Stanislav Kruchinin wrote: > Eugene V. Lyubimkin wrote: >> Dmitry E. Oboukhov wrote: >>> rlyr> Здравствуйте. Объясните пожалуйста в чем все таки преимущество >>> (или >>> rlyr> недостаток) использования sudo по сравнению с "su -" (в случае >>> rlyr> необходимости, т.е пакет поставить и т.п) >>> в том виде в каком sudo предлагают использовать в большинстве >>> дистрибутивов >>> (как _ЗАМЕНА_ su) - это офигенная дырень в безопасности. >>> скрипт в 20 строк получает рута будучи запущен под пользователем >>> на которого настроено это sudo (сейчас вероятность этого мала >>> просто потому что пока как тот индеец джо линукс неуловим >>> потому что не нужен (распространен)) >> З.Ы. Объясню вкратце - дыра заключается в умолчальном 5-10-15-минутном >> таймауте после >> первого ввода пароля, в течение которого sudo не спрашивает пароль. >> Решение проблемы - >> установка строки "Defaults<tab>timestamp_timeout=0" в /etc/sudoers. >> > > Все это звучит весьма провокационно. Объясните пожалуйста поподробнее, > как ненулевой таймаут способствует получению прав рута из сессии > пользователя с ограниченными правами? Какие настройки должны быть при > этом у пользователя в /etc/sudoers? sudo при первом запуске запрашивает > только пароль юзера, в этом его суть: передать часть прав без передачи > рутовского пароля. В трёх словах - любая гадость, запущенная из-под юзера, способна следить за запускаемыми командами. Как только юзер удачно применил sudo, сия гадость может беспрепятственно сделать "sudo <плохая команда>", так как пароль не будет запрошен. За конкретной реализацией прошу к Дмитрию и BTS на sudo. -- Eugene V. Lyubimkin aka JackYF, JID: jackyf.devel(maildog)gmail.com Ukrainian C++ developer, Debian APT contributor
Attachment:
signature.asc
Description: OpenPGP digital signature