Ako spúšťať programy ako root z launcheru v Linuxe

Informatec Digital » Linux » Ako spúšťať programy ako root z launcheru v Linuxe

V systéme Windows je veľa ľudí zvyknutých stlačením klávesov Shift+Enter alebo Shift+kliknutie ľavým tlačidlom myši na otvorenie programu so zvýšenými oprávneniami z ponuky Štart. V systéme Linux to nie je vždy jednoduché, pretože zabezpečenie sa spolieha na root, sudo a grafických pomocníkov a každé desktopové prostredie má svoje vlastné nástroje. Napriek tomu existujú pomerne jednoduché spôsoby, ako spustiť aplikácie ako root zo spúšťača, zástupcu alebo ponuky aplikácií, hoci je dôležité pochopiť, čo to obnáša.

Kľúčom je, že používateľ root má absolútnu kontrolu nad systémom a moderné distribúcie, najmä Ubuntu a jeho deriváty, zvyčajne zakazujú priame prihlásenie. Preto nie je bežné prihlasovať sa ako root, ale skôr občas zvyšovať privilégiá pomocou príkazu `sudo` alebo grafického programu, ktorý si vyžiada heslo. Ak chceme, aby ikona spúšťača spúšťala aplikáciu s týmito privilégiami, budeme musieť upraviť príkaz, ktorý vykonáva, alebo vytvoriť špecifický spúšťač.

Čo to vlastne znamená spúšťať niečo ako root?

V Linuxe je root účet s UID 0 a neobmedzenými oprávneniami . Môže čítať, upravovať alebo mazať ľubovoľný súbor, inštalovať softvér, meniť konfigurácie jadra a ovládať procesy patriace ľubovoľnému používateľovi. Vďaka tomu je to neuveriteľne mocný nástroj, ale zároveň predstavuje obrovské riziko, ak sa používa neopatrne. Jednoduchý preklep s `rm` alebo `mv` môže systém znefunkčniť a škodlivý skript spustený ako root môže nainštalovať zadné vrátka, upraviť bezpečnostné opatrenia alebo ukradnúť dáta prakticky bez stopy.

V Ubuntu nemá root účet predvolené heslo a priame prihlásenie nie je povolené. Filozofia spočíva v tom, že pracujete s bežným používateľským účtom a na špecifické úlohy používate príkaz `sudo` . `sudo` v podstate znamená spustenie príkazu ako iný používateľ, zvyčajne root, po overení pomocou vlastného hesla, ak patríte do skupiny `sudo`. Toto obmedzuje čas, počas ktorého ste vystavení riziku, a uchováva záznamy o tom, kto čo urobil.

Avšak vo veľmi špecifických situáciách, ako je obnova poškodeného systému, práca v obmedzenom prostredí alebo konfigurácia služieb, ktoré vyžadujú trvalý prístup, môžete zvážiť dočasné povolenie root oprávnení. Všeobecné odporúčanie je znova ho vypnúť hneď, ako to bude potrebné. Čím menej času strávite ako root oprávnenie, tým lepšie pre stabilitu a bezpečnosť počítača.

Riziká používania rootu bez opatrnosti

Jedným z najzrejmejších nebezpečenstiev je náhodné vymazanie dôležitých súborov . Ako root neexistujú žiadne obmedzenia oprávnení; príkaz ako `sudo rm -rf /` môže vymazať systém bez varovania. Pre tieto vymazania zvyčajne neexistuje ani kôš, takže obnova môže vyžadovať zložité forenzné nástroje alebo dokonca úplnú preinštaláciu systému.

Ďalším rizikom je spúšťanie nedôveryhodných skriptov. Ak spustíte kód stiahnutý z akejkoľvek stránky so zvýšenými oprávneniami, v podstate mu dávate kľúče od svojho domu . Aj keď sa skript zdá neškodný, môže obsahovať deštruktívne inštrukcie alebo inštalovať malvér s oprávneniami root. Preto je vhodné pred spustením v produkčnom prostredí skontrolovať kód, použiť oficiálne zdroje, skontrolovať kontrolné súčty a otestovať ho vo virtuálnom počítači alebo kontajneri.

Existuje tiež problém so sledovateľnosťou. Keď použijete príkaz `sudo`, systém zaznamená príkaz, používateľa, ktorý ho vydal, a čas vykonania príkazu `/var/log/auth.log`, `/var/log/secure` alebo `journalctl` . Ak sa prihlásite priamo ako root, všetko sa zobrazí ako root a stratíte možnosť vedieť, ktorá osoba vykonala každú zmenu. V prostrediach s viacerými správcami alebo s normami ISO 27001, PCI DSS alebo inými audítorskými štandardmi je tento nedostatok sledovateľnosti významnou slabinou.

Spôsoby získania privilégií z terminálu

Najbežnejším a najodporúčanejším spôsobom je pred konkrétny príkaz uviesť reťazec `sudo`. Napríklad, ak chcete aktualizovať balíky, reštartovať službu alebo upraviť chránený súbor, príkaz `sudo` si vyžiada vaše používateľské heslo, nie heslo root, a po overení vašej totožnosti vykoná príkaz so zvýšenými oprávneniami. Ak ho potrebujete spustiť ako iný používateľ, môžete použiť príkaz `sudo -u username command` . A ak si uvedomíte, že ste zabudli použiť príkaz `sudo`, môžete posledný príkaz zopakovať pomocou príkazu `sudo !! `.

Keď sa chystáte vykonať niekoľko administrátorských úloh za sebou, môže byť vhodné otvoriť dočasný root shell. `sudo -i` simuluje úplné prihlásenie root, načíta root prostredie a umiestni vás do domovského adresára. Fungujú aj `sudo su` alebo `sudo su -` , hoci `sudo -i` je zvyčajne spoľahlivejšie. Ak chcete túto reláciu ukončiť, jednoducho napíšte `exit`. Neodporúča sa nechávať root shell otvorený bez dozoru.

Príkaz `su` na druhej strane prepína používateľov. `su - root` alebo jednoducho `su -` tiež preberá premenné prostredia cieľového používateľa, zatiaľ čo `su root` alebo `su` bez pomlčky si zachováva časť predchádzajúceho prostredia. Tento rozdiel vysvetľuje chyby ako `command not found`: administrátorské príkazy sa zvyčajne nachádzajú v `/usr/local/sbin`, `/usr/sbin` a `/sbin`, čo sú cesty, ktoré sa nie vždy zobrazujú v ceste bežného používateľa. Ak použijete `su` bez pomlčky, budete musieť zadať celú cestu alebo prepnúť na `su -`, aby ste zdedili koreňovú cestu PATH.

Ak chcete povoliť heslo pre roota, môžete tak urobiť pomocou príkazu `sudo passwd root` . Ubuntu to neodporúča, ale technicky povoľuje rootovi mať heslo. Na uzamknutie účtu použite `sudo passwd -l root` a na jeho odomknutie použite `sudo passwd -u root`. V SSH je priamy prístup roota riadený príkazom `PermitRootLogin` v `/etc/ssh/sshd_config`. Najbezpečnejšie je ponechať ho nastavený na `no` alebo nanajvýš `prohibit-password`, aby boli povolené iba heslá SSH. Potom musíte reštartovať službu SSH.

Presne nakonfigurujte svetre

Súbor `/etc/sudoers` definuje, kto môže používať `sudo` a na aký účel. Najlepšie je ho manuálne neupravovať; správny prístup je použiť `sudo visudo` , ktorý súbor uzamkne a pred uložením skontroluje syntax. Základné pravidlo má tvar `host user=(target_user)`. Napríklad `bob ALL=(ALL) ALL` umožňuje `bob` vykonať ľubovoľný príkaz ako root na ľubovoľnom počítači. Možno použiť aj skupiny, napríklad `%admin ALL=(ALL) ALL`.

Na udelenie presnejších oprávnení sa používajú aliasy. `User_Alias ​​​​ADMINS = alice, bob` zoskupuje používateľov a `Cmnd_Alias ​​​​LOCATE = /usr/sbin/updateddb` zoskupuje príkazy. Potom sa použije `ADMINS ALL = LOCATE`, aby títo používatelia mohli vykonávať iba tieto príkazy. Aliasy ako `NETWORKING` je možné vytvoriť pre príkazy ako `route`, `ifconfig`, `ping`, `iptables` atď. Týmto sa uplatňuje princíp najnižších privilégií bez udelenia úplného root prístupu komukoľvek.

Možnosť NOPASSWD umožňuje spúšťať určité príkazy bez hesla, napríklad `pi ALL=(ALL)`. NOPASSWD: ALL. Toto je pohodlné, ale nebezpečné, ak sa to zneužije. Okrem toho sa každé použitie príkazu `sudo` zaznamenáva, čo pomáha pri audite prístupu a riešení problémov. Ak sa niečo pokazí, kontrola týchto protokolov môže naznačiť, ktorá nedávna zmena spôsobila zlyhanie.

Spúšťanie grafických aplikácií ako root z launcheru

Pre programy s grafickým rozhraním zvyčajne nefunguje jednoduché použitie príkazu `sudo`, pretože neexistuje terminál, ktorý by vyzýval na zadanie hesla. Tu prichádzajú na rad grafickí pomocníci . V KDE existuje `kdesu` : ak viete, ktorý príkaz spúšťa aplikáciu, môžete spustiť `kdesu that_command`. Možnosť `Spustiť príkaz` v ponuke KDE vám tiež umožňuje spustiť aplikáciu ako iný používateľ zadaním jeho prihlasovacích údajov. V prostrediach GNOME a GTK sa bežne používali `gksu` a `gksudo` ; ide o rozhrania pre `sudo` alebo `su`. Napríklad `gksu synaptic` alebo `gksudo gparted` otvorí aplikáciu a vyžiada si heslo.

V moderných systémoch sa gksu buď neodporúča, alebo sa považuje za zastaraný. Jeho obvyklou alternatívou je pkexec , založený na PolicyKite, ktorý umožňuje programom spúšťať sa s oprávneniami podľa definovaných politík. Mnoho súčasných spúšťačov používa pkexec na administratívne úlohy. Myšlienka je rovnaká: používateľ nemusí otvárať terminál, ale systém overuje autorizáciu kontrolovaným spôsobom.

Ak chcete v spúšťači vytvoriť skratku, upravte súbor .desktop . Kľúčom je riadok `Exec`. Ak chcete, aby sa spúšťal ako root, môžete použiť niečo ako `Exec=gksu /cesta/k/programu`, `Exec=kdesu /cesta/k/programu` alebo `Exec=pkexec /cesta/k/programu`. Ak používate priamo `sudo`, budete potrebovať, aby spúšťač mal `Terminal=true` alebo nakonfiguroval grafický askpass. Môžete tiež skúsiť stlačiť Alt+F2 a zadať pomocníka a názov programu, napríklad `gksu synaptic`. V KDE podobnú funkciu vykonáva `kdesu synaptic` alebo možnosť spustiť ako iný používateľ.

Existuje klasická alternatíva s názvom consolehelper , čo je obal pre aplikácie s grafickým používateľským rozhraním. Vytvoríte symbolický odkaz, napríklad /usr/bin/xterm-root, ktorý smeruje na /usr/sbin/consolehelper. Potom nakonfigurujete PAM vytvorením /etc/pam.d/xterm-root s zahrnutím auth, account a session z config-util. Ďalej definujete /etc/security/console.apps/xterm-root s USER=root a PROGRAM=/usr/bin/xterm. Keď spustíte xterm-root, consolehelper zobrazí výzvu na autentifikáciu PAM a spustí xterm ako root. Ak sa vyskytne chyba „Xlib connection to :0.0 refused by server“ (Pripojenie Xlib k :0.0 odmietnuté serverom), spustenie xhost local:root by mohlo pomôcť.

V každom prípade má otváranie grafických aplikácií ako root nevýhody: mieša premenné prostredia, môže prerušiť zbernicu relácie, ovplyvniť Wayland alebo X11 a vytvoriť súbory vlastnené root-om vo vašom domovskom adresári. Najlepšie je používať ho iba pre špecifické administrátorské nástroje a zatvoriť ich hneď po dokončení. Neprehliadajte internet ani neotvárajte podozrivé dokumenty ako root , pretože akýkoľvek exploit by zdedil plné privilégiá.

Bežné príklady úloh, ktoré vyžadujú root prístup

Mnohé každodenné operácie vyžadujú zvýšené privilégiá. Správa balíkov pomocou apt, zypper, dnf alebo yum často vyžaduje sudo. Napríklad `sudo apt update` , `sudo apt install firefox` alebo `sudo zypper install docker-ce`. To isté platí pre systémové služby: `sudo systemctl restart apache2`, `sudo systemctl restart ssh` alebo `sudo systemctl restart nginx`. Na úpravu používateľských účtov použite `sudo usermod` a na zmenu vlastníctva súborov použite `sudo chown`. Úprava kritických konfigurácií, ako napríklad `/etc/ssh/sshd_config`, tiež vyžaduje root privilégiá, ak sa vykonáva pomocou nano, vim alebo gedit.

Pre príkazy, ktoré iba čítajú informácie alebo nemenia systém, ako napríklad `zypper repos` alebo `systemctl status NetworkManager`, nepotrebujete `sudo`. Používanie `sudo` pre všetko zo zvyku je zlý postup. Rozumné je zvyšovať privilégiá iba vtedy, keď to úloha vyžaduje , a potom čo najskôr prepnúť späť na bežného používateľa.

Najlepšie postupy pri práci so zvýšenými oprávneniami

Všetko by sa malo riadiť princípom najnižších privilégií. Vždy, keď je to možné, používajte pre jednotlivé príkazy príkaz `sudo`, vyhýbajte sa trvalým root shellom, pokiaľ to nie je absolútne nevyhnutné, a po dokončení programu ukončite program. Nespúšťajte skripty z neznámych zdrojov ako root; vopred si kód skontrolujte, stiahnite si ho z oficiálnych repozitárov alebo renomovaných projektov, overte kontrolné súčty a ak máte akékoľvek pochybnosti, otestujte ho v izolovanom prostredí. Zdravá dávka skepticizmu je cnosťou pri práci s kódom tretej strany, ktorý má plné privilégiá.

Taktiež je vhodné konfigurovať príkazy sudo granulárne, nespoliehať sa výlučne na skupinu sudo pre všetko a udržiavať auditované protokoly. Ak spravujete servery, skontrolujte `/var/log/auth.log`, `/var/log/secure` alebo `journalctl -xe`, aby ste zistili zneužitie. V prostrediach s viacerými používateľmi je znalosť toho, kto vykonal každý príkaz, kľúčová pre zodpovednosť a dodržiavanie bezpečnostných predpisov.

Povoliť a zakázať root s head

Ak sa rozhodnete povoliť root prístup, priraďte heslo pomocou príkazu `sudo passwd root`, používajte ho iba na nevyhnutné úlohy a potom účet znova uzamknite. Ak chcete zakázať priame prihlásenie cez SSH, upravte súbor `sshd_config` a nastavte hodnotu `PermitRootLogin no` alebo `prohibit-password` a potom reštartujte SSH. Ak chcete účet lokálne uzamknúť, použite príkaz `sudo passwd -l root`. Ak ho chcete odomknúť, použite príkaz `sudo passwd -u root`. Tieto opatrenia znižujú plochu útoku a zabraňujú útokom hrubou silou proti najsilnejšiemu účtu.

Vo väčšine prípadov je praktická odpoveď na úvodnú otázku áno: program môžete spustiť zo spúšťača s oprávneniami root pomocou grafického pomocníka, ako je kdesu, gksu, gksudo alebo pkexec, alebo vytvorením súboru .desktop pomocou príslušného príkazu. Toto však nie je niečo, čo by ste mali nechať nastavené pre hocijakú aplikáciu. Je lepšie mať špecifické administrátorské spúšťače s jasnými názvami a používať ich iba v prípade potreby.

Hlavným poznatkom je, že root nie je hračka a sudo existuje práve preto, aby vám poskytol oprávnenia bez toho, aby každé kliknutie premieňalo na trvalé riziko. Ak potrebujete spustiť grafickú aplikáciu ako superpoužívateľ, uprednostnite pomocníkov, ktorí vyžadujú heslo, overte si, či ho aplikácia skutočne potrebuje, a obmedzte jeho používanie na administratívne úlohy. Takto si môžete vychutnať pohodlie spúšťača bez toho, aby ste obetovali bezpečnosť, ktorá robí Linux takým silným.