su vs. sudo (Отрезано от http://unixforum.org/index.php?showtopic=127277)

[drBatty]

Тогда получим безопасное поведение sudo.

и чем это поведение отличается от su?
ИМХО только одним - кроме su (которое вроде везде есть) придётся доставлять sudo. Зачем?

[SinClaus]

Для примера - сервер который сейчас строится. На нём - FreeBSD, на корневую машину поставил sudo, НО! к ней нет доступа извне. На ней сформированы три джайла - для веба, ftp и некоторых других служб. Там - судо нет , по умолчанию. В джайле полноценная система, виртуальная машина, но ifconfig, route, ping и traceroute не исполняются. Ну и ещё кое-что. И всё это стоит за циской с НАТом.

[watashiwa_daredeska]

Тогда получим безопасное поведение sudo.

Не очень безопасное в некоторых случаях. У нас, например, некоторыми машинами могут рулить несколько человек. При targetpw они все должны знать один пароль. При исключении кого-либо из состава группы рулящих, пароль надо не забыть сменить, и не забыть оповестить всех рулящих об этом так, чтобы они не проморгали. Более того, если я хочу лишь разрешить кое-кому выполнять четко заданное действие и не более, то targetpw тут вообще не годится, ибо зная его, пользователь может полноценно залогиниться target'ом и делать всё, что заблагорассудится. И да, при targetpw у этого самого target пароль таки должен быть. При умолчательной настройке sudo, у target пароля может и не быть. Так что, targetpw — весьма и весьма спорная штука.

и чем это поведение отличается от su?

Запоминанием на 15 минут?

[taaroa]

{su,sudo,targetpw} vs tcb
subj^

[eddy]

и чем это поведение отличается от su?

В логах будет видно все, что пользователь запускал (если он, конечно, логи не потрет или sudo bash не сделает )

Не очень безопасное в некоторых случаях.

Ваш случай - именно тот, когда sudo нужно. А на домашнем компьютере оно не нужно. Там su за глаза хватает (и лучше, чтобы sudo вообще не было - мало ли кто у вас sudo rm -rf / наберет).

[watashiwa_daredeska]

А на домашнем компьютере оно не нужно

Нужно. На некоторые действия, формально, нужно иметь особые привилегии, однако с т.з. «простого пользователя» — не нужно. Например, на машине своих родителей я выдал им право беспарольного запуска /sbin/shutdown, да и мне самому удобно. С su эта задача не решается.

Там su за глаза хватает

У su есть другая проблема — при необходимости выполнять некоторые не совсем тривиальные действия, нужно запускать рутовый шелл и выполнять лишние действия с привилегиями рута. Например, мне нужно произвести некторые действия с пакетами по нетривиальным условиям: сейчас я проверяю все условия с привилегиями пользователя, а само действие выполняю с sudo. Можно и с su, но тогда мне придется вводить пароль на порядок чаще — это весьма неудобно. Статистика показывает, что пользователи в такой ситуации чаще просто запускают рутовый шелл и выполняют кучу лишних действий с правами рута…

мало ли кто у вас sudo rm -rf / наберет

…и в таком вот забытом рутовом терминале кто угодно может набрать rm -rf / даже через неделю, а в sudo — только ограниченное время, да еще и только на том tty, где я это недавно делал. При том, что у меня всяких tty обычно около десятка и более ­ — это еще поискать надо, где можно sudo rm -rf / сделать. Кроме того, мой ~ можно и без всякого sudo грохнуть, а то, что за пределами него, меня колышет значительно меньше. И да, самая надежная защита от rm -rf / на домашней машине — не двавать всяким проходимцам к ней доступа.

[sash-kan]

в таком случае sudo в воображаемой вами системе вообще не нужен

Правильно, ведь su есть. (опять вернулись к началу )

не правильно·
drbatty предлагает настроить sudo так, чтобы его невозможно было использовать· (есть жуткие подозрения, что он его «не осилил»)
естественно, что для _его_ виртуального случая с равным успехом можно sudo просто деинсталлировать·
о чём я и написал·

ушел ремувить судо

не надо.
просто закомментируйте все строки в sudores, кроме root ALL=(ALL) ALL

ваша рекомандация полностю идентична удалению программы sudo·
раз уж задурили голову shevan-у, так не отговаривайте от следующего (вполне логичного после ваших с eddy «рекомендаций») шага·

[drBatty]

Например, на машине своих родителей я выдал им право беспарольного запуска /sbin/shutdown, да и мне самому удобно. С su эта задача не решается.

SUID bit?

Статистика показывает, что пользователи в такой ситуации чаще просто запускают рутовый шелл и выполняют кучу лишних действий с правами рута…

это не слишком опасно, ИМХО.

drbatty предлагает настроить sudo так, чтобы его невозможно было использовать· (есть жуткие подозрения, что он его «не осилил»)

вы так ничего и не поняли :(
Повторяю в Nnй раз:
sudo для увеличения привилегий нужно настраивать:
1. для конкретного юзера
2. с конкретного хоста
3. для конкретной команды
А не как вы ALL ALL ALL...

естественно, что для _его_ виртуального случая с равным успехом можно sudo просто деинсталлировать·

а да не виртуальный у меня случай. например вполне реальный firefox в котором я это пишу, запущен через sudo -u user2 /home/user2/firefox. Многие команды я также выполняю через sudo, в т.ч. и с правами суперпользователя. Кроме того, я применяю sudo также и для понижения привилегий, ибо это удобнее, чем su. Кто из нас "ниасилил"?

ваша рекомандация полностю идентична удалению программы sudo·
раз уж задурили голову shevan-у, так не отговаривайте от следующего (вполне логичного после ваших с eddy «рекомендаций») шага·

я рекомендую
1. запретить всё для всех.
2. разрешить ТОЛЬКО необходимое.
Я не прав?

[watashiwa_daredeska]

SUID bit?

Да нафига вообще все эти su и sudo? suid-bit решит все проблемы!

это не слишком опасно, ИМХО.

Ну да, sudo — опасно, а практически работать под рутом и оставлять рутовый терминал каждому, кто подошел к машине — нет. Ага.

[Bizdelnick]

SUID bit?

Для всех подряд, ага.

[sash-kan]

Я не прав?

ну, мой наезд относился к словам:

ИМХО там вообще ничего нельзя писать кроме
root ALL=(ALL) ALL

ведь такая рекомендация эквивалентна простому отсутствию программы sudo·

[taaroa]

рекомендация эквивалентна простому отсутствию программы sudo·

вот именно!11
sudo -u hax id == su -c id hax

p.s. а ещё есть такая штука как pam[1]…

[1] http://www.kernel.org/pub/linux/libs/pam/

[drBatty]

Ну да, sudo — опасно, а практически работать под рутом и оставлять рутовый терминал каждому, кто подошел к машине — нет. Ага.

Для всех подряд, ага.

ну вы таки конкретизируйте задачу.

ну, мой наезд относился к словам:

QUOTE (drBatty @ 16th September 2011 - в 15:12) *
ИМХО там вообще ничего нельзя писать кроме
root ALL=(ALL) ALL

ведь такая рекомендация эквивалентна простому отсутствию программы sudo·

во первых, там ещё пункт №2 был. Вы его поскипали.
во вторых, это не отсутствие sudo, а запрет повышения привилегий (а вот понижать - можно).

[watashiwa_daredeska]

ну вы таки конкретизируйте задачу.

Задача ­— гибко управлять разрешениями для пользователей на запуск различных программ с разными привилегиями.