Здравствуйте. Если тупанул, прошу прощения)) Я новичок в пингвинах.
В общем установил whonix с официального сайта, обновил все, произвел базовые настройки (локаль русскую поставил, стандартные пароли поменял).
Так вот, насколько я знаю, sudo дает права суперпользователя root.
При попытке запустить любую команду о\через sudo система запрашивает пароль, но она просит пароль не от root, а от user!!!
Ввожу пароль от user, все нормально устанавливается, все работает.
Но блин, почему для команды от имени суперпользоавтеля (sudo) ОС запрашивает пароль от user?????
Такое поведение системы нормально?
Дистрибутив взят с оф. сайта.
Добавлено: 09.04.2021 23:31:09
Разве это не нарушает принципы безопасности?
LinuxForum.Fans
Whonix на команду sudo запрашивает пароль пользователя
Автор: foxbox90000
20 сообщений
5910 просмотров
Это нормально. Sudo (su) позволяет пользователю запускать команды от имени администратора (root) и от имени других пользователей. А принципы безопасности ( существует еще понятие прав и др.) можете нарушить только Вы сами. Поэтому: не уверены, что делаете правильно - не пользуйтесь sudo.
foxbox90000, Если в двух словах, то sudo - обязан запрашивать пароль пользователя, а не root.
su - обязан запрашивать пароль root. При этом sudo может быть настроен так, что и вовсе ввода пароля пользователя для выполнения действий с применением повышенных привилегий не потребуется или потребуется, но для определенных - явно не указанных действий.
В крнфигурацитнных файлах системы есть файл sudoers, включайщий список всех пользователей, имеющих право на выполнение sudo.
Ввод пароля необходим для запуска программ от имени root, текущий пользователь должен иметь права на запуск sudo.
Это нормально. Sudo (su) позволяет пользователю запускать команды от имени администратора (root) и от имени других пользователей. А принципы безопасности ( существует еще понятие прав и др.) можете нарушить только Вы сами. Поэтому: не уверены, что делаете правильно - не пользуйтесь sudo.
А если вредоносная программа проникнет, она же тогда сможет работать с привилегиями администратора....
А если вредоносная программа проникнет, она же тогда сможет работать с привилегиями администратора....
Для этого и нужен пароль. Когда пользователь вводит пароль, он подтверждает намерение запуска программы.
[quote=Oleg65]Это нормально. Sudo (su) позволяет пользователю запускать команды от имени администратора (root) и от имени других пользователей. А принципы безопасности ( существует еще понятие прав и др.) можете нарушить только Вы сами. Поэтому: не уверены, что делаете правильно - не пользуйтесь sudo.
А если вредоносная программа проникнет, она же тогда сможет работать с привилегиями администратора....[/quote]
Так я и написал, что принципы безопасности нарушить можете только Вы, как справедливо и заметил ValentinK, запустив вредоноса своими руками. Без Ваших рук - вредонос это только файл на Вашей машине. И да, права на sudo только у Вас, первого пользователя, второму, добавленному, пользователю придется давать права на использование sudo (Вами от имени root), т.е. вносить его в файл sudoers.
[quote="foxbox90000"]А если вредоносная программа проникнет, она же тогда сможет работать с привилегиями администратора....
Для этого и нужен пароль. Когда пользователь вводит пароль, он подтверждает намерение запуска программы.[/quote]
Но пароль-то требуется от user а не от root чтобы дать вредоносу админские права!
Я тогда вообще не понимаю, зачем нужен пароль суперпользователя root, если любой мимо проходящий вредонос может запускать на машине что угодно с админскими правами, используя пароль от user.
Добавлено: 10.04.2021 17:50:30
[quote=foxbox90000][quote=Oleg65]Это нормально. Sudo (su) позволяет пользователю запускать команды от имени администратора (root) и от имени других пользователей. А принципы безопасности ( существует еще понятие прав и др.) можете нарушить только Вы сами. Поэтому: не уверены, что делаете правильно - не пользуйтесь sudo.
А если вредоносная программа проникнет, она же тогда сможет работать с привилегиями администратора....[/quote]
Так я и написал, что принципы безопасности нарушить можете только Вы, как справедливо и заметил ValentinK, запустив вредоноса своими руками. Без Ваших рук - вредонос это только файл на Вашей машине. И да, права на sudo только у Вас, первого пользователя, второму, добавленному, пользователю придется давать права на использование sudo (Вами от имени root), т.е. вносить его в файл sudoers.[/quote]
Но пароль-то требуется от user а не от root чтобы дать вредоносу админские права!
Я тогда вообще не понимаю, зачем нужен пароль суперпользователя root, если любой мимо проходящий вредонос может запускать на машине что угодно с админскими правами, используя пароль от user.
если любой мимо проходящий вредонос может запускать на машине что угодно с админскими правами, используя пароль от user.
Любой проходящий не может, sudo может использовать только тот, кто прописан в настройках sudouser.
[quote="foxbox90000"]если любой мимо проходящий вредонос может запускать на машине что угодно с админскими правами, используя пароль от user.
Любой проходящий не может, sudo может использовать только тот, кто прописан в настройках sudouser.[/quote]
А зачем тогда вообще нужен пароль от root ?
Достаточно скомпрометировать пароль от обычного пользователя user, под которым я всегда буду работать, и вредонос получает полные админские права на машине. В чем тогда вообще разница между root и user ?
Добавлено: 10.04.2021 18:42:07
[quote="foxbox90000"]если любой мимо проходящий вредонос может запускать на машине что угодно с админскими правами, используя пароль от user.
Любой проходящий не может, sudo может использовать только тот, кто прописан в настройках sudouser.[/quote]
то есть, советуете исключить пользователя user из sudouser ?
А как это сделать, подскажите пожалуйста.
foxbox90000, Вы изначально выбрали дистрибутив с sudo и по мнению разработчиков он будет в нём полезен. Используя sudo вы к примеру не светите пароль root. Как вам ребята выше уже писали, запустить бяку вы можете по невнимательности и уже не важно от root он будет запущен вами или через sudo.
foxbox90000, Вы изначально выбрали дистрибутив с sudo и по мнению разработчиков он будет в нём полезен. Используя sudo вы к примеру не светите пароль root. Как вам ребята выше уже писали, запустить бяку вы можете по невнимательности и уже не важно от root он будет запущен вами или через sudo.
Используя sudo вы к примеру не светите пароль root - а в том-то и дело, что я каждый раз свечу пароль от user, который вообще ничем не отличается от пароля root, потому что точно так же дает привилегии суперпользователя. Можно было тогда вообще не мудрить и сделать в ОС только пользователя root, раз уж они ничем не отличаются.
Мне бы хотелось работать под обычным пользователем, компрометация пароля которого даст злоумышленнику только ограниченные права, а не полный админский доступ.
Подскажите пожалуйста, как убрать пользователя user из sudouser, буду благодарен за подсказку.
Мне бы хотелось работать под обычным пользователем, компрометация пароля которого даст злоумышленнику только ограниченные права, а не полный админский доступ.
Поменяй настройки в sudouser.
[quote=shtoom]foxbox90000, Вы изначально выбрали дистрибутив с sudo и по мнению разработчиков он будет в нём полезен. Используя sudo вы к примеру не светите пароль root. Как вам ребята выше уже писали, запустить бяку вы можете по невнимательности и уже не важно от root он будет запущен вами или через sudo.
Используя sudo вы к примеру не светите пароль root - а в том-то и дело, что я каждый раз свечу пароль от user, который вообще ничем не отличается от пароля root, потому что точно так же дает привилегии суперпользователя. Можно было тогда вообще не мудрить и сделать в ОС только пользователя root, раз уж они ничем не отличаются.
Мне бы хотелось работать под обычным пользователем, компрометация пароля которого даст злоумышленнику только ограниченные права, а не полный админский доступ.
Подскажите пожалуйста, как убрать пользователя user из sudouser, буду благодарен за подсказку.[/quote]
Уберете пользователя - не сможете запускать определенные команды, да и не факт, что потом войдете в систему (вы входите как пользователь). Кроме того, в терминале, как правило, ввод пароля не виден, а в остальных случаях это точки или звездочки. sudo дает Вам возможность изменять/удалять файлы в СИСТЕМЕ ( в отличии от Виндовс, где пользователь может запросто снести системный файл без всяких sudo), а не только ваши пользовательские. В том и прелесть дистров, что изначально предполагается, что пользователь знает и понимает, что он делает и какие последствия будут от его действий. ИМХО, от наличия sudo еще никто не пострадал (имею ввиду ввод пароля пользователя)/
[quote="foxbox90000"]Мне бы хотелось работать под обычным пользователем, компрометация пароля которого даст злоумышленнику только ограниченные права, а не полный админский доступ.
Поменяй настройки в sudouser.[/quote]
А как это сделать? Файл называется sudouser ? Где он лежит?
Добавлено: 10.04.2021 22:56:57
[quote=foxbox90000][quote=shtoom]foxbox90000, Вы изначально выбрали дистрибутив с sudo и по мнению разработчиков он будет в нём полезен. Используя sudo вы к примеру не светите пароль root. Как вам ребята выше уже писали, запустить бяку вы можете по невнимательности и уже не важно от root он будет запущен вами или через sudo.
Используя sudo вы к примеру не светите пароль root - а в том-то и дело, что я каждый раз свечу пароль от user, который вообще ничем не отличается от пароля root, потому что точно так же дает привилегии суперпользователя. Можно было тогда вообще не мудрить и сделать в ОС только пользователя root, раз уж они ничем не отличаются.
Мне бы хотелось работать под обычным пользователем, компрометация пароля которого даст злоумышленнику только ограниченные права, а не полный админский доступ.
Подскажите пожалуйста, как убрать пользователя user из sudouser, буду благодарен за подсказку.[/quote]
Уберете пользователя - не сможете запускать определенные команды, да и не факт, что потом войдете в систему (вы входите как пользователь). Кроме того, в терминале, как правило, ввод пароля не виден, а в остальных случаях это точки или звездочки. sudo дает Вам возможность изменять/удалять файлы в СИСТЕМЕ ( в отличии от Виндовс, где пользователь может запросто снести системный файл без всяких sudo), а не только ваши пользовательские. В том и прелесть дистров, что изначально предполагается, что пользователь знает и понимает, что он делает и какие последствия будут от его действий. ИМХО, от наличия sudo еще никто не пострадал (имею ввиду ввод пароля пользователя)/[/quote]
Ну я, как и сказал выше, новичок в пингвинах. Но одно могу сказать уверенно - что если владелец операционной системы с головой не дружит, то его уже ничто не спасет))) Он просто сам своими руками наустанавливает пару килограмм вредоносов.
Но вот что если админ делает все правильно, а злоумышленник подключается к ОС дистанционно, например, используя найденные уязвимости в исходном коде? Такое возможно? В Виндоус, насколько я знаю, такое вполне возможно, и успешно практикуется, даже несмотря на фаерволлы и т.п. методы защиты... В таком случае лучше было бы сдать злоумышленнику пароль от пользователя с ограниченными правами, но никак не от суперпользователя. Вот о чем я беспокоюсь.
foxbox90000, В Линукс чтобы создать пользователя нужны права суперпользователя имея их нет смысла в новом пользователе. В экосистеме Линукс часто находят уязвимости на самом деле, многие из которых как раз и позволяют повышать привилегии теоретического злоумышленника. Не так давно к примеру надстройка над sudo которая облегчала работу с самим sudo и которой пользовались почти все пользователи Линукс лет десять, была объявлена опасной и по сути десять лет по незнанию админы и не только локалхостов пользовались скомпроментированой системой. Как вы понимаете ваша паранойя имеет под собой надежный фундамент. Как вариант отключите интернет и больше им не пользуйтесь ;)
Но пароль-то требуется от user а не от root чтобы дать вредоносу админские права!
Я тогда вообще не понимаю, зачем нужен пароль суперпользователя root, если любой мимо проходящий вредонос может запускать на машине что угодно с админскими правами, используя пароль от user.
Ещё раз объясняю - если юзер входит в группу sudoers, то есть фактически он сам админ, и входит он группу локальных админов, его пароль и запрашивается.
Пароль запрашивается чтобы предотвратить случайный запуск программы или чтобы программу от root'а не запустил посторонний, находящийся у монитора с запущенной сессией Linux.
Вы сами и ответили на свой вопрос.Но одно могу сказать уверенно - что если владелец операционной системы с головой не дружит, то его уже ничто не спасет)))
Конечно возможно: код пишут люди, от ошибок никто не гарантирован. Что бы не было вредоносов - скачивайте исходники и читайте и разбирайтесь в коде устанавливаемой утилиты. Сложно? Тогда берите программы из надежных источников, а не с сайтов блоггеров Вани (Саши, Мани и т.д.) и будет Вам счастье. Кроме того, что бы увидеть, что сделает команда запущенная в терминале на выполнение - существует утилита maybe основанная на python-ptrace, позволяющая увидеть, что произойдет еще до выполнения этой команды. Удачи. ;)Но вот что если админ делает все правильно, а злоумышленник подключается к ОС дистанционно, например, используя найденные уязвимости в исходном коде? Такое возможно?
А вы уверены что пользователя. А не суперпользователя? Как правило при установке Линукс систем в процессе установки спрашивают будет ли пароль суперпользователя совпадать с пользовательским. Большинство людей делают одинаковый для удобства работы. А потом задают вопросы типа как в заголовке. Дело всего в одной галке при установке.
Но блин, почему для команды от имени суперпользоавтеля (sudo) ОС запрашивает пароль от user?????
Так и задумано. sudo всегда требует ввод пароля именно текущего пользователя (выполняющего эту команду), потому что не переключает на root, а только позволяет пользователю запустить с правами root всего лишь ОДНУ команду.
А если вредоносная программа проникнет, она же тогда сможет работать с привилегиями администратора....
Не сможет. Вы получаете права только на выполнение той команды для которой вводите пароль и после отработки команды "лавочка" закрывается - автоматически снова становитесь обычным пользователем.
Войдите или зарегистрируйтесь, чтобы ответить.
