Hur man kör program som root från startprogrammet i Linux

Informatec Digital » Linux » Hur man kör program som root från startprogrammet i Linux

I Windows är många vana vid att trycka på Shift+Enter eller Shift+vänsterklicka för att öppna ett program med utökade behörigheter från Start-menyn. I Linux är detta inte alltid enkelt, eftersom säkerheten är beroende av root, sudo och grafiska hjälpprogram , och varje skrivbordsmiljö har sina egna verktyg. Ändå finns det ganska enkla sätt att starta program som root från en startprogramvara, en genväg eller programmenyn, även om det är viktigt att förstå vad det innebär.

Nyckeln är att root-användaren har absolut kontroll över systemet , och moderna distributioner, särskilt Ubuntu och dess derivat, inaktiverar vanligtvis direkt inloggning. Därför är det inte vanligt att logga in som root, utan snarare att man då och då utökar behörigheterna med hjälp av `sudo` eller ett grafiskt program som frågar efter lösenordet. Om vi ​​vill att en startikon ska starta en app med dessa behörigheter måste vi ändra kommandot den kör eller skapa en specifik start.

Vad innebär det egentligen att köra något som root?

I Linux är root ett konto med UID 0 och obegränsade behörigheter . Det kan läsa, ändra eller ta bort valfri fil, installera programvara, ändra kärnkonfigurationer och kontrollera processer som tillhör valfri användare. Detta gör det till ett otroligt kraftfullt verktyg, men också en stor risk om det används slarvigt. Ett enkelt stavfel med `rm` eller `mv` kan göra systemet oanvändbart, och ett skadligt skript som körs som root kan installera bakdörrar, modifiera säkerhetsåtgärder eller stjäla data praktiskt taget utan spår.

I Ubuntu har root-kontot inget standardlösenord och direkt inloggning är inte tillåten. Filosofin är att du arbetar med ditt vanliga användarkonto och använder `sudo` för specifika uppgifter . `sudo` betyder i huvudsak att köra ett kommando som en annan användare, vanligtvis root, efter att ha autentiserat med ditt eget lösenord om du tillhör `sudo`-gruppen. Detta begränsar hur länge du är exponerad och håller reda på vem som gjorde vad.

I mycket specifika situationer, som att återställa ett skadat system, arbeta i begränsade miljöer eller konfigurera tjänster som kräver permanent åtkomst, kan du dock överväga att aktivera root tillfälligt. Den allmänna rekommendationen är att inaktivera det igen så snart behovet uppstår. Ju mindre tid du tillbringar som root, desto bättre för maskinens stabilitet och säkerhet.

Risker med att använda root utan försiktighet

En av de mest uppenbara farorna är oavsiktlig radering av viktiga filer . Som root finns inga behörighetsbegränsningar; ett kommando som `sudo rm -rf /` kan radera systemet utan förvarning. Det finns vanligtvis inte heller någon papperskorg för dessa raderingar, så återställning kan kräva komplexa forensiska verktyg eller till och med en fullständig ominstallation av systemet.

En annan risk är att köra otillförlitliga skript. Om du kör kod som laddats ner från en webbplats med förhöjda rättigheter ger du den i princip nycklarna till ditt hus . Även om skriptet verkar ofarligt kan det innehålla destruktiva instruktioner eller installera skadlig kod med root-behörighet. Därför är det lämpligt att granska koden, använda officiella källor, kontrollera kontrollsummor och testa den i en virtuell maskin eller container innan du kör den i produktion.

Det finns också ett spårbarhetsproblem. När du använder `sudo` loggar systemet kommandot, användaren som utfärdade det och tiden till `/var/log/auth.log`, `/var/log/secure` eller `journalctl` . Om du loggar in direkt som root visas allt som root och du förlorar möjligheten att veta vilken individ som gjorde varje ändring. I miljöer med flera administratörer eller ISO 27001, PCI DSS eller andra revisionsstandarder är denna brist på spårbarhet en betydande svaghet.

Sätt att få behörigheter från terminalen

Det vanligaste och mest rekommenderade sättet är att föregå ett specifikt kommando med `sudo`. Till exempel, för att uppdatera paket, starta om en tjänst eller redigera en skyddad fil, kommer `sudo` att be om ditt användarlösenord, inte root-lösenordet, och efter att ha autentiserat dig kommer det att köra kommandot med förhöjda rättigheter. Om du behöver köra det som en annan användare kan du använda `sudo -u username command` . Och om du inser att du glömde att använda `sudo` kan du upprepa det sista kommandot med `sudo!! `.

När du ska utföra flera administrativa uppgifter i rad kan det vara praktiskt att öppna ett tillfälligt rotskal. `sudo -i` simulerar en fullständig root-inloggning, laddar rotmiljön och placerar dig i hemkatalogen. `sudo su` eller `sudo su -` fungerar också, även om `sudo -i` vanligtvis är mer tillförlitligt. För att avsluta den här sessionen, skriv helt enkelt `exit`. Det är inte lämpligt att lämna ett rotskal öppet utan uppsikt.

Kommandot `su`, å andra sidan, växlar användare. `su-root` eller helt enkelt `su-` använder också miljövariablerna för målanvändaren, medan `su root` eller `su` utan bindestreck behåller en del av den tidigare miljön. Denna skillnad förklarar fel som `kommandot hittades inte`: ​​administrativa kommandon finns vanligtvis i `/usr/local/sbin`, `/usr/sbin` och `/sbin`, sökvägar som inte alltid visas i en vanlig användares PATH. Om du använder `su` utan bindestreck måste du skriva hela sökvägen eller växla till `su-` för att ärva rotens PATH.

Om du vill aktivera ett lösenord för root kan du göra det med `sudo passwd root` . Ubuntu avråder från detta, men tillåter tekniskt sett att root har ett lösenord. För att låsa kontot, använd `sudo passwd -l root` , och för att låsa upp det, använd `sudo passwd -u root`. I SSH styrs direkt root-åtkomst av `PermitRootLogin` i `/etc/ssh/sshd_config`. Det är säkrast att hålla den inställd på `no` eller, som mest, `prohibit-password` för att endast tillåta SSH-lösenord. Efteråt måste du starta om SSH-tjänsten.

Konfigurera tröjorna noggrant

Filen `/etc/sudoers` definierar vem som kan använda `sudo` och för vilket ändamål. Det är bäst att inte redigera den manuellt; det korrekta tillvägagångssättet är att använda `sudo visudo` , vilket låser filen och kontrollerar syntaxen innan den sparas. Grundregeln har formen `host user=(target_user)`. Till exempel tillåter `bob ALL=(ALL) ALL` `bob` att köra vilket kommando som helst som root på vilken maskin som helst. Grupper kan också användas, till exempel `%admin ALL=(ALL) ALL`.

För att ge bättre behörigheter används alias. `User_Alias ​​​​ADMINS = alice, bob` grupperar användare och `Cmnd_Alias ​​​​LOCATE = /usr/sbin/updatedb` grupperar kommandon. Sedan används `ADMINS ALL = LOCATE` så att dessa användare bara kan utföra dessa kommandon. Alias ​​som `NETWORKING` kan skapas för kommandon som `route`, `ifconfig`, `ping`, `iptables`, etc. Detta tillämpar principen om minsta behörighet utan att ge fullständig root-åtkomst till någon.

Alternativet NOPASSWD låter dig köra vissa kommandon utan lösenord, till exempel `pi ALL=(ALL)`. NOPASSWD: ALL. Detta är bekvämt, men farligt om det missbrukas. Dessutom loggas varje användning av `sudo`, vilket hjälper till att granska åtkomst och felsöka problem. Om något går sönder kan en granskning av dessa loggar indikera vilken senaste ändring som orsakade felet.

Starta grafiska applikationer som root från startprogrammet

För program med grafiskt gränssnitt fungerar det vanligtvis inte bra att bara använda `sudo` eftersom det inte finns någon terminal som frågar efter lösenordet. Det är här grafiska hjälpmedel kommer in . I KDE finns `kdesu` : om du vet vilket kommando som startar programmet kan du köra `kdesu that_command`. Alternativet `Kör kommando` i KDE-menyn låter dig också starta ett program som en annan användare genom att ange deras inloggningsuppgifter. I GNOME- och GTK-miljöer användes `gksu` och `gksudo` ofta ; dessa är gränssnitt för `sudo` eller `su`. Till exempel öppnar `gksu synaptic` eller `gksudo gparted` appen och frågar efter lösenordet.

I moderna system avråds eller föråldras gksu. Dess vanliga alternativ är pkexec , baserat på PolicyKit, vilket tillåter program att köras med behörigheter enligt definierade policyer. Många nuvarande startprogram använder pkexec för administrativa uppgifter. Idén är densamma: användaren behöver inte öppna en terminal, men systemet validerar auktoriseringen på ett kontrollerat sätt.

För att skapa en genväg i startprogrammet redigerar du en .desktop -fil . Raden `Exec` är nyckeln. Om du vill att den ska köras som root kan du använda något i stil med `Exec=gksu /path/to/program`, `Exec=kdesu /path/to/program` eller `Exec=pkexec /path/to/program`. Om du använder `sudo` direkt behöver du att startprogrammet har `Terminal=true` eller konfigurerar ett grafiskt askpass. Du kan också prova att trycka på Alt+F2 och skriva hjälpkommandot och programnamnet, till exempel `gksu synaptic`. I KDE utför `kdesu synaptic` eller alternativet att köra som en annan användare en liknande funktion.

Det finns ett klassiskt alternativ som kallas consolehelper , en wrapper för GUI-applikationer. Du skapar en symbolisk länk, till exempel /usr/bin/xterm-root som pekar på /usr/sbin/consolehelper. Sedan konfigurerar du PAM genom att skapa /etc/pam.d/xterm-root med inkluderingarna auth, account och session från config-util. Därefter definierar du /etc/security/console.apps/xterm-root med USER=root och PROGRAM=/usr/bin/xterm. När du kör xterm-root frågar consolehelper efter PAM-autentisering och startar xterm som root. Om du stöter på felet "Xlib connection to :0.0 refused by server" kan det hjälpa att köra xhost local:root.

I vilket fall som helst har det nackdelar att öppna grafiska applikationer som root: det blandar miljövariabler, kan förstöra sessionsbussen, påverka Wayland eller X11 och skapa root-ägda filer i din hemkatalog. Det är bäst att bara använda det för specifika administrativa verktyg och stänga dem så snart du är klar. Surfa inte på internet eller öppna misstänkta dokument som root , eftersom alla exploiter skulle ärva fullständiga rättigheter.

Vanliga exempel på uppgifter som kräver root-åtkomst

Många vardagliga operationer kräver utökade rättigheter. Att hantera paket med apt, zypper, dnf eller yum kräver ofta sudo. Till exempel `sudo apt update` , `sudo apt install firefox` eller `sudo zypper install docker-ce`. Detsamma gäller systemtjänster: `sudo systemctl restart apache2`, `sudo systemctl restart ssh` eller `sudo systemctl restart nginx`. För att ändra användarkonton, använd `sudo usermod` och för att ändra filägarskap, använd `sudo chown`. Redigering av kritiska konfigurationer, såsom `/etc/ssh/sshd_config`, kräver också root-behörighet om det görs med nano, vim eller gedit.

Du behöver inte `sudo` för kommandon som bara läser information eller inte modifierar systemet, såsom `zypper repos` eller `systemctl status NetworkManager`. Att använda `sudo` för allt av vana är dålig praxis. Det kloka är att bara höja behörigheterna när uppgiften kräver det och sedan byta tillbaka till den vanliga användaren så snart som möjligt.

Bästa praxis vid arbete med utökade rättigheter

Principen om minsta möjliga behörighet bör vägleda allt. Använd `sudo` för individuella kommandon när det är möjligt, undvik ihållande rootshells om det inte är absolut nödvändigt och avsluta så snart du är klar. Kör inte skript från okända källor som root; granska koden i förväg, ladda ner från officiella arkiv eller välrenommerade projekt, verifiera kontrollsummor och testa i en isolerad miljö om du är osäker. En hälsosam dos skepticism är en dygd när man hanterar tredjepartskod som har fullständiga behörigheter.

Det är också lämpligt att konfigurera sudoer-program noggrant, inte enbart förlita sig på sudo-gruppen för allt, och att hålla loggar granskade. Om du administrerar servrar, kontrollera `/var/log/auth.log`, `/var/log/secure` eller `journalctl -xe` för att upptäcka missbruk. I fleranvändarmiljöer är det viktigt att veta vem som körde varje kommando för att säkerställa ansvarsskyldighet och efterlevnad av säkerhetsföreskrifter.

Aktivera och inaktivera root med head

Om du väljer att aktivera root-åtkomst, tilldela ett lösenord med `sudo passwd root`, använd det endast för viktiga uppgifter och lås sedan kontot igen. För att inaktivera direkt SSH-inloggning, redigera `sshd_config` och ange `PermitRootLogin no` eller `prohibit-password`, starta sedan om SSH. För att låsa kontot lokalt, använd `sudo passwd -l root`. För att låsa upp det, använd `sudo passwd -u root`. Dessa åtgärder minskar attackytan och förhindrar brute-force-attacker mot det mest kraftfulla kontot.

I de flesta fall är det praktiska svaret på den inledande frågan ja: du kan starta ett program från startprogrammet med root-behörighet med hjälp av en grafisk hjälp som kdesu, gksu, gksudo eller pkexec, eller genom att skapa en .desktop-fil med lämpligt kommando. Detta är dock inte något du bör låta vara konfigurerat för vilket program som helst. Det är bättre att ha specifika administrativa startprogram med tydliga namn och bara använda dem när det behövs.

Den viktigaste slutsatsen är att root inte är en leksak, och sudo finns just för att ge dig kraft utan att förvandla varje klick till en permanent risk. Om du behöver starta en grafisk app som superanvändare, prioritera hjälpprogram som kräver ett lösenord, verifiera att programmet verkligen behöver det och begränsa dess användning till administrativa uppgifter. På så sätt kan du njuta av bekvämligheten med startprogrammet utan att offra säkerheten som gör Linux så starkt.