere sudoere granulært, ikke bare stole på sudo-gruppen for alt, og å holde loggene overvåket. Hvis du administrerer servere, sjekk `/var/log/auth.log`, `/var/log/secure` eller `journalctl -xe` for å oppdage misbruk. I flerbrukermiljøer er det viktig å vite hvem som utførte hver kommando for ansvarlighet og samsvar med sikkerhetsforskrifter.

Aktiver og deaktiver root med et head

Hvis du bestemmer deg for å aktivere root-tilgang, tildel et passord med `sudo passwd root`, bruk det bare for viktige oppgaver, og lås deretter kontoen på nytt. For å deaktivere direkte SSH-pålogging, rediger `sshd_config` og angi `PermitRootLogin no` eller `prohibit-password`, og start deretter SSH på nytt. For å låse kontoen lokalt, bruk `sudo passwd -l root`. For å låse den opp, bruk `sudo passwd -u root`. Disse tiltakene reduserer angrepsflaten og forhindrer brute-force-angrep mot den kraftigste kontoen.

I de fleste tilfeller er det praktiske svaret på det første spørsmålet ja: du kan starte et program fra oppstartsprogrammet med root-rettigheter ved å bruke en grafisk hjelper som kdesu, gksu, gksudo eller pkexec, eller ved å opprette en .desktop-fil med riktig kommando. Dette er imidlertid ikke noe du bør la være satt opp for et hvilket som helst program. Det er bedre å ha spesifikke administrative oppstartsprogrammer med tydelige navn og bare bruke dem når det er nødvendig.

Den viktigste konklusjonen er at root ikke er et leketøy, og sudo eksisterer nettopp for å gi deg styrke uten å gjøre hvert klikk til en permanent risiko. Hvis du trenger å starte en grafisk app som superbruker, prioriter hjelpere som krever et passord, bekreft at applikasjonen virkelig trenger det, og begrens bruken til administrative oppgaver. På denne måten kan du nyte bekvemmeligheten med launcheren uten å ofre sikkerheten som gjør Linux så sterk.