Ce este utilizatorul root în Linux și cum se folosește în siguranță?

Acasă » Tehnologie » Ce este utilizatorul root în Linux și cum să îl folosești în siguranță

Dacă ești nou în Linux, probabil ai întâlnit mai devreme sau mai târziu faimosul utilizator root - superutilizatorul care poate face practic orice în sistem . Este acel cont misterios care apare în tutoriale, cel care îți permite să instalezi pachete, să modifici setări delicate sau să repari un sistem care nu pornește... dar poate, de asemenea, să-ți distrugă calculatorul cu o singură comandă greșită.

În majoritatea distribuțiilor moderne, în special Ubuntu și derivatele sale, nu mai este obișnuit să te autentifici direct ca root. În schimb, comenzi precum `sudo` și `su` sunt folosite pentru a obține privilegii de administrator doar atunci când este necesar , reducând riscurile și fără a lăsa urme în registrul de sistem. Chiar și așa, o bună înțelegere a ceea ce este root, cum diferă de `sudo` și `su`, când să le folosești, cum să dezactivezi contul și cum să recuperezi parola este esențială dacă vrei să navighezi cu ușurință pe Linux.

Ce este utilizatorul root în Linux și de ce este atât de special?

În orice sistem de tip Unix (Linux, BSD, macOS etc.) există un singur superutilizator cu un rol foarte clar: root este contul cu UID 0 și autoritate absolută asupra tuturor fișierelor, proceselor și resurselor de sistem . Nu există restricții convenționale de permisiuni; dacă root dorește să citească, să modifice sau să șteargă ceva, poate.

Din acest cont, puteți instala și dezinstala programe, actualiza sistemul, edita fișierele de configurare din /etc, gestiona servicii, crea și șterge utilizatori, formata discuri sau modifica permisiuni critice . Este echivalentul utilizatorului „Administrator” din Windows, dar cu o capacitate și mai mare de a accesa funcționarea internă a sistemului fără restricții.

Din acest motiv, multe distribuții precum Ubuntu aleg să nu permită autentificarea directă ca root după instalare . În schimb, se creează un cont obișnuit (aparținând grupului de administratori), iar comanda sudo este utilizată pentru a efectua anumite sarcini administrative, reducând riscul de vulnerabilitate.

În alte distribuții, cum ar fi Debian în configurația sa clasică, este obișnuit să se definească o parolă pentru root în timpul instalării, astfel încât superutilizatorul să poată fi utilizat direct în consolă sau pentru anumite sarcini foarte specifice , deși sistemul în sine încurajează și utilizarea comenzii sudo.

Pe lângă utilizatorii root și „umani”, Linux folosește și utilizatori de sistem de tip serviciu (daemon), cu permisiuni foarte limitate . Acești utilizatori speciali rulează procese precum servere web, baze de date sau daemoni de sistem, astfel încât o eroare de securitate într-un serviciu nu oferă automat sistemului control absolut, așa cum s-ar întâmpla dacă totul ar rula sub root.

Tipuri de utilizatori în Linux și cum să afli cine ești

Deși în practică poate părea că există multe tipuri de conturi, la nivel de permisiuni divizarea este foarte clară: root pe de o parte și „toți ceilalți” pe de altă parte . Orice utilizator care nu are UID-ul 0 este, din punct de vedere tehnic, un utilizator fără privilegii, chiar dacă poate avea anumite permisiuni suplimentare datorită comenzii sudo.

Conturile de lucru standard sunt utilizatori obișnuiți cu permisiuni limitate asupra sistemului de fișiere . Aceștia își pot gestiona fișierele personale, pot rula aplicații, pot utiliza rețeaua și, dacă se află în grupul corespunzător, pot invoca comanda sudo pentru a obține privilegii suplimentare pentru anumite sarcini.

Superutilizatorul root este contul de administrator global . Nu este destinat utilizării zilnice, ci mai degrabă pentru mentenanță, configurare avansată sau operațiuni de recuperare. Prin urmare, multe distribuții fac accesul direct la acest cont puțin mai complicat, pentru a evita surprizele pentru utilizatorii începători și a limita impactul erorilor umane.

Dacă nu ești sigur ce utilizator folosești într-un terminal, poți verifica promptul shell: când se termină în $, folosești un cont normal, iar când se termină în #, folosești root . De asemenea, poți rula comanda `whoami` sau poți verifica identificatorul numeric cu `id -u` ; dacă primești „root” sau „0”, ești superutilizator.

În plus, solicitarea arată de obicei numele de utilizator, numele computerului, directorul curent și simbolul $ sau #De exemplu, ceva de genul alumno@equipo:/home/alumno$ indică un utilizator normal, în timp ce root@equipo:/root# Reflectă o sesiune de administrare directă.

root, sudo și su: ce face fiecare și când să le folosești

În utilizarea de zi cu zi, nu tastăm de obicei parola de root tot timpul. În schimb, majoritatea distribuțiilor moderne optează pentru creșterea temporară a privilegiilor unui cont normal folosind instrumente precum `sudo` și `su` . Deși uneori sunt folosite interschimbabil în conversații, ele servesc unor scopuri diferite și este important să se facă distincția între ele.

Comanda `sudo` (super user do) permite unui utilizator autorizat să execute o comandă specifică cu privilegiile unui alt utilizator, de obicei root . Atunci când face acest lucru, înregistrează ce a fost executat, cine a executat-o ​​și când, lăsând o înregistrare în jurnalele de securitate ale sistemului.

Comanda „substitute user” este concepută pentru a schimba identitățile utilizatorilor în cadrul aceleiași sesiuni de terminal . Dacă o invocați fără parametri, va încerca de obicei să comute la root (solicitând parola). Cu toate acestea, dacă furnizați un nume de utilizator, veți comuta la acel cont, împreună cu permisiunile și mediul său.

Cum funcționează sudo și de ce este atât de important

În sisteme precum Ubuntu, apartenența la grupul sudo (sau „admin” în versiunile mai vechi) înseamnă că acest cont poate executa comenzi ca root introducând propria parolă de utilizator , fără a fi nevoie să cunoască parola superutilizatorului. Regulile care controlează ce poate face fiecare utilizator sunt definite în fișierul /etc/sudoers , care este editat în siguranță cu comanda visudo.

Pentru a o utiliza, pur și simplu precedați comanda care necesită privilegii sporite de cuvântul `sudo` . De exemplu, instalarea pachetului se face de obicei astfel:

sudo apt install vlc

În acest caz, apt rulează ca root, scrie în directoarele de sistem precum /usr sau /var și înregistrează modificările în baza de date a pachetelor, chiar dacă rămâneți autentificat cu utilizatorul obișnuit. După finalizarea comenzii, reveniți automat la permisiunile obișnuite.

În plus, sudo implementează o scurtă „perioadă de grație” : după introducerea parolei, puteți rula sudo din nou timp de câteva minute fără a vi se solicita parola. Acest lucru accelerează administrarea, dar introduce și o mică vulnerabilitate dacă cineva accesează mașina dvs. în acest timp. Dacă doriți să înăspriți această politică, puteți seta perioada de grație la zero editând sudoerele cu:

Defaults:ALL timestamp_timeout=0

În acest fel, de fiecare dată când utilizați sudo, va trebui să vă autentificați din nou , ceea ce este mai plictisitor, dar mai sigur în medii sensibile sau cu mai mulți utilizatori.

Comanda `su` și trecerea completă la un alt cont

Comanda `su`, pe de altă parte, nu execută o singură comandă, ci deschide un nou shell sub identitatea unui alt utilizator . Dacă este invocată direct:

su

Sistemul presupune că doriți să treceți la privilegii de root și, prin urmare, vă va cere parola de superutilizator . Dacă autentificarea are succes, veți vedea promptul schimbându-se în # și, din acel moment, orice comandă pe care o executați va fi efectuată cu privilegii de root până când vă deconectați cu `exit`.

De asemenea, puteți specifica un anumit utilizator:

su nombreusuario

Acest lucru este foarte util atunci când gestionați servicii care rulează cu propriile conturi (de exemplu, PostgreSQL, www-data etc.) și trebuie să le operați fără a vă deconecta din sesiunea principală . Din nou, când ați terminat, utilizarea comenzii `exit` vă întoarce la utilizatorul anterior.

Pe sistemele în care utilizatorul root este blocat sau nu are o parolă (cum ar fi multe instalări Ubuntu), nu poți comuta direct la acel cont cu `su`. În aceste cazuri, abordarea obișnuită este de a lega `sudo` și `su` în lanț , de exemplu:

sudo su o sudo -i

Cu aceste comenzi, introduceți parola de utilizator (nu parola de root) și obțineți o shell administrativă cu un mediu similar cu o conectare directă ca root. Acest lucru este foarte convenabil dacă urmează să efectuați mai multe acțiuni la rând, dar și mai periculos, așa că este recomandabil să vă deconectați din sesiunea root imediat ce ați terminat.

Când are sens să folosești root, sudo sau su?

Teoria este bună, dar în practica de zi cu zi, ceea ce contează este ce instrument să folosești în fiecare situație specifică pentru a lucra rapid fără a risca o defecțiune a sistemului . Ca regulă generală, ori de câte ori este posibil, folosește sudo pentru comenzi specifice și evită shell-urile persistente de root; dacă vrei să aprofundezi când și de ce să eviți sudo , consultă ghidul respectiv.

De exemplu, pentru a instala sau actualiza software pe distribuții bazate pe Debian sau Ubuntu, procedura obișnuită este:

sudo apt update
sudo apt upgrade
sudo apt install gparted

În aceste scenarii, conectarea permanentă ca root nu oferă prea multe beneficii. Câștigi o oarecare comoditate, dar multiplici riscurile de a șterge sau modifica ceva ce nu ar trebui.

De asemenea, veți folosi sudo atunci când editați fișierele de configurare a sistemului , de exemplu:

sudo nano /etc/hosts
sudo nano /etc/ssh/sshd_config

În acest fel, doar editorul rulează cu permisiuni de superutilizator, iar când îl închideți, reveniți la nivelul normal de privilegii.

În schimb, `su` (sau `sudo -i`) poate fi util atunci când urmează să înlănțuiți mai multe operațiuni administrative , iar adăugarea comenzii `sudo` înaintea fiecăreia ar fi greoaie. De exemplu, atunci când efectuați sarcini complexe de întreținere, gestionați mai multe conturi, lucrați cu partiții etc. Chiar și așa, este o bună practică să limitați timpul petrecut în acest mod și să ieșiți imediat ce ați terminat.

Un detaliu operațional foarte practic este că, dacă nu ești sigur dacă ești root sau nu, poți rula whoami sau id -u : dacă primești „root” sau „0”, este timpul să fii extrem de precaut înainte de a tasta ceva distructiv.

Afișează asteriscuri la introducerea parolei cu sudo

În mod implicit, multe distribuții (inclusiv Ubuntu) nu afișează niciun caracter atunci când tastați parola în consolă . Fără puncte, fără asteriscuri. Acest lucru se face pentru a evita dezvăluirea lungimii parolei, deși în practică mulți utilizatori consideră acest lucru incomod deoarece nu au nicio confirmare vizuală că o tastează.

De ceva vreme, sudo oferă o opțiune numită pwfeedback care afișează asteriscuri pe ecran atunci când introduci parola. Unele versiuni recente de Ubuntu au început să o activeze, dar o poți activa singur pe orice sistem modificând configurația sudo:

1. Deschideți editorul de configurare securizată cu:

sudo visudo

2. În fișierul care se deschide (de obicei /etc/sudoers), adăugați o linie de genul:

Defaults pwfeedback

3. Salvați și închideți. Din acest moment, fiecare caracter pe care îl tastați la introducerea parolei sudo va fi reprezentat de un asterisc . Dacă ulterior preferați să reveniți la comportamentul clasic (fără ecou vizual), pur și simplu ștergeți acea linie și salvați din nou fișierul cu visudo.

Această personalizare nu afectează securitatea criptografică a comenzii sudo, dar poate îmbunătăți utilizabilitatea pentru cei care preferă confirmarea vizuală a comenzilor , în special pe tastaturi fără iluminare din spate sau atunci când tastează de pe terminale la distanță.

Riscuri reale ale utilizării neglijente a rădăcinii

Contul de root este la fel de puternic pe cât este de periculos. Linux este conceput cu straturi de protecție pentru a îngreuna accesul accidental al unui utilizator normal la sistemul de operare, dar atunci când se ridică privilegiile, aceste bariere dispar și orice omisiune se poate transforma într-un dezastru.

Un prim risc serios este ștergerea accidentală a fișierelor sau directoarelor esențialeComenzi precum rm -rf / o rm -rf /* Sunt faimoase tocmai pentru că, dacă sunt executate ca root, pot șterge practic tot conținutul sistemului de fișiere în câteva secunde. Dar nu este necesar să mergem în această extremă: pur și simplu introducem greșit calea sau lăsăm o variabilă goală, de exemplu:

rm -rf $directorio/*

Dacă directorul nu este definit conform așteptărilor, comanda poate indica o locație complet diferită de cea intenționată. Ca utilizator root, sistemul nu vă va crea prea multe probleme, iar odată ce comanda este executată, recuperarea este de obicei foarte dificilă sau pur și simplu imposibilă fără copii de rezervă sau instrumente de investigare forensică.

Un alt pericol semnificativ este executarea de software sau scripturi rău intenționate cu privilegii complete . Descărcarea unui program de instalare de pe un site web necunoscut și rularea acestuia cu sudo sau dintr-un shell root oferă acelui cod control absolut: poate instala rootkituri, backdoor-uri, keylogger-e, poate modifica kernel-ul sau se poate ascunde adânc în sistem. Adesea, până când problema este descoperită, atacatorul se afla deja în interior de ceva timp.

De asemenea, trebuie să fii atent când modificați permisiunile fișierelor critice cu chmod sau chownO comandă precum chmod 000 /etc Manipularea necorespunzătoare a fișierelor /boot, bootloader-ului GRUB sau /etc/passwd poate face ca sistemul să nu poată porni. În astfel de cazuri, nici măcar pornirea de pe un LiveCD nu garantează o reparare simplă; în mediile de producție, pot fi necesare servicii profesionale de recuperare.

În cele din urmă, din perspectiva auditării, conectarea directă ca root elimină o mare parte din trasabilitate. Când utilizați sudo, fiecare comandă este înregistrată împreună cu utilizatorul care a executat-o . Dacă totul este făcut ca root fără a utiliza sudo, jurnalele vor arăta doar că „root a făcut ceva”, dar nu cine a fost în spatele tastaturii, ceea ce complică investigațiile și respectarea reglementărilor de securitate.

Activarea, dezactivarea și blocarea contului de root

În funcție de distribuția dvs., contul de root poate fi activat cu o parolă, blocat sau pur și simplu fără o parolă atribuită . În sistemele de tip Ubuntu, contul de root este de obicei dezactivat pentru autentificare directă, în timp ce în alte distribuții o parolă este definită în timpul instalării.

Dacă contul de root este blocat pe mașina dvs., îl puteți activa de la un utilizator cu privilegii sudo rulând:

sudo passwd root

Sistemul vă va solicita mai întâi parola de utilizator, apoi trebuie să introduceți și să confirmați noua parolă de root. Din acel moment, contul va fi activ și vă veți putea conecta ca superutilizator în terminale virtuale sau, în unele cazuri, chiar și în interfața grafică , deși cea din urmă este foarte descurajată.

Dacă decideți că nu mai doriți ca accesul root să fie disponibil, puteți bloca din nou contul cu:

sudo passwd -l root

Parametrul -l blochează accesul prin asocierea unei parole nevalide, împiedicându -vă să vă conectați ca root fie cu comanda `su`, fie cu ecranul de conectare . Cu toate acestea, utilizatorii autorizați vor putea în continuare să utilizeze `sudo` pentru a administra sistemul, astfel încât nu veți rămâne fără modalități de a efectua sarcini de întreținere.

Unele distribuții oferă și opțiunea de a dezactiva și reactiva root cu combinații precum sudo passwd -dl root o sudo passwd -u root pentru a-l debloca. În orice caz, Recomandarea generală este să păstrați root-ul blocat și să lucrați întotdeauna cu sudo, cu excepția unor cazuri foarte specifice., cum ar fi mediile de salvare sau recuperare pentru sistemele grav avariate.

Recuperarea sau schimbarea parolei de root

Este posibil să fi pierdut parola de root, să o fi dezactivat sau pur și simplu să fie nevoie să o resetați pe un server a cărui configurație originală este acum uitată. Linux oferă mai multe modalități de a face acest lucru, în funcție de dacă sistemul pornește sau dacă trebuie să utilizați un dispozitiv extern.

Dacă mașina dvs. încă ajunge la managerul de boot GRUB, o opțiune obișnuită este utilizarea modului Recovery . Selectarea acestei opțiuni din meniul avansat pornește sistemul într-un mediu limitat și vă oferă opțiunea de a accesa o consolă cu privilegii de superutilizator.

Odată ajuns în interiorul shell-ului respectiv, primul lucru de făcut este să remontați sistemul de fișiere cu permisiuni de scriere , deoarece acesta este adesea doar pentru citire:

mount -o rw,remount /

Apoi, puteți rula comanda standard pentru a seta o nouă parolă:

passwd root

Introduceți noua cheie de două ori și, pentru a vă asigura că modificările sunt scrise pe disc, utilizați:

sync
reboot

La repornire, contul de root va avea parola pe care tocmai ați setat-o , astfel încât să o puteți folosi acolo unde este nevoie (în mod ideal, cu moderație și cu precauție).

Dacă sistemul nici măcar nu pornește, puteți utiliza un LiveCD sau un LiveUSB al unei distribuții Linux , cum ar fi Ubuntu. Porniți de pe acel mediu de stocare, alegeți opțiunea „Încercare” fără a instala și deschideți un terminal. De obicei, mai întâi deveniți root în mediul live cu:

sudo su

Apoi, trebuie să localizați partiția unde este instalat sistemul care trebuie reparat, folosind ceva de genul:

fdisk -l

După ce identificați dispozitivul corect (de exemplu, /dev/sda1), montați-l într-un folder funcțional:

mkdir /mnt/recover
mount /dev/sda1 /mnt/recover

Următorul pas este să „schimbați rădăcina” mediului în partiția montată , astfel încât passwd să acționeze asupra sistemului instalat și nu asupra mediului live:

chroot /mnt/recover

De acolo poți rula:

passwd root

pentru a seta o parolă nouă. După ieșirea din chroot și repornirea sistemului, sistemul original va porni cu acreditările de superutilizator actualizate . Aceasta este o manevră foarte puternică pentru salvarea mașinilor blocate, dar evidențiază și de ce este vital să se protejeze accesul fizic și pornirea de pe suporturi externe pe serverele critice.

Acces root în Ubuntu și politici de securitate

Ubuntu și multe dintre derivatele sale (Xubuntu, Kubuntu, Linux Mint etc.) și-au construit modelul de securitate pe o idee foarte clară: root există, dar este aproape întotdeauna folosit indirect prin sudo . Acest lucru are mai multe avantaje practice și de securitate.

Într-o instalare standard, nu este definită nicio parolă pentru root , ceea ce împiedică autentificarea directă cu acest cont atât în ​​terminalele TTY, cât și în mediul grafic. În schimb, primul utilizator creat în timpul instalării este adăugat la grupul sudo, iar toate activitățile administrative sunt efectuate cu privilegii sporite din acel cont.

Această abordare reduce suprafața de atac împotriva încercărilor de tip „brute-force” asupra contului de root (de exemplu, prin SSH) și minimizează șansele ca erorile umane să aibă consecințe catastrofale, deoarece obligă administratorul să se gândească de fiecare dată când folosește sudo.

În contexte foarte specifice (laboratoare, medii de salvare, mașini extrem de izolate), atribuirea unei parole utilizatorului root cu comanda `sudo passwd root` și permiterea autentificării directe ar putea fi justificată, dar cel mai bine este să considerați aceasta o măsură temporară. Odată ce problema este rezolvată, este mai bine să blocați din nou contul și să continuați să lucrați cu `sudo`.

În plus, pentru sarcinile care necesită o shell root persistentă, Ubuntu oferă comenzi precum:

sudo -i o sudo su -

Acestea simulează o autentificare completă ca root, cu propriul mediu și propria cale . Acest lucru este util pentru scripturile și instrumentele care se așteaptă să fie într-un mediu root „pur” pentru a funcționa corect, fără a fi nevoie să activeze autentificarea directă permanentă.

Acces root prin SSH: activare, dezactivare și securizare

Pe serverele la distanță, accesul root devine și mai critic. În mod implicit, majoritatea instalărilor Ubuntu dezactivează autentificarea directă root prin SSH , forțându-vă să vă conectați cu un utilizator obișnuit și apoi să utilizați comanda `sudo`. Aceasta este o măsură fundamentală de securitate pentru a preveni atacurile automate.

Dacă, dintr-un motiv foarte justificat, trebuie să activați acel acces, procesul de bază implică acești pași: mai întâi, atribuiți o parolă utilizatorului root dacă nu are una:

sudo passwd root

Și apoi editați configurația serverului SSH:

sudo nano /etc/ssh/sshd_config

În acest fișier, căutați directiva PermitRootLogin . Dacă este comentată sau setată la „prohibit-password”, o puteți schimba la:

PermitRootLogin yes

Salvați modificările și reporniți serviciul:

sudo systemctl restart ssh

De acolo, vă puteți conecta direct ca root prin SSH, ceea ce prezintă o vulnerabilitate semnificativă dacă este utilizat doar cu o parolă . Abordarea minimă acceptabilă în acest caz ar fi combinarea acesteia cu autentificarea cu cheie publică și, dacă este posibil, restricționarea accesului prin adresă IP sau printr-o cheie bastion sau VPN.

Pentru a inversa situația și a consolida securitatea, editați din nou fișierul /etc/ssh/sshd_config și configurați:

PermitRootLogin no

Sau, dacă doriți să permiteți subiectiv doar accesul prin cheie:

PermitRootLogin prohibit-password

Din nou, reporniți SSH și, dacă doriți să mergeți mai departe, blocați și contul local de root cu:

sudo passwd -l root

În acest fel, toate sarcinile de administrare la distanță vor trebui să treacă prin utilizatori normali și sudo , fiind înregistrați și supuși regulilor fișierului sudoers.

Cele mai bune practici atunci când se utilizează privilegii de superutilizator

Stăpânirea comenzilor root, sudo și su nu înseamnă doar memorarea comenzilor, ci și adoptarea unor obiceiuri care minimizează riscurile atunci când se lucrează cu privilegii ridicate . Există câteva practici practice care merită integrate în rutina zilnică.

Cel mai important lucru este să aplici întotdeauna principiul privilegiilor minime : să ai doar permisiunile strict necesare și doar atât timp cât este necesar. Tradus în Linux, aceasta înseamnă folosirea comenzii `sudo` pentru comenzi izolate ori de câte ori este posibil și evitarea șederii inutile într-un shell root pentru perioade lungi de timp.

De asemenea, este crucial să nu rulați niciodată scripturi sau fișiere binare din surse dubioase ca root . Înainte de a rula un fragment de cod pe care l-ați copiat de pe internet, deschideți-l cu un editor de text și verificați exact ce face. Dacă nu înțelegeți vreo parte, fiți suspicioși. Când vine vorba de software descărcat, încercați întotdeauna să îl obțineți din repozitorii oficiale, site-uri web ale proiectelor sau alte surse reputate și verificați sumele de control dacă dezvoltatorul le publică.

Dacă este posibil, testați scripturile sau manualele într-un mediu izolat (o mașină virtuală, un container Docker, un mediu de testare) înainte de a le aplica pe un server de producție sau pe mașina principală și consultați sfaturi și trucuri despre software Linux . Vă poate scuti de multe probleme.

Pe serverele cu mai mulți administratori, este recomandabil să mergeți mai departe și să configurați sudoerii granular , astfel încât fiecare persoană să poată executa doar comenzile de care are nevoie. Acest lucru limitează potențialele daune cauzate de o greșeală sau de un cont compromis și menține, de asemenea, trasabilitatea cine a făcut ce la un moment dat.

Ținând cont de aceste aspecte și respectând ideea că root este un instrument pentru momente specifice, nu un utilizator care se testează pentru sarcinile de zi cu zi , puteți profita din plin de flexibilitatea Linux fără a pune în pericol inutil stabilitatea și securitatea sistemului dumneavoastră.

Ecosistemul Linux se bazează în mare măsură pe separarea dintre utilizatorul normal și superutilizator și pe mecanisme precum sudo și su pentru a comuta între ele doar atunci când este necesar; înțelegerea modului în care funcționează root, când să îl folosești, cum să limitezi expunerea sa și cum să îl recuperezi în caz de urgență este esențială pentru a gestiona cu înțelepciune orice distribuție, fie pe laptopul personal, fie pe un server de producție critic.