Arch Linux

(Un)Sinn sudo?

Robert

Moin,
von älteren Ubuntu Zeiten kenne ich noch das Arbeiten mit sudo. Unter Arch hat man ja dafür den root account.
Trozdem kann man sich sudo installieren, ist auch für makepkg -s scheinbar ganz brauchbar.
Ich hab mich jetzt dran gewöhnt und schätze das Arbeiten als root (nicht immer ewiges sudo getippe), bin aber auch leicht genervt, für eine Systemaktualisierung mich als root einzuloggen. Hab deswegen mit visudo pacman Operationen erlaubt.
(ist das so eigentlich in Ordnung oder nicht sicher?)
Verwendet ihr sudo oder haltet ihr das für Unfug?

Pjotr

pacman operationen ohne passwort abfrage zu erlauben ist schon potentiell unsicher. zb kann mit pacman -U ohne probleme schadsoftware installiert werden.
wenn nur pacman -Syu zu erlaubst, faellt mir spontan kein problem ein (ausser dass ein update dein system ebenfalls beschaedigen kann).

ich benutze kein sudo mehr. habs nach meiner ubuntu zeit auch ne ganze zeit unter arch gemacht, vorallem, weil ich oefter mal sachen ausfuehren will, fuer die ich admin sein muss, sie aber in nem user terminal ausfuehre. da ist ein sudo dranhaengen komfortabler als makieren, einloggen und dann wieder einfuegen. ich hab mir damit auf jedenfall meistens den umweg ueber die maus gespart. seit dem ich arch benutze wurde die sudo benutzung jedoch immer weniger, mitlerweile hab ich sie ganz sein lassen.

chepaz

Robert schrieb Verwendet ihr sudo oder haltet ihr das für Unfug?

Ja. Einmal z.B. auf dem Server wenn ich mir nur Logfiles anschauen, mich aber nicht als root einloggen will (ssh-root-login disabled). Zum anderen oft auf dem Desktop. Ich finde es bewahrt einen davor all zu schnell Mist zu bauen 😉 Und man vergisst keine offene root-console.

Kinch

Robert schriebMoin,
Ich hab mich jetzt dran gewöhnt und schätze das Arbeiten als root (nicht immer ewiges sudo getippe)

Inwiefern macht es beim Aufwand einen Unterschied ob du ne Root-Shell durch "sudo" oder durch "su" oder sonstwie bekommst?

Robert schrieb (ist das so eigentlich in Ordnung oder nicht sicher?)

Natürlich ist es unischer; jeder der will kann Programme installieren oder deinstallieren.

Robert schrieb Verwendet ihr sudo oder haltet ihr das für Unfug?

sudo ist auf Multiuser-System wesentlich besser, als "su". Und auf einem Single-User-System hat es den Vorteil, dass man eben nicht mit zwei Accounts arbeiten muss (nutzer und root), sondern eben nur mit einem.

Robert

Kinch schriebInwiefern macht es beim Aufwand einen Unterschied ob du ne Root-Shell durch "sudo" oder durch "su" oder sonstwie bekommst?

Mein root passwort ist sehr länger als mein normales passwort 😉
Das man mit einem PKGBUILD und einer pkgname.install Datei böses anrichten kann, hab ich mir auch gedacht. Wenn aber nur ein pacman -Syu erlaubt ist, müsste der mirror manipuliert sein und das Sicherheitsrisoko wäre minimiert bzw auch bei einem normalen root account vorhanden, oder?

Kinch

Robert schriebMein root passwort ist sehr länger als mein normales passwort 😉

Also ist es weniger Aufwand sudo zu nutzen, als sich als Root anzumelden? Aber du sprachst vom genauen Gegenteil, nämlich du das sudo-Getippe nervig findest

Robert schrieb Wenn aber nur ein pacman -Syu erlaubt ist, müsste der mirror manipuliert sein und das Sicherheitsrisoko wäre minimiert bzw auch bei einem normalen root account vorhanden, oder?

Na ja, ein -Syu wäre mir persönlich schon zuviel, weil nicht jeder der mal an meinen Laptop darf unbedingt ne Aktualisierung durchführen können soll. Für einen geziehlten Angriff ist das natürlich weniger bedenklich.

Army

Nein ich benutze kein sudo! Aber damit Programme, die sudo benötigen, trotzdem funktionieren, habe ich das Paket nosudo ausm AUR installiert. Ist ein einfaches Shellskript, das die Eingabe an su weiterleitet. Einzugeben ist dann selbstverständlich das root-Passwort. Kann ich allen, die kein wirkliches sudo verwenden möchten, nur empfehlen!

portix

Army schriebKann ich allen, die kein wirkliches sudo verwenden möchten, nur empfehlen!

Was ist denn der Vorteil gegenüber dem richtigen sudo? Mir erschließt sich der Sinn nicht.

Army

Naja, nicht jeder hat es gern, dass sein Benutzerpasswort dazu benutz werden kann, root zu werden. Für all die Leute, die sudo schlichtweg nicht mögen, ist dieses Skript gemacht. Von Vor- und Nachteilen möchte ich hier garnicht sprechen, es ist eben ein Ersatz für sudo.

portix

Army schriebNaja, nicht jeder hat es gern, dass sein Benutzerpasswort dazu benutz werden kann, root zu werden.

sudo kann man doch so konfigurieren, dass für jedes sudo ... das Rootpasswort eingegeben werden muss, also genau das, was das Skript machen soll.

Dirk

Ich sehe den Sinn nicht. Bzw. gibt es nichts wofür ich es brauchen könnte. Wer auch immer mir ein Gegenbeispiel nennen kann: nur zu.

Kinch

Dirk Sohler schriebWer auch immer mir ein Gegenbeispiel nennen kann: nur zu.

Du hast mehrere Nutzer eines Systems und die Nutzer möchten eine Operation durchführen, die Root-Rechte erfordert aber nicht Sicherheitsrelevant ist.

Du willst eine Root-Shell, aber immer noch deine Benutzer-Shell, mit allen Variablen, Einstellungen, Aliasen etc pp behalten.

Du willst einige Befehle mit Root-Rechten per Skript ausführen, ohne das Passwort eingeben zu müssen.

Dirk

Kinch schriebDu hast mehrere Nutzer eines Systems und die Nutzer möchten eine Operation durchführen, die Root-Rechte erfordert aber nicht Sicherheitsrelevant ist.

Klar, das sich dafür jetzt ein Beispiel haben möchtem oder? 🙂

Kinch schriebDu willst eine Root-Shell, aber immer noch deine Benutzer-Shell, mit allen Variablen, Einstellungen, Aliasen etc pp behalten.

Das geht aber auch ohne sudo.

Entweder einmalig …

su -c "cat /home/user/.bashrc > /root/bashrc"

… oder einmalig …

su -c "ln -s /home/user/.bashrc /root/.bashrc"

… Beim Ersten ist’s statisch, beim Zweiten haben user und root immer die selben Einstellungen.

Kinch schriebDu willst einige Befehle mit Root-Rechten per Skript ausführen, ohne das Passwort eingeben zu müssen.

Nein, das will man eigentlich nicht 🙂

su -c ./script

Macht das, quasi. Da gibst du ein Mal dein Passwort ein, und fertig 🙂

Kinch

Dirk Sohler schrieb Klar, das sich dafür jetzt ein Beispiel haben möchtem oder? 🙂

Beispiel aus der Praxis: Meine Mom hat nen Lappi den sie auch einmal die Woche aktualisieren können soll; aber keine neuen Programme installieren oder deinstallieren.

Dirk Sohler schrieb su -c "ln -s /home/user/.bashrc /root/.bashrc"

… Beim Ersten ist’s statisch, beim Zweiten haben user und root immer die selben Einstellungen.

Na ja, finde ich jetzt nicht so prickelnd: Funktioniert auch nur bei einem Single-User System.

Home ist bei mir ne eigene Partition, wenn die mal ausgehangen werden muss, habe ich überhaupt keine Shell-Config.

Meine .zshrc ist auf mehrere Dateien in mehreren Ordner gesplittet; einige davon werden auch dynamisch angelegt (die Bookmarks, Sonder-Variablen für SSH-Agent, die History z.B.). Das wäre mir ehrlich gesagt zu viel Gefrickel im Vergleich zu sudo.

Home ist ein anderer Ordner. Das ist hinderlich bei Dinge, die sich auf den Home-Ordner beziehen; zum Beispiel PATH-Variable oder CDPATH-Variable.

Nein, das will man eigentlich nicht 🙂

Also ich finde ein "pacman -Sy;pacman -Qu" schon praktisch, um zu wissen wieviele Pakete aktualisiert werden können. Ich sehe auch nicht ein dafür jedesmal ein Passwort einzugeben.

Dirk Sohler schrieb su -c ./script
Macht das, quasi. Da gibst du ein Mal dein Passwort ein, und fertig 🙂

Alleine der Sicherheits-Aspekt ist völlig anders: Hierbei wird das gesamte Skript per Root ausgeführt, dass ist meistens eben nicht nötig. Wichtiger wäre es nur dann Root-Rechte zu haben, wenn man es braucht.

Mal ein Beispiel: Du hast ne Anzeige, etwa per Conky, die jede Stunde die möglichen Aktualisierungen zeigt. Willst du dann ganz conky als Root starten um "pacman -Sy" durchzuführen?

Also wenn du sudo nicht brauchst, brauchst du es eben nicht. Aber "su" ist Definitiv kein Ersatz. Allein wenn ich ohne DE oder extra Deamon per Knopfdruck das System herunterfahren will, ohne jedes mal das Passwort einzugeben, reicht schon "su" nicht mehr aus.

Kinch

Edit: Doppelt Gemobbelt.

SaThaRiel

sudo ist durchaus sinnvoll.
Ob es am heimischen PC genutzt wird, sollte jeder selber entscheiden. Wenn man alleine darauf arbeitet, hat man normalerweise ja das root Paßwort und kann den einen oder anderen Weg gehen. sudo kann einem hier auch Arbeit abnehmen (s.o.), aber man muß es eben nicht nutzen.
Auf Serverebene ist sudo aber teilweise nicht mehr wegzudenken. Leider ist es inzwischen bei Applikationen im Unix/Linux-Umfeld so, daß diese auch teilweise nur mit root-Rechten laufen, bzw. gestartet/gestoppt werden können. Da es aber meist einen Unterschied zwischen den Applikationsverantwortlichen und dem Serveradministrator gibt, möchte man eben nicht, daß man ständig Backups einspielen muß, weil man der Applikationsverantwortliche vielleicht etwas zu großzügig mit seinen root Rechten umgegangen ist. Und als Administrator kann man nunmal auch nicht noch die x Anwendungen mit betreiben. Hier ist sudo unerläßlich, man kann recht einfach die Zuständigkeiten abgrenzen.

Persönlich nutze ich gerne sudo, auch auf meinen PCs. Kompilieren von Paketen, ausprobieren von Programmen usw. wird mit dem normalen User gemacht. Und wenn es notwendig ist, wird eben sudo herangezogen, um systemnahe Sachen zu machen (ändern von Konfigfiles, installieren von Software etc.).

Dirk

Kinch schriebMeine Mom hat nen Lappi den sie auch einmal die Woche aktualisieren können soll; aber keine neuen Programme installieren oder deinstallieren.

Du wirst zugeben, dass das nicht der Regelfall ist, oder? Wie geht das dann überhaupt mit sudo? Kann man pacman -Syu zwar erlauben, aber nicht pacman -S paketname?

Kinch schriebHome ist bei mir ne eigene Partition, wenn die mal ausgehangen werden muss, habe ich überhaupt keine Shell-Config.

Doch, das was in /etc/profile.bash (oder der vergleichbaren globalen Konfigurationsdatei deiner Shell) steht. Dort hinein kommt alles, was für alle User sinnvoll ist. Bookmarks, SSH, etc. kommen dann in die User-Bezogenen Dateien.

Kinch schriebAlso ich finde ein "pacman -Sy;pacman -Qu" schon praktisch, um zu wissen wieviele Pakete aktualisiert werden können.

Ich finde das automatische Updaten der Paketliste in /etc/cron.hourly/pacsync (Dateiname egal) besser 🙂

#!/bin/sh
pacman -Sy

Da reicht dann ein einfaches su -c "pacman -u" zum Updaten des Systems und man muss nicht erst warten, bis der Sync durchgelaufen ist. Natürlich geht ein pacman -Qu so ebenfalls (und ja sowieso) als User.

Mal ein Beispiel: Du hast ne Anzeige, etwa per Conky, die jede Stunde die möglichen Aktualisierungen zeigt. Willst du dann ganz conky als Root starten um "pacman -Sy" durchzuführen?

Nö, da würde ich paconky (AUR) für nehmen. Oder wenn es kein Conky sein sollte, halt pacman -Qu, das durch den Aufruf der Synchronisation durch /etc/cron.hourly/pacsync stundenaktuell ist.

wenn ich ohne DE oder extra Deamon per Knopfdruck das System herunterfahren will, […]

… definiere ich in /etc/acpi/handler.sh, dass der Powerbutton shutdown now -h macht, oder lege mir einen Menüpunkt mit dem entsprechenden DBUS-Aufruf an:

dbus-send --system --print-reply \
--dest="org.freedesktop.Hal" \
/org/freedesktop/Hal/devices/computer \
org.freedesktop.Hal.Device.SystemPowerManagement.Shutdown

Und HAL sowie DBUS zähle ich nun nicht unbedingt zu den „Extra-Daemons“, sondern zur grundinstallation 🙂

Kinch

Dirk Sohler schriebDu wirst zugeben, dass das nicht der Regelfall ist, oder?

Weiß nicht; ich denke es gibt viele solche Fälle, wenn Administration und Benutzung getrennt ist.

Dirk Sohler schrieb Wie geht das dann überhaupt mit sudo? Kann man pacman -Syu zwar erlauben, aber nicht pacman -S paketname?

Ich lass sie nicht "sudo pacman -Syu" eingeben, sondern in nem Kontextmenu nen Knopf drücken. Das geht über ein Shellscriptß

Jetzt weiter ohne auf die Details einzugehen; ich finde sudo wesentlich praktischer, als Kreuz und Quer durchs System zu konfigurieren.

T.M.

Dirk Sohler schrieb
Kinch schriebMeine Mom hat nen Lappi den sie auch einmal die Woche aktualisieren können soll; aber keine neuen Programme installieren oder deinstallieren.
Du wirst zugeben, dass das nicht der Regelfall ist, oder?

Wieso? Das Anliegen ist meiner Ansicht nach berechtigt. In anderen Distributionen können auch normale (wahrscheinlich in einer bestimmten Gruppe befindliche) Benutzer Updates machen.

Dirk Sohler schriebKann man pacman -Syu zwar erlauben, aber nicht pacman -S paketname?

Ja, kann man. Man kann jede Kommandozeile inkl. aller Parameter einzeln und zwar für bestimmte Benutzer und/oder Gruppen administrieren. Macht nur kaum jemand, weil die Konfiguration in /etc/sudoers einfach Mist ist.

Dirk

Kinch schriebich denke es gibt viele solche Fälle, wenn Administration und Benutzung getrennt ist.

Ja, genau. Und updaten? Ist das eine Administrative Tätigkeit oder eine Benutzer-Tätigkeit?

Kinch schriebIch lass sie nicht "sudo pacman -Syu" eingeben, sondern in nem Kontextmenu nen Knopf drücken.

Damit hast du dich als Administrator disqualifiziert. Gratulation! (Und schade um zie schöne zeit, die ich verschwendet habe). Warum disqualifiziert? Nun … Wenn du es zumindest so gemacht hättest, wie T.M. es beschreibt, aber das geht aus deinem Posting komplett anders hervor.

Kinch schriebJetzt weiter ohne auf die Details einzugehen; ich finde sudo wesentlich praktischer, als Kreuz und Quer durchs System zu konfigurieren.

Genau. Du verwendest bestimmt auch chmod 777, wenn eine Textdatei mal nicht von jemand anderem gelesen werden kann, oder? Ist ja so viel einfacher, das mal eben so schnell zu machen, anstatt es richtig, wie vorgesehen, zu konfigurieren, was?

EOD

Nächste Seite »

Datenschutz
Impressum