Root v Linuxe: čo to je, na čo to slúži a ako to bezpečne používať

Informatec Digital » Zdroje » Root v Linuxe: čo to je, na čo to slúži a ako to bezpečne používať

Ak prichádzate z Windowsu (pozrite si používateľské účty vo Windowse ) a pristávate na Linuxe, slávny používateľ root môže znieť ako nezmysel, ale v skutočnosti je to kľúčový prvok, ktorý oddeľuje stabilný a bezpečný systém od úplnej katastrofy. Root je „absolútny šéf“ systému, ten, kto môže nainštalovať, odstrániť, pokaziť a opraviť prakticky čokoľvek bez toho, aby si vyžiadal povolenie.

Pochopenie účelu root v Linuxe, jeho vzťahu k príkazom `sudo` a `su` a súvisiacich rizík je nevyhnutné pre správu vášho systému, či už ide o domáci notebook alebo produkčný server . Tento článok podrobne a pomocou prístupného jazyka vysvetlí, čo je root, ako sa používa v rôznych distribúciách (najmä v Ubuntu), jeho potenciálne nebezpečenstvá a osvedčené postupy, ako zabrániť znefunkčneniu vášho počítača.

Čo je root používateľ v Linuxe a čo ho robí výnimočným?

V každom systéme GNU/Linux existuje používateľ s plnými oprávneniami, ktorý sa nazýva root, tiež známy ako superpoužívateľ . Tento používateľ má UID 0 a nepodlieha bežným obmedzeniam oprávnení pre súbory a procesy: môže čítať, upravovať alebo mazať ľubovoľný súbor, inštalovať alebo odinštalovať softvér, meniť nastavenia systému, spravovať ostatných používateľov a pristupovať ku kritickým službám.

Ak to porovnáte s Windowsom, root by bol ekvivalentom správcu, ale s ešte väčšími možnosťami.Pretože v Linuxe je model oprávnení prepracovanejší a oddelenie medzi používateľmi a službami je oveľa prísnejšie. Zatiaľ čo bežný používateľ má obmedzené možnosti v cestách ako /etc, /usr, /var o /bootRoot prístup vám umožní prístup kamkoľvek bez nutnosti žiadať o povolenie.

Okrem bežných používateľov a root-a Linux definuje „systémových používateľov“ alebo servisné účty (démony) s veľmi obmedzenými oprávneniami, ktoré sa používajú na spúšťanie webových serverov, databáz alebo iných démonov. To zabezpečuje, že aj keď je služba napadnutá, útočník automaticky nezíska plný prístup k systému... pokiaľ sa mu nepodarí eskalovať oprávnenia na root-a.

Štandardne nemôže štandardný používateľ inštalovať systémové programy, upravovať globálne konfiguračné súbory ani vytvárať adresáre v citlivých oblastiach.Na vykonanie ktorejkoľvek z týchto úloh budete musieť zvýšiť privilégiá pomocou nástrojov, ako napríklad sudo o sučo sú presne bežné mechanizmy na kontrolované „vyvolanie“ superpoužívateľa.

V mnohých moderných distribúciách, najmä v Ubuntu a jeho derivátoch, je priame prihlásenie root zakázané.Namiesto toho sa počas inštalácie vytvorí bežný používateľ, ktorý patrí do skupiny administrators (napríklad sudo o admin) a príkaz sa používa sudo vykonávať administrátorské akcie vyžiadaním si vlastného hesla, nie hesla root.

Rozdiel medzi bežnými používateľmi, root a skupinou sudo

Linux implementuje systém oprávnení založený na používateľoch a skupinách . Vo všeobecnosti môžeme rozlíšiť tri hlavné typy účtov, s ktorými sa stretnete v každodennom používaní, keď hovoríme o root:

Pravidelní používateliaToto sú účty ľudí, ktorí používajú systém. Majú domov Môžu však inštalovať programy do vlastného adresára, spúšťať desktopové aplikácie, ukladať dokumenty atď. Nemôžu vykonávať úlohy správy systému. ako nainštalovať globálne balíky, upraviť konfigurácie v /etc alebo spravovať iných používateľov, pokiaľ nepoužívajú sudo o su.

Používateľ root je superpoužívateľ s absolútnou kontrolou. Nepodlieha žiadnym obmedzeniam oprávnení okrem tých, ktoré ukladá samotné jadro alebo pokročilé bezpečnostné mechanizmy . Doslova si môže „robiť, čo sa mu zachce“, od vymazania koreňového adresára až po zmenu oprávnení ľubovoľného súboru. Práve z tohto dôvodu sa jeho používanie na každodenné úlohy neodporúča.

Používatelia s oprávneniami správcu (sudoers)sú bežní používatelia, ktorí patria do špeciálnej skupiny (zvyčajne sudo o admin) A Majú povolenie vykonávať príkazy ako root pomocou sudoNapríklad, ak chcete pridať používateľa do skupiny sudo Môžete použiť niečo takéto:
sudo usermod -aG sudo nombreusuario

Keď je používateľ súčasťou skupiny sudo, môže vykonávať privilegované príkazy pridaním prefixu sudoSystém si vyžiada vaše heslo (nie heslo root) a ak je správne, vykoná príkaz s oprávneniami superpoužívateľa. To poskytuje dobrú rovnováhu medzi bezpečnosťou a pohodlím.

Čo je root v praxi a na čo sa používa?

Okrem teórie je root používateľ identitou, ktorú systém používa na vykonávanie akýchkoľvek rozsiahlych zmien . Môžete pokračovať v práci so svojím bežným používateľským účtom a pristupovať k root účtu iba v prípade potreby. Pozrime sa na niektoré z jeho hlavných použití.

Inštalácia alebo odinštalovanie systémového softvéruSprávcovia balíkov (ako napríklad) apt, dnf o pacmanPotrebujú zapisovať do chránených ciest, takže Vždy bežia s root oprávneniamiTypickým príkladom by bolo:
sudo apt install vlc

Úprava konfiguračných súborov systémuVäčšina systémových služieb a programov sa konfiguruje pomocou textových súborov v adresároch, ako napríklad /etcNa ich otvorenie v editore a uloženie potrebujete zvýšené oprávnenia. Napríklad:
sudo nano /etc/hosts

Zmeňte heslo root alebo iné používateľské hesláOperácie, ako je zmena vlastného hesla superpoužívateľa alebo hesla iného účtu, zahŕňajú prístup k databáze hesiel systému. Typický príkaz by bol:
sudo passwd root

Vykonávať potenciálne nebezpečné príkazy. Nástroje ako rm (vymazať), chmod (zmeniť povolenia), chown (zmeniť vlastníka) alebo mkfs (formátovanie) môže pri nesprávnom použití spôsobiť veľa škody. Systém vyžaduje oprávnenia root pre operácie, ktoré ovplyvňujú kritické súbory alebo zariadenia. aby sa zabránilo náhodnému zničeniu systému bežným používateľom.

Spravovať spustenie, vypnutie a reštartovanie strojaPríkazy ako reboot, poweroff alebo pokročilú manipuláciu systemctl o systémových službách Vyžadujú si tiež oprávnenia superužívateľa, Viac informácií o systemd a jeho správa služieb Môžete si preštudovať špecializovanú dokumentáciu. V opačnom prípade by ktorýkoľvek používateľ mohol kedykoľvek reštartovať produkčný server.

V praxi, ak niečo v Linuxe zlyhá s chybou „oprávnenie odmietnuté“, je dosť pravdepodobné, že to budete musieť spustiť s oprávneniami root. použitie sudo alebo dočasné prepnutie na superpoužívateľa pomocou su.

Príkazy sudo a su: kedy ich použiť

Keď pochopíte, že root je „vlastníkom“ systému, je čas pochopiť, ako získať tieto privilégiá z vášho bežného používateľského účtu.Dva klasické nástroje na to sú sudo y suktoré nerobia úplne to isté, hoci si ich veľa ľudí mýli.

sudo („superuser do“) sa používa na vykonanie jedného príkazu s oprávneniami iného používateľa, zvyčajne root.Neprepínate relácie, nestávate sa root „pre všetko“; iba daný konkrétny príkaz sa vykoná so zvýšenými oprávneniami. Napríklad:
sudo apt install gparted

Vždy, keď použijete sudo Systém si vyžiada vaše heslo (ak ste ho v poslednom čase nezadali).Po niekoľkých minútach nečinnosti platnosť „lístka“ sudo vyprší a budete sa musieť znova autentifikovať, čo pridáva dôležitú vrstvu zabezpečenia.

su („prepnúť používateľa“) zmení vašu identitu používateľa v rámci tej istej relácieAk ho použijete bez argumentov, stanete sa root (vyžiada si root heslo) a všetky nasledujúce príkazy budú vykonávané s týmito oprávneniami, kým neukončíte program. exit, Napríklad:
su
Contraseña:
whoami # devuelve 'root'

Môžete tiež použiť su nombreusuario prepínať z jedného používateľa na druhéhoza predpokladu, že poznáte heslo pre cieľový účet. Týmto sa úplne zmení prostredie na prostredie nového používateľa (premenné, domovatď.) sa odporúča použiť su - o su - nombreusuario.

Vo všeobecnosti sa považuje za bezpečnejšie a vhodnejšie používať sudo pre konkrétne príkazy a uchýliť sa k su iba vtedy, keď naozaj potrebujete dlhšiu root reláciu (napríklad pri úlohách obnovy alebo komplexnej údržbe).

Špecifiká root-u v Ubuntu a odvodených distribúciách

Ubuntu a mnohé distribúcie založené na Ubuntu sa riadia pomerne jasnou bezpečnostnou filozofiou: používateľ root existuje, ale je zablokovaný pre priame prihlásenie . To znamená, že po štandardnej inštalácii sa nemôžete prihlásiť ako root, či už v termináli alebo v grafickom prostredí, pomocou hesla, pretože nemá priradené žiadne heslo.

Namiesto toho sa Ubuntu rozhodne pre intenzívne používanie sudoPočas inštalácie sa vytvorí administrátorský používateľ, ktorý patrí do skupiny sudoOdtiaľ sa akákoľvek administratívna úloha vykonáva pomocou:
sudo comando

Ak potrebujete v Ubuntu „plnohodnotný“ root shell, máte niekoľko bezpečných možností.:
sudo -i # Otvorte prihlasovaciu reláciu root
sudo su - # Prepnite na root s prihlasovacím prostredím

Obe metódy vás ponechajú ako root v tomto termináli, kým neukončíte príkaz exitUvidíte, že výzva sa zvyčajne mení a končí v # namiesto $Toto je klasický znak toho, že máte oprávnenia superpoužívateľa. Je dôležité mať to na pamäti, aby ste sa vyhli vykonávaniu nebezpečných príkazov tam, kde by nemali byť.

Hoci sa to neodporúča, môžete v Ubuntu povoliť používateľa root priradením hesla. s:
sudo passwd root
Po zadaní a potvrdení nového hesla sa root „odomkne“ a bude možné ho napríklad používať su bez predchádzajúceho príkazu sudo alebo dokonca povolenia priameho prihlásenia cez TTY alebo SSH (čo sa na exponovaných serveroch dôrazne neodporúča).

Skutočné riziká neopatrného používania rootu

Pracovať ako root bez toho, aby ste presne vedeli, čo robíte, je ako cúvať s kamiónom na diaľnici: možno to pôjde, ale ak stratíte sústredenie čo i len na sekundu, bude to katastrofa . Linux je štandardne navrhnutý tak, aby bol celkom bezpečný, ale akonáhle zvýšite privilégiá, mnohé ochrany zmiznú.

Prvým hlavným rizikom je náhodné vymazanie alebo poškodenie súborového systémuPríkazy ako napríklad:
rm -rf /
rm -rf /*
alebo ešte jemnejšie konštrukcie ako napríklad:
rm -rf "$directorio"/*
Ak ich spustíte ako root a cesta nie je taká, akú si myslíte, môžu zničiť celý systém v priebehu niekoľkých sekúnd.Niekedy stačí prázdna premenná, nesprávne umiestnené lomítko alebo nesprávne umiestnený kláves Tab, aby sa zdanlivo nevinný príkaz stal katastrofa.

Druhým veľkým nebezpečenstvom je inštalácia malvéru s plnými oprávneniami . Sťahovanie a spúšťanie skriptov z internetu ako root bez toho, aby ste si pozreli kód, je ako dať kľúč od svojho domu cudzincovi. Škodlivý skript môže nainštalovať rootkity , keyloggery alebo zadné vrátka, upravovať jadro, špehovať všetko, čo robíte, a zostať dlho skrytý.

Je tiež relatívne ľahké ohroziť bezpečnosť systému manipuláciou s oprávneniami kritických súborov.Napríklad, ak spustíte niečo ako:
chmod 000 /etc -R
alebo zmeníte povolenia /boot alebo de /etc/passwd bez toho, aby si vedel, čo robíš, Môžete spôsobiť, že sa počítač nedá spustiť, alebo môžete znemožniť overenie používateľa.V mnohých prípadoch je jediným riešením použitie LiveCD alebo dokonca preinštalovanie.

Z bezpečnostného hľadiska, neustála prevádzka s oprávneniami root robí z tohto účtu jediný bod zlyhania . Ak útočník získa prístup root (hrubou silou, phishingom, malvérom atď.), má úplnú kontrolu: môže šifrovať disky, kradnúť dáta, pripojiť sa k botnetu alebo použiť váš server na útok na tretie strany. Na zmiernenie týchto rizík by ste mali preskúmať techniky posilňovania pomocou SELinuxu a iných ochranných mechanizmov.

Okrem toho intenzívne používanie koreňov sťažuje sledovateľnosť.Keď sa príkazy vykonávajú pomocou sudoSystém zaznamenáva, kto ich spustil a kedy, zatiaľ čo ak sa všetko robí ako root, nie je jasné, kto stojí za každou akciou, čo komplikuje audity a diagnostiku problémov.

Zobraziť hviezdičky pri zadávaní hesla sudo

V mnohých distribúciách (ako napríklad Ubuntu) sa pri zadávaní hesla sudo štandardne nezobrazujú žiadne bodky ani hviezdičky . Toto bolo zamýšľané ako bezpečnostné opatrenie, ktoré malo zabrániť tomu, aby niekto odvodil dĺžku vášho hesla len pohľadom na obrazovku, ale v praxi je to dosť nepraktické: píšete a zdá sa, že sa nič nedeje.

Sudo už nejaký čas umožňuje aktiváciu správania nazývaného pwfeedbackPre každý napísaný znak zobrazí hviezdičku. Neodhalí vaše heslo, ale potvrdí, že klávesnica reaguje, a pomôže vám odhaliť preklepy.

Ak ho chcete aktivovať, musíte upraviť konfiguráciu sudo pomocou nástroja Secure. visudoToto overí syntax pred uložením, aby ste predišli strate privilégií sudo kvôli hlúpej chybe. Kroky by boli nasledovné:

1. Otvorte nastavenia sudo:
sudo visudo

2. Pridajte riadok:
Defaults pwfeedback

3. Uložte a zatvorte editor

Od tej chvíle sa pri každom zadaní hesla sudo zobrazia hviezdičky.Ak sa kedykoľvek chcete vrátiť k pôvodnému správaniu, jednoducho odstráňte daný riadok pomocou príkazu `return`. visudo.

Zakázať alebo zablokovať root účet

V prostrediach, kde má viacero ľudí prístup k tomu istému počítaču, sa heslo root môže ľahko zneužiť . Ak toto heslo pozná príliš veľa ľudí, je len otázkou času, kedy niekto spôsobí (alebo utrpí) veľký problém. Veľmi rozumným riešením je zakázať účet root a používať iba príkaz sudo.

Keď uzamknete root účet, zabránite používateľom v priamom prihlásení ako tento používateľ. a tiež zabránite jeho použitiu su Ak chcete získať root prístup pomocou hesla. Avšak Autorizovaní používatelia budú môcť naďalej používať sudo vykonávať privilegované rozkazy.

Ak chcete uzamknúť root účet v mnohých distribúciách, jednoducho spustite:
sudo passwd -l root

Tento príkaz „zmrazí“ heslo root, takže ho nemožno použiťAk ho budete potrebovať neskôr znova aktivovať, budete si musieť nastaviť nové heslo, napríklad:
sudo passwd root

Obnovte alebo zmeňte svoje root heslo, ak ste ho stratili

Ak ste zabudli heslo root alebo ste si zablokovali účet a potrebujete ho obnoviť, nie je všetko stratené . Linux ponúka niekoľko spôsobov, ako ho obnoviť, zvyčajne spustením systému v špeciálnom režime alebo použitím LiveCD.

Veľmi častou možnosťou je vykonať to z GRUBu pomocou režimu obnovenia . Mnoho distribúcií má položku „Rozšírené možnosti“, kde si môžete vybrať „Režim obnovenia“. Jeho výberom sa načíta obmedzené prostredie s možnosťami záchrany.

Ak zvolíte možnosť získania root konzoly v režime obnovy , štandardný postup je zvyčajne nasledovný:

1. Pripojte súborový systém s oprávneniami na zápis:
mount -o rw,remount /

2. Nastavte nové heslo pre root:
passwd root

3. Synchronizujte údaje a reštartujte, aby sa zmeny prejavili:
sync
reboot

Druhým hlavným spôsobom je bootovanie z LiveCD alebo LiveUSB linuxovej distribúcie (napríklad Ubuntu v režime „Vyskúšať bez inštalácie“) a práca na nainštalovanom systéme zvonku.

V typickom scenári s LiveCD by kroky boli nasledovné :

1. Otvorte terminál a získajte dočasný root shell:
sudo su

2. Identifikujte oddiel, ktorý obsahuje váš systém Linux, pomocou niečoho ako:
fdisk -l

3. Pripojte daný oddiel do pracovného adresára (napríklad pomocou /dev/sda1):
mkdir /mnt/recover
mount /dev/sda1 /mnt/recover

4. Zmeňte koreňový adresár systému na adresár pripojený pomocou chroot:
chroot /mnt/recover

5. Odtiaľ použite passwd root nastaviť nové heslo a po odhlásení a reštartovaní sa budete môcť znova normálne prihlásiť.

Súbor /etc/sudoers a ako doladiť root oprávnenia

Jedným z najsilnejších (a najcitlivejších) aspektov správy koreňových adresárov je súbor /etc/sudoers, kde je definované, kto môže používať sudoTu si môžete podrobne prispôsobiť prístup so zvýšenými oprávneniami a určiť, kde a ktoré príkazy sa majú vykonať.

Veľmi dôležité: nikdy neupravujte /etc/sudoers priamo s akýmkoľvek editoromVždy používajte:
sudo visudo
pretože tento nástroj Pred uložením skontrolujte syntaxChyba v tomto súbore vám môže zabrániť v používaní príkazu sudo a s visudo Minimalizujete toto riziko.

Typický obsah /etc/sudoers čistý Ubuntu obsahuje riadky podobné tomuto:
root ALL=(ALL:ALL) ALL
%sudo ALL=(ALL:ALL) ALL

Prvý označuje, že používateľ root môže vykonať ľubovoľný príkaz na ľubovoľnom hostiteľovi ako ľubovoľný používateľ a skupina.Druhý robí to isté, ale pre všetkých používateľov v skupine. sudoTýmto spôsobom má ktokoľvek v tejto skupine úplnú moc prostredníctvom sudo.

Pre pokročilejšie konfigurácie vám sudoers umožňuje definovať aliasy pre používateľov, príkazy a skupiny vykonávania , napríklad:

User_Alias ADMINES = pepe, perico, andres
Cmnd_Alias POWER = /sbin/shutdown, /sbin/halt, /sbin/reboot, /sbin/restart
Runas_Alias WEB = www-data, apache

S týmito definíciami by ste mohli napríklad dať ADMINES povolenie na vypnutie alebo reštartovanie systému bez hesla. s pravidlom ako:
ADMINES ALL = NOPASSWD: POWER

Štítky ako NOPASSWD Umožňujú vám vykonávať určité príkazy pomocou sudo bez nutnosti zadávať heslo.Toto je veľmi užitočné v automatizovaných skriptoch, integráciách s inými systémami alebo osobných počítačoch, kde ste jediným používateľom.

Pre zaujímavosť existuje možnosť tzv. insults že ak to pridáte do riadkov DefaultsSudo vás pri každom zadaní nesprávneho hesla „urazí“ v angličtine.Nezlepší to bezpečnosť, ale aspoň vám to vyčarí úsmev na tvári uprostred práce.

Používanie root-u na správu súborov a oprávnení z terminálu

V praxi sa veľká časť používania root-u zameriava na správu súborov a oprávnení prostredníctvom terminálu . S oprávneniami superpoužívateľa sa môžete pohybovať v celom súborovom systéme a upravovať čokoľvek, čo potrebujete, pričom vždy postupujte s mimoriadnou opatrnosťou.

Niektoré základné príkazy, ktoré sa stávajú obzvlášť citlivými ako root, sú:

ls: zobrazí zoznam súborov a adresárov. Ako root uvidíte dokonca aj súbory, ktoré ostatní používatelia nemôžu zobraziť.

cp y mvNa kopírovanie a presúvanie súborov alebo adresárov použite príkaz `sudo`. Napríklad môžete použiť `sudo` na presunutie písma z... Descargas hore /usr/share/fonts/ aby bol dostupný pre celý systém.

rm: vymaže súbory a priečinky. V kombinácii s -r y -f Je to extrémne nebezpečné, ak ho používate ako root bez riadnej kontroly cesty.

chmod y chownTieto nastavenia menia povolenia a vlastníctvo. Sú nevyhnutné na udelenie prístupu k súborom konkrétnym používateľom, ale zneužitie môže systém znehodnotiť alebo znefunkčniť.

Typický príklad použitia root oprávnení na inštaláciu systémového písma by bol :

sudo cp ~/Descargas/Underdog.ttf /usr/share/fonts/
sudo chmod 644 /usr/share/fonts/Underdog.ttf

režim 644 Znamená to, že vlastník (root) môže čítať a zapisovať, zatiaľ čo skupina a ostatní používatelia môžu iba čítať., dostatočne na to, aby písmo fungovalo, ale bez umožnenia náhodných zmien.

Najlepšie postupy pri práci s root, sudo a su

Prácu s oprávneniami superpoužívateľa by ste nemali brať na ľahkú váhu . Existuje niekoľko pokynov, ktoré vám, ak im porozumiete, ušetria veľa problémov:

Minimalizujte čas strávený ako root. USA sudo comando Vždy, keď je to možné, sa vyhnite otváraniu trvalej root relácie. Čím menej času strávite s plnými oprávneniami, tým je menej pravdepodobné, že urobíte chybu.

Za každú cenu sa vyhnite spúšťaniu skriptov z pochybných zdrojov pomocou príkazu `sudo` . Ak si stiahnete skript z internetu a prvá vec, ktorú uvidíte, je „spustite to pomocou `sudo`“, otvorte ho v textovom editore a pozorne si ho prečítajte. Ak nerozumiete, čo robí, nespúšťajte ho.

Na experimentovanie používajte testovacie prostredia (virtuálne počítače, kontajnery) . Ak sa chystáte na konfigurácie citlivé na dotyk, testovať agresívne príkazy alebo spúšťať nejasné skripty, urobte to najprv na systéme, ktorý môžete bezpečne prelomiť. Návody na bezpečnú virtualizáciu nájdete v článku o virtuálnych počítačoch a kontajneroch.

Podrobná konfigurácia sudo, keď je viacero správcovNie je to to isté pre používateľa, ktorý potrebuje iba reštartovať službu, ako pre niekoho, kto potrebuje úplnú kontrolu. Použite /etc/sudoers obmedziť, čo môže každý človek urobiť.

Monitorovanie protokolov overovania (/var/log/auth.log o journalctlToto vám umožňuje vidieť, kto používa sudo, odkiaľ a s akými príkazmi. Je to jednoduchý spôsob, ako odhaliť nezvyčajné správanie alebo zneužívanie privilégií.

Neprehliadajte internet, neotvárajte prílohy ani nespúšťajte desktopové aplikácie ako root . Ak dôjde k napadnutiu grafickej aplikácie, keď ju spúšťate ako superpoužívateľ, útočník vyhrá.

Stručne povedané, root v Linuxe je neuveriteľne mocný nástroj, s ktorým treba zaobchádzať opatrne . Pochopenie jeho účelu, kedy použiť `sudo` alebo `su`, ako obnoviť alebo uzamknúť účet a ako nakonfigurovať `sudo` vám umožní bezpečne a s istotou spravovať váš systém a naplno využívať flexibilitu GNU/Linuxu bez toho, aby ste riskovali svoj život pri každom otvorení terminálu.