Ce este utilizatorul root în Linux și cum se folosește în siguranță?

Dacă ați folosit Linux pentru o perioadă scurtă de timp, mai devreme sau mai târziu veți fi dat peste faimosul utilizator root, superutilizatorul care poate face și anula lucruri în sistem practic fără limiteEste acel cont misterios care apare în tutoriale, cel care îți permite să instalezi pachete, să modifici setări delicate sau să repari un sistem care nu pornește... dar care îți poate distruge și calculatorul cu o singură comandă greșită.

În majoritatea distribuțiilor moderne, în special Ubuntu și derivatele sale, nu mai este obișnuit să te autentifici direct ca root. În schimb, metoda preferată este utilizarea unui alt utilizator. Folosește comenzi precum sudo și su pentru a obține privilegii de administrator doar atunci când este necesarAcest lucru reduce riscurile și lasă urme în jurnalele de sistem. Chiar și așa, o bună înțelegere a ceea ce este root, cum diferă de sudo și su, când să le folosești, cum să dezactivezi contul și cum să recuperezi parola este esențială dacă vrei să navighezi cu ușurință pe Linux.

Ce este utilizatorul root în Linux și de ce este atât de special?

În orice sistem de tip Unix (Linux, BSD, macOS etc.) există un singur superutilizator cu un rol foarte clar: root este contul cu UID 0 și autoritate absolută asupra tuturor fișierelor, proceselor și resurselor de sistemNu există restricții convenționale de permisiuni; dacă utilizatorul root dorește să citească, să modifice sau să șteargă ceva, o va face.

Din acest cont puteți Instalați și dezinstalați programe, actualizați sistemul, editați fișierele de configurare din /etc, gestionați serviciile, creați și ștergeți utilizatori, formatați discuri sau modificați permisiuni criticeEste echivalentul utilizatorului „Administrator” din Windows, dar cu o capacitate și mai mare de a accesa funcționarea internă a sistemului fără restricții.

Din acest motiv, multe distribuții precum Ubuntu optează pentru Nu permiteți conectarea directă la root după instalareÎn schimb, se creează un cont normal (aparținând grupului de administratori) și se folosește sudo pentru a efectua sarcini administrative specifice, reducând expunerea la risc.

În alte distribuții, cum ar fi Debian în configurația sa clasică, este obișnuit să se definească o parolă pentru root în timpul instalării, astfel încât Superutilizatorul poate fi folosit direct în consolă sau pentru anumite sarcini foarte specifice.deși sistemul în sine încurajează și utilizarea comenzii sudo.

Pe lângă utilizatorii root și „umani”, Linux folosește și utilizatori de sistem de tip serviciu (daemon), cu permisiuni foarte limitateAcești utilizatori speciali rulează procese precum servere web, baze de date sau daemoni de sistem, astfel încât o eroare de securitate într-un serviciu nu oferă automat control absolut asupra sistemului, așa cum s-ar întâmpla dacă totul ar rula sub root.

Tipuri de utilizatori în Linux și cum să afli cine ești

Deși în practică poate părea că există multe tipuri de conturi, la nivel de permisiuni divizarea este foarte clară: rădăcină pe o parte și „restul” pe cealaltăOrice utilizator care nu are UID-ul 0 este, din punct de vedere tehnic, un utilizator neprivilegiat, deși poate avea anumite permisiuni suplimentare datorită comenzii sudo.

Conturile de lucru obișnuite sunt utilizatori normali cu permisiuni limitate asupra sistemului de fișiereAceștia își pot gestiona fișierele personale, pot rula aplicații, pot utiliza rețeaua și, dacă se află în grupul corespunzător, pot invoca sudo pentru a obține privilegii suplimentare pentru anumite sarcini.

Superutilizatorul root este cont de administrare globalăNu este destinat utilizării zilnice, ci mai degrabă pentru mentenanță, configurare avansată sau operațiuni de recuperare. Prin urmare, multe distribuții fac accesul direct la acest cont puțin mai complicat, pentru a evita surprizele pentru utilizatorii începători și a limita impactul erorilor umane.

Dacă aveți vreodată vreo îndoială cu privire la utilizatorul cu care lucrați într-un terminal, puteți consulta Prompt shell: când se termină în $ folosești un cont normal, iar când se termină în # ești sub rootDe asemenea, puteți rula comanda cine sunt sau verificați identificatorul numeric cu id -uDacă primești „root” sau „0”, ești în modul superutilizator.

În plus, solicitarea arată de obicei numele de utilizator, numele computerului, directorul curent și simbolul $ sau #De exemplu, ceva de genul alumno@equipo:/home/alumno$ indică un utilizator normal, în timp ce root@equipo:/root# Reflectă o sesiune de administrare directă.

root, sudo și su: ce face fiecare și când să le folosești

În utilizarea de zi cu zi, nu tastăm de obicei parola de root tot timpul. În schimb, majoritatea distribuțiilor moderne optează pentru Creșterea temporară a privilegiilor unui cont normal folosind instrumente precum sudo și suDeși sunt uneori folosite interschimbabil în conversații, ele îndeplinesc roluri diferite și este important să le diferențiem clar.

Comanda sudo (super utilizator do) permite unui utilizator autorizat să execute o comandă specifică cu permisiunile unui alt utilizator, de obicei rootProcedând astfel, înregistrează ce a fost executat, cine a lansat-o și când, lăsând o înregistrare în jurnalele de securitate ale sistemului.

La rândul său, (utilizatorul înlocuitor) este destinată schimbarea identității utilizatorului în cadrul aceleiași sesiuni de terminalDacă îl invoci fără parametri, de obicei va încerca să treacă la root (cerând parola). Dacă furnizezi un nume de utilizator, vei trece la acel cont, cu permisiunile și mediul său.

Cum funcționează sudo și de ce este atât de important

În sisteme precum Ubuntu, aparținând grupului sudo (sau „admin” în versiunile mai vechi) înseamnă că acest cont poate executați comenzi ca root introducând propria parolă de utilizatorfără a fi nevoie să cunoașteți parola superutilizatorului. Regulile care controlează ceea ce poate face fiecare persoană sunt definite în fișierul / etc / sudoers, care este editat în siguranță cu comanda visado.

Pentru a-l folosi, pur și simplu plasați cuvântul înaintea lui. sudo înaintea comenzii care necesită privilegii ridicateDe exemplu, instalarea pachetului se face de obicei astfel:

sudo apt install vlc

În acest caz, apt rulează ca root, scrie în directoarele de sistem precum /usr sau /var și înregistrează modificările în baza de date a pachetelor, chiar dacă sunteți încă autentificat cu utilizatorul obișnuit. Odată ce comanda este finalizată, veți reveni automat la permisiunile normale..

În plus, sudo implementează o mică „timp de grație”După introducerea parolei, puteți rula din nou comanda `sudo` timp de câteva minute fără a vi se solicita parola. Acest lucru accelerează administrarea, dar introduce și o mică vulnerabilitate dacă cineva vă accesează computerul în acest interval de timp. Dacă doriți să înăspriți această politică, puteți seta perioada de grație la zero editând comanda `sudoers` cu:

Defaults:ALL timestamp_timeout=0

În acest fel, De fiecare dată când folosești sudo va trebui să te autentifici din nou., ceva mai plictisitor, dar mai sigur în medii sensibile sau cu mai mulți utilizatori.

Comanda `su` și trecerea completă la un alt cont

Comanda „su”, pe de altă parte, Nu execută nicio comandă, ci deschide un nou shell sub identitatea unui alt utilizator.Dacă este invocat „fără forță”:

su

Sistemul presupune că vrei să treci la root și, prin urmare, Îți va cere parola de superutilizator.Dacă autentificarea are succes, veți vedea simbolul promptului schimbându-se în # și, din acel moment, orice comandă pe care o executați va fi executată cu privilegii de root până când vă deconectați. ieşire.

De asemenea, puteți specifica un anumit utilizator:

su nombreusuario

Acest lucru este foarte util atunci când gestionezi servicii care rulează cu propriile conturi (de exemplu, postgres, www-data etc.) și trebuie să operați ca acestea fără a închide sesiunea principalăDin nou, când ați terminat, utilizarea comenzii „exit” vă întoarce la utilizatorul anterior.

Pe sistemele în care accesul root este blocat sau nu are parolă (cum ar fi multe instalări Ubuntu), nu veți putea comuta direct la acel cont cu `su`. În aceste cazuri, abordarea obișnuită este transpirația lanțului și a lui, de exemplu:

sudo su o sudo -i

Cu aceste comenzi, introduceți parola de utilizator (nu parola de root) și obțineți o shell administrativă cu un mediu similar cu o conectare directă ca root. Acest lucru este foarte convenabil dacă urmează să efectuați mai multe acțiuni la rând, dar și mai periculos, așa că este recomandabil să vă deconectați din sesiunea root imediat ce ați terminat.

Când are sens să folosești root, sudo sau su?

Teoria e bună, dar în viața de zi cu zi contează ce instrument să utilizați în fiecare situație specifică pentru a lucra rapid fără a risca sistemulCa regulă generală, ori de câte ori este posibil, folosiți sudo pentru comenzi specifice și evitați shell-urile persistente de root; dacă doriți să aprofundați Când și de ce să eviți transpirația, citește ghidul acela.

De exemplu, pt instalați sau actualizați software-ul În distribuțiile bazate pe Debian sau Ubuntu, practica obișnuită este:

sudo apt update
sudo apt upgrade
sudo apt install gparted

În aceste scenarii, conectarea permanentă ca root nu adaugă prea mult. Câștigi o oarecare comoditate, dar multiplici riscurile de a șterge sau modifica ceva ce nu ar trebui..

Vei folosi și sudo când editați fișierele de configurare a sistemului, de exemplu:

sudo nano /etc/hosts
sudo nano /etc/ssh/sshd_config

În acest fel, doar editorul rulează cu permisiuni de superutilizator, iar când îl închideți, reveniți la nivelul normal de privilegii.

În schimb, `su` (sau `sudo -i`) poate fi utilă atunci când Vei înlănțui multe operațiuni administrative Adăugarea comenzii `sudo` înaintea fiecărei comenzi ar fi o pacoste. De exemplu, atunci când efectuați sarcini complexe de întreținere, gestionați mai multe conturi, lucrați cu partiții etc. Chiar și așa, este o practică bună să limitați timpul petrecut în acel mod și să ieșiți imediat ce ați terminat.

Un detaliu operațional foarte practic este că, dacă nu ești sigur dacă ești root sau nu, poți rula cine sunt o id -uDacă primești „root” sau „0”, e timpul să fii extrem de precaut înainte de a tasta ceva distructiv.

Afișează asteriscuri la introducerea parolei cu sudo

În mod implicit, multe distribuții (inclusiv Ubuntu) Nu afișează niciun caracter atunci când tastezi parola în consolăFără puncte sau asteriscuri. Acest lucru se face pentru a evita dezvăluirea lungimii cheii, deși în practică mulți utilizatori consideră acest lucru incomod deoarece nu au nicio confirmare vizuală că tastează.

De ceva vreme, sudo oferă o opțiune numită pwfeedback Aceasta permite afișarea asteriscurilor pe ecran atunci când este introdusă parola. Unele versiuni recente de Ubuntu au început să permită această funcție, dar o puteți activa singur pe orice sistem modificând configurația sudo:

1. Deschideți editorul de configurare securizată cu:

sudo visudo

2. În fișierul care se deschide (de obicei /etc/sudoers), adăugați o linie de genul:

Defaults pwfeedback

3. Salvați și închideți. Din acel moment, Fiecare caracter pe care îl tastați atunci când introduceți parola sudo va fi reprezentat printr-un asterisc.Dacă mai târziu preferi să revii la comportamentul clasic (fără ecou vizual), pur și simplu elimină acea linie și salvează din nou fișierul cu Visudo.

Această personalizare nu afectează securitatea criptografică a comenzii sudo, dar o face. Poate îmbunătăți utilizabilitatea pentru cei care preferă o confirmare vizuală a ceea ce tastează.în special pe tastaturi fără iluminare din spate sau când se tastează de pe terminale la distanță.

Riscuri reale ale utilizării neglijente a rădăcinii

Contul de root este la fel de puternic pe cât este de periculos. Linux este conceput cu straturi de protecție pentru a îngreuna accesul accidental al unui utilizator normal la sistemul de operare, dar Când sporești privilegiile, acele bariere dispar și orice omisiune se poate transforma într-un dezastru..

Un prim risc serios este ștergerea accidentală a fișierelor sau directoarelor esențialeComenzi precum rm -rf / o rm -rf /* Sunt faimoase tocmai pentru că, dacă sunt executate ca root, pot șterge practic tot conținutul sistemului de fișiere în câteva secunde. Dar nu este necesar să mergem în această extremă: pur și simplu introducem greșit calea sau lăsăm o variabilă goală, de exemplu:

rm -rf $directorio/*

Dacă `$directory` nu este definit așa cum v-ați așteptat, comanda ar putea indica o locație complet diferită de cea intenționată. Ca root, sistemul nu vă va crea prea multe probleme, iar odată ce comanda este finalizată, Recuperarea este de obicei foarte dificilă sau pur și simplu imposibilă. fără copii de rezervă sau instrumente criminalistice.

Un alt pericol important este executarea de software sau scripturi rău intenționate cu privilegii completeDescărcarea unui program de instalare de pe un site web necunoscut și rularea acestuia cu sudo sau dintr-o shell root oferă acelui cod control absolut: poate instala rootkituri, backdoor-uri, keylogger-e, poate modifica kernel-ul sau se poate ascunde adânc în sistem. Adesea, până când problema este descoperită, atacatorul se afla deja înăuntru de ceva timp.

De asemenea, trebuie să fii atent când modificați permisiunile fișierelor critice cu chmod sau chownO comandă precum chmod 000 /etc Manipularea necorespunzătoare a fișierelor /boot, bootloader-ului GRUB sau /etc/passwd poate face ca sistemul să nu poată porni. În astfel de cazuri, nici măcar pornirea de pe un LiveCD nu garantează o reparare simplă; în mediile de producție, pot fi necesare servicii profesionale de recuperare.

În cele din urmă, din perspectiva auditării, conectarea directă ca utilizator root elimină o mare parte din trasabilitate. Când folosești sudo, fiecare comandă este înregistrată împreună cu utilizatorul care a executat-o.Dacă totul se face ca root fără a utiliza sudo, jurnalele vor spune doar că „root a făcut ceva”, dar nu cine a fost în spatele tastaturii, ceea ce complică investigațiile și respectarea reglementărilor de securitate.

Activarea, dezactivarea și blocarea contului de root

În funcție de distribuția dvs., contul de root poate fi Activat cu parolă, blocat sau pur și simplu fără o cheie atribuităÎn sistemele de tip Ubuntu, accesul root este de obicei dezactivat pentru autentificare directă, în timp ce în alte distribuții o parolă este definită în timpul instalării.

Dacă contul de root este blocat pe mașina dvs., îl puteți activa de la un utilizator cu privilegii sudo rulând:

sudo passwd root

Sistemul vă va solicita mai întâi parola de utilizator, apoi trebuie să introduceți și să confirmați noua parolă de root. Din acel moment, Contul va fi activat și veți putea să vă conectați ca superutilizator în terminale virtuale sau, în unele cazuri, chiar și în interfața grafică.Deși cea din urmă este extrem de nerecomandabilă.

Dacă decideți că nu mai doriți ca accesul root să fie disponibil, puteți bloca din nou contul cu:

sudo passwd -l root

Parametrul -l blochează accesul prin asocierea unei parole nevalide, astfel încât Nu te poți autentifica ca root, nici cu `su`, nici din ecranul de autentificare.Totuși, utilizatorii autorizați vor putea în continuare să utilizeze sudo pentru a administra sistemul, deci nu veți rămâne fără modalități de a efectua sarcini de întreținere.

Unele distribuții oferă și opțiunea de a dezactiva și reactiva root cu combinații precum sudo passwd -dl root o sudo passwd -u root pentru a-l debloca. În orice caz, Recomandarea generală este să păstrați root-ul blocat și să lucrați întotdeauna cu sudo, cu excepția unor cazuri foarte specifice., cum ar fi mediile de salvare sau recuperare pentru sistemele grav avariate.

Recuperarea sau schimbarea parolei de root

Se poate întâmpla că indiferent dacă ți-ai pierdut parola de root, ai dezactivat-o sau pur și simplu trebuie să o redefinești pe un server a cărui configurație originală este acum uitată. Linux oferă mai multe modalități de a face acest lucru, în funcție de dacă sistemul pornește sau dacă trebuie să utilizați un dispozitiv extern.

Dacă mașina dvs. încă ajunge la managerul de boot GRUB, o opțiune foarte comună este să profitați de mod de recuperarePrin selectarea acestei variante în meniul avansat, sistemul pornește un mediu redus și vă oferă opțiunea de a obține o consolă cu privilegii de superutilizator.

Odată ajunși în interiorul acelei cochilii, primul lucru de făcut este Remontați sistemul de fișiere cu permisiuni de scrieredeoarece este adesea în modul doar pentru citire:

mount -o rw,remount /

Apoi, puteți rula comanda standard pentru a seta o nouă parolă:

passwd root

Introduceți noua cheie de două ori și, pentru a vă asigura că modificările sunt scrise pe disc, utilizați:

sync
reboot

La repornire, Contul de root va avea parola pe care tocmai ai setat-o.astfel încât să îl poți folosi acolo unde este necesar (în mod ideal, cu moderație și cu precauție).

Dacă sistemul nici măcar nu pornește, puteți recurge la o LiveCD sau LiveUSB dintr-o distribuție LinuxDe exemplu, Ubuntu. Porniți de pe acel mediu, alegeți opțiunea „Încercare” fără a instala și deschideți un terminal. De obicei, mai întâi deveniți root în mediul live cu:

sudo su

Apoi, trebuie să localizați partiția unde este instalat sistemul care trebuie reparat, folosind ceva de genul:

fdisk -l

După ce identificați dispozitivul corect (de exemplu, /dev/sda1), montați-l într-un folder funcțional:

mkdir /mnt/recover
mount /dev/sda1 /mnt/recover

Următorul pas este de „schimbați rădăcina” mediului în partiția montatăastfel încât passwd să acționeze asupra sistemului instalat și nu asupra mediului live:

chroot /mnt/recover

De acolo poți rula:

passwd root

pentru a seta o parolă nouă. După ieșirea din chroot și repornirea, Sistemul original va porni cu acreditările de superutilizator actualizate.Este o manevră foarte puternică pentru salvarea mașinilor blocate, dar evidențiază și de ce este vital să se protejeze accesul fizic și bootarea de pe suporturi externe pe serverele critice.

Acces root în Ubuntu și politici de securitate

Ubuntu și multe dintre derivatele sale (Xubuntu, Kubuntu, Linux Mint etc.) și-au construit modelul de securitate pe o idee foarte clară: root există, dar este aproape întotdeauna folosit indirect prin sudoAcest lucru are mai multe avantaje practice și de siguranță.

Într-o instalație standard, Nu este definită nicio parolă pentru rootAcest lucru împiedică utilizatorii să se conecteze direct cu acest cont atât pe terminalele TTY, cât și în mediul grafic. În schimb, primul utilizator creat în timpul instalării este adăugat la grupul sudo, iar toate activitățile administrative sunt efectuate prin creșterea privilegiilor contului respectiv.

Această abordare reduce suprafața de atac Protejează împotriva atacurilor de tip „brute-force” asupra contului de root (de exemplu, prin SSH) și minimizează șansele ca erorile umane să aibă consecințe catastrofale, deoarece obligă administratorul să se gândească de fiecare dată când folosește sudo.

În contexte foarte specifice (laboratoare, medii de salvare, mașini extrem de izolate), acest lucru poate fi justificat. Atribuiți o parolă utilizatorului root cu sudo passwd root și permite autentificarea directă, dar cel mai bine este să considerați aceasta o măsură temporară. Odată ce problema este rezolvată, este mai bine să blocați din nou contul și să continuați să lucrați cu sudo.

În plus, pentru sarcinile care necesită o shell root persistentă, Ubuntu oferă comenzi precum:

sudo -i o sudo su -

că Acestea simulează o autentificare completă root, cu propriul mediu și PATH.Acest lucru este util pentru scripturile și instrumentele care se așteaptă să fie într-un mediu root „pur” pentru a funcționa corect fără a fi nevoie să activeze autentificarea directă permanentă.

Acces root prin SSH: activare, dezactivare și securizare

Pe serverele la distanță, problema accesului root devine și mai importantă. În mod implicit, majoritatea instalărilor Ubuntu Dezactivează autentificarea directă root prin SSHAcest lucru te obligă să te autentifici cu un cont de utilizator normal și apoi să folosești sudo. Este o măsură de securitate crucială pentru a preveni atacurile automate.

Dacă, dintr-un motiv foarte justificat, trebuie să activați acel acces, procesul de bază implică acești pași: mai întâi atribuie o parolă pentru root Dacă nu îl aveți:

sudo passwd root

Și apoi editați configurația serverului SSH:

sudo nano /etc/ssh/sshd_config

În acest fișier, căutați directiva PermitRootLoginDacă este comentată sau în „prohibit-password”, o puteți schimba la:

PermitRootLogin yes

Salvați modificările și reporniți serviciul:

sudo systemctl restart ssh

De acolo, te poți conecta direct ca root prin SSH, lucru care... Aceasta prezintă o vulnerabilitate considerabilă dacă este utilizată doar cu o parolă.Minimul acceptabil în acest caz ar fi combinarea acesteia cu autentificarea prin cheie publică și, dacă este posibil, restricționarea accesului prin IP sau printr-un bastion sau VPN.

Pentru a inversa situația și a consolida securitatea, reeditați / Etc / ssh / sshd_config și configurați:

PermitRootLogin no

Sau, dacă doriți să permiteți subiectiv doar accesul prin cheie:

PermitRootLogin prohibit-password

Din nou, reporniți SSH și, dacă doriți să mergeți mai departe, blocați și contul local de root cu:

sudo passwd -l root

În acest fel, Toate sarcinile de administrare la distanță vor trebui să treacă prin utilizatori obișnuiți și privilegii sudo., fiind înregistrat și supus regulilor fișierului sudoers.

Cele mai bune practici atunci când se utilizează privilegii de superutilizator

Stăpânirea comenzilor root, sudo și su nu înseamnă doar memorarea comenzilor, ci și adoptați obiceiuri care minimizează riscurile atunci când lucrați cu privilegii ridicateExistă câteva practici practice care merită integrate în rutina zilnică.

Cel mai important lucru este să aplici întotdeauna principiul privilegiului minim: având doar permisiunile necesare și doar atât timp cât este absolut necesar. Tradus în Linux, aceasta înseamnă utilizarea comenzii `sudo` pentru comenzi izolate ori de câte ori este posibil și evitarea șederii inutile într-un shell root pentru perioade lungi de timp.

Este, de asemenea, cheie Nu rula niciodată scripturi sau fișiere binare din surse dubioase ca root.Înainte de a rula un fragment de cod copiat de pe internet, deschide-l cu un editor de text și verifică exact ce face. Dacă nu înțelegi vreo parte, fii suspicios. Când vine vorba de software descărcat, încearcă întotdeauna să îl obții din repozitorii oficiale, site-uri web ale proiectelor sau alte surse de încredere și verifică sumele de control dacă dezvoltatorul le publică.

Daca ai posibilitatea, Mai întâi, testați scripturile sau manualele într-un mediu izolat (o mașină virtuală, un container Docker, un mediu de testare) înainte de a le aplica pe un server de producție sau pe mașina principală și consultați Trucuri pentru software-ul LinuxTe poate scuti de multe necazuri.

Pe serverele cu mai mulți administratori, este recomandabil să mergeți mai departe și configurați puloverele într-un mod granularAcest lucru permite fiecărei persoane să execute doar comenzile de care are nevoie. Acest lucru limitează potențialele daune cauzate de o greșeală sau de un cont compromis și, de asemenea, menține trasabilitatea cine a făcut ce la un moment dat.

Prin monitorizarea acestor aspecte și respectarea ideii că Root este un instrument pentru situații specifice, nu un utilizator care se testează în luptă pentru sarcinile de zi cu zi.Puteți profita din plin de flexibilitatea Linux fără a pune în pericol inutil stabilitatea și securitatea sistemului dumneavoastră.

Ecosistemul Linux se bazează în mare măsură pe separarea dintre utilizatorul normal și superutilizator și pe mecanisme precum sudo și su pentru a comuta între ele doar atunci când este necesar; înțelegerea modului în care funcționează root, când să îl folosești, cum să limitezi expunerea sa și cum să îl recuperezi în caz de urgență este esențială pentru a gestiona cu înțelepciune orice distribuție, fie pe laptopul personal, fie pe un server de producție critic.