{"draftJsState":{"blocks":[{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Разделение привилегий — основа безопасности в операционной системе \nLinux. Обычные пользователи работают с ограниченными привилегиями и \nмогут влиять только на собственную рабочую среду, но не на операционную \nсистему в целом. Пользователь с именем root имеет привилегии суперпользователя — это административная учетная запись без ограничений.","type":"unstyled","key":"8mobm"},{"data":{"image":{"id":"6866712e3fc26e3ff0d8333a"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"fgk81"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"uav2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Использование su для получения прав root","type":"header-two","key":"2ov42"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Команда su (substitute user) предназначена для замены пользователя. После ввода команды будет предложено ввести пароль root, после чего будет создан сеанс оболочки суперпользователя.","type":"unstyled","key":"8slv1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ su -l\nПароль: здесь-пароль-root\n# whoami\n# root\n# exit","type":"unstyled","key":"f40av"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Обратите внимание, что мы не указываем имя пользователя — в этом случае подразумевается, что нужно запустить новый сеанс root. Но можно запустить сеанс от любого пользователя.","type":"unstyled","key":"62h1g"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ whoami\n$ sergey\n$ su -l pavel\nПароль: здесь-пароль-pavel\n$ whoami\n$ pavel\n$ exit","type":"unstyled","key":"bver0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Опция -l или --login изменяет контекст выполнения оболочки — переменные $PATH, $HOME, $SHELL, $USER содержат значения, характерные для указанного пользователя.","type":"unstyled","key":"9p5kd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Справка по команде su.","type":"unstyled","key":"6mq4t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ su --help\nИспользование:\n su [параметры] [-] [<пользователь> [<аргумент>...]]\n\nChange the effective user ID and group ID to that of .\nA mere - implies -l. If is not given, root is assumed.\n\nПараметры:\n -m, -p, --preserve-environment do not reset environment variables\n -w, --whitelist-environment don't reset specified variables\n\n -g, --group указать первичную группу\n -G, --supp-group specify a supplemental group\n\n -, -l, --login make the shell a login shell\n -c, --command pass a single command to the shell with -c\n --session-command pass a single command to the shell with -c\n and do not create a new session\n\n -f, --fast передать -f командной оболочке (для csh или tcsh)\n -s, --shell run if /etc/shells allows it\n -P, --pty create a new pseudo-terminal\n\n -h, --help показать эту справку\n -V, --version показать версию\n\nДля более детальной информации смотрите su(1).","type":"unstyled","key":"4aq2r"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В Ubuntu для суперпользователя пароль не задан, поэтому нельзя запустить сеанс root. Как правильно ввести пароль, которого нет? Чтобы обойти это ограничение, достаточно добавить sudo перед su.","type":"unstyled","key":"6dk2m"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ whoami\nsergey\n$ sudo su\n[sudo] пароль для sergey: здесь-пароль-sergey\n# whoami\n# root\n# exit","type":"unstyled","key":"951dh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Хотя в Ubuntu нет пароля для root, его всегда можно установить. И запускать сеанс root с помощью su, без sudo. Но делать это не рекомендуется без веских причин.","type":"unstyled","key":"d2rb3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo passwd\n[sudo] пароль для sergey: здесь-пароль-sergey\nНовый пароль: новый-пароль-root\nПовторите ввод нового пароля: новый-пароль-root\npasswd: пароль успешно обновлён","type":"unstyled","key":"9p7a4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Обратите внимание, что мы не указываем имя пользователя для passwd — в этом случае подразумевается root. Чтобы вернуть Ubuntu в исходное состояние, нужно заблокировать учетную запись root.","type":"unstyled","key":"cg5pg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo passwd -l root","type":"unstyled","key":"4f7v7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Использование sudo для запуска команд от root","type":"header-two","key":"blim7"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Команда sudo (substitute user and do) позволяет выполнять разовые команды с привилегиями root без необходимости создавать новую оболочку.","type":"unstyled","key":"6fspo"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ whoami\n$ sergey\n$ sudo apt update\n[sudo] пароль для sergey: здесь-пароль-sergey\nВыполнение команды apt с правами root","type":"unstyled","key":"2uv80"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Иногда нужно выполнить несколько команд с правами root и вводить каждый раз sudo (и периодически — пароль) может быть неудобно. Тогда можно начать сеанс root, выполнить все команды, после чего завершить сеанс.","type":"unstyled","key":"eo0d9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ whoami\nsergey\n$ sudo -i\n[sudo] пароль для sergey: здесь-пароль-sergey\n# whoami\n# root\n# exit","type":"unstyled","key":"dpt3j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":24,"offset":0,"style":"BOLD"}],"text":"Справка по команде sudo.","type":"unstyled","key":"atkvl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo --help\nsudo — выполнение команд от имени другого пользователя\n\nusage: sudo -h | -K | -k | -V\nusage: sudo -v [-ABknS] [-g group] [-h host] [-p prompt] [-u user]\nusage: sudo -l [-ABknS] [-g group] [-h host] [-p prompt] [-U user] [-u user] [command]\nusage: sudo [-ABbEHknPS] [-r role] [-t type] [-C num] [-D directory] [-g group] [-h host] [-p prompt] [-R directory] [-T timeout] [-u user] [VAR=value] [-i|-s] []\nusage: sudo -e [-ABknS] [-r role] [-t type] [-C num] [-D directory] [-g group] [-h host] [-p prompt] [-R directory] [-T timeout] [-u user] file ...\n\nПараметры:\n -A, --askpass использовать вспомогательную программу для ввода пароля\n -b, --background выполнить команду в фоновом режиме\n -B, --bell ring bell when prompting\n -C, --close-from=num закрыть все дескрипторы файлов >= num\n -D, --chdir=directory change the working directory before running command\n -E, --preserve-env сохранить пользовательское окружение при выполнении команды\n --preserve-env=list preserve specific environment variables\n -e, --edit редактировать файлы вместо выполнения команды\n -g, --group=group выполнить команду от имени или ID указанной группы\n -H, --set-home установить для переменной HOME домашний каталог указанного пользователя\n -h, --help показать справку и выйти\n -h, --host=host выполнить команду на узле (если поддерживается модулем)\n -i, --login запустить оболочку входа в систему от имени указанного пользователя; также\n можно задать команду\n -K, --remove-timestamp полностью удалить файл timestamp\n -k, --reset-timestamp объявить недействительным файл timestamp\n -l, --list показать список прав пользователя или проверить заданную команду; в длинном\n формате используется дважды\n -n, --non-interactive автономный режим без не вывода запросов пользователю\n -P, --preserve-groups сохранить вектор группы вместо установки целевой группы\n -p, --prompt=prompt использовать указанный запрос пароля\n -R, --chroot=directory change the root directory before running command\n -r, --role=role создать контекст безопасности SELinux с указанной ролью\n -S, --stdin читать пароль из стандартного ввода\n -s, --shell запустить оболочку от имени указанного пользователя; также можно задать команду\n -t, --type=type создать контекст безопасности SELinux указанного типа\n -T, --command-timeout=timeout terminate command after the specified time limit\n -U, --other-user=user в режиме списка показывать права пользователя\n -u, --user=user выполнить команду (или редактировать файл) от имени или ID указанного\n пользователя\n -V, --version показать сведения о версии и выйти\n -v, --validate обновить временную метку пользователя без выполнения команды\n -- прекратить обработку аргументов командной строки","type":"unstyled","key":"4hkbn"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Присвоение пользователю привилегий sudo","type":"header-two","key":"d9u5d"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В Ubuntu группа sudo имеет полные привилегии администратора. Добавляя пользователя в эту группу, мы предоставляем ему такие же привилегии.","type":"unstyled","key":"fodrm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo usermod -aG sudo username","type":"unstyled","key":"8v9ad"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Проверка прав при использовании sudo","type":"header-two","key":"3oftc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Проверить, какие права есть у пользователя при использовании команды sudo, можно с помощью опции -l.","type":"unstyled","key":"23rao"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo -l -U evgeniy\nMatching Defaults entries for evgeniy on ubuntu-server:\n env_reset, mail_badpass, secure_path=.....\n\nUser evgeniy may run the following commands on ubuntu-server:\n (ALL : ALL) ALL","type":"unstyled","key":"ulh8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Также можно узнать, может ли пользователь с помощью sudo \nвыполнить ту или иную команду. Если команда запрещена, то ничего не \nбудет выведено. Если команда разрешена, то будет выведен полный путь до \nфайла.","type":"unstyled","key":"ecmf6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo -l -U evgeniy passwd # команда разрешена\n/usr/bin/passwd\n$ sudo -l -U vasiliy passwd # команда запрещена","type":"unstyled","key":"6ker9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Файл конфигурации /etc/sudoers для sudo","type":"header-two","key":"27vtc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Команда sudo настраивается с помощью файла /etc/sudoers. Редактировать это файл можно только с помощью команды visudo, которая перед сохранением проверяет синтаксис файла. Обычно visudo открывает файл /etc/sudoers в текстовом редакторе vi. Однако в Ubuntu команда visudo настроена на использование текстового редактора nano.","type":"unstyled","key":"4n36p"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo visudo","type":"unstyled","key":"4001i"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"# Список специальных директив для установки опций, которые применяются ко всем пользователям\nDefaults env_reset # сбрасывать переменные окружения при переключении пользователя\nDefaults mail_badpass # отправлять информацию о неправильно введенном пароле по почте\n# этот путь будет использовать команда sudo для поиска команды, которую надо выполнить\nDefaults secure_path=\"/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin:/snap/bin\"\n# для запуска команды sudo будет использовать psuedo-pty для большей безопасности\nDefaults use_pty\n\n# Определение правил для конкретного пользователя, в данном случае root\nroot ALL=(ALL:ALL) ALL\n\n# Определение правил для членов группы, в данном случае для admin и sudo\n%admin ALL=(ALL) ALL\n%sudo ALL=(ALL:ALL) ALL\n\n# Данная директория позволяет вынести часть директив в другие файлы. Это\n# полезно, к примеру, чтобы вынести правила конкретного пользователя.\n@includedir /etc/sudoers.d","type":"unstyled","key":"9l94h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Строки по умолчанию Defaults","type":"header-three","key":"c3jiu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Первая строка Defaults env_reset сбрасывает среду терминала\n для удаления переменных пользователя. Эта мера безопасности \nиспользуется для сброса потенциально опасных переменных среды в сеансе sudo.","type":"unstyled","key":"a45pu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Вторая строка, Defaults mail_badpass, предписывает системе отправлять уведомления о неудачных попытках ввода пароля sudo для настроенного пользователя. По умолчанию это учетная запись root.","type":"unstyled","key":"9rnrf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Третья строка, начинающаяся с Defaults secure_path=…, задает переменную PATH, которая будет использоваться для операций sudo. Это предотвращает использование пользовательских путей, которые могут быть вредоносными.","type":"unstyled","key":"eed5h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Бывает, что злоумышленники пытаются запускать вредоносную программу с помощью sudo, которая разветвит фоновый процесс и он остается активным на терминале пользователя, даже после того как основная программа завершила свое выполнение. Чтобы избежать этого, можно настроить sudo на запуск команд только с помощью psuedo-pty с использованием параметра use_pty.","type":"unstyled","key":"e5l7h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Строки пользовательских привилегий","type":"header-three","key":"dj9or"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Пятая строка файла конфигурации определяет права для пользователя root. Давайте посмотрим, что означают различные поля.","type":"unstyled","key":"994gm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"root ALL=(ALL:ALL) ALL # Поле показывает имя пользователя, для которого составлено это правило\nroot ALL=(ALL:ALL) ALL # Первое ALL означает, что данное правило применяется ко всем хостам\nroot ALL=(ALL:ALL) ALL # Второе ALL разрешает root запускать команды от лица любого пользователя\nroot ALL=(ALL:ALL) ALL # Третье ALL разрешает root запускать команды от лица любой группы\nroot ALL=(ALL:ALL) ALL # Последнее ALL разрешает пользователю root запускать любые команды","type":"unstyled","key":"5ctk8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Это означает, что пользователь root с помощью sudo может выполнять любые команды от любого пользователя или группы после ввода пароля.","type":"unstyled","key":"bsh14"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Строки привилегий для групп","type":"header-three","key":"c3190"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Следующие две строки похожи на строки привилегий пользователя, но задают правила sudo для групп. Группа admin может выполнять любые команды от имени любого пользователя на любом хосте. Группа sudo имеет те же привилегии, но может еще выполнять команды от лица любой группы.","type":"unstyled","key":"a47k8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Строка @includedir /etc/sudoers.d","type":"header-three","key":"9fnno"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Данная строка означает, что файлы в каталоге /etc/sudoers.d также рассматриваются как файлы конфигурации и применяются. В основном это нужно, чтобы приложения могли изменять привилегии sudo после установки. Файлы в этом каталоге следуют тем же правилам, что и сам файл /etc/sudoers. И редактировать эти файлы следует только с помощью команды visudo.","type":"unstyled","key":"c6mlb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo visudo -f /etc/sudoers.d/file-to-edit","type":"unstyled","key":"7tk3u"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Настройка персонализированных правил","type":"header-two","key":"vrks"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Мы познакомились с общим синтаксисом файла, а теперь попробуем создать новые правила.","type":"unstyled","key":"6cunh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Создание псевдонимов","type":"header-three","key":"a36a5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Файл /etc/sudoers можно организовать более эффективно, группируя элементы с помощью разнообразных псевдонимов.","type":"unstyled","key":"db5b1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"# Псевдонимы пользователей для группировки пользователей\nUser_Alias ADMIN_USERS = evgeniy, sergey\nUser_Alias WEBDEV_USERS = andrey, pavel, artem\nUser_Alias LIMITED_USERS = ALL, !ADMIN_USERS, !WEBDEV_USERS","type":"unstyled","key":"c4afl"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"# Псевдонимы команд для группировки команд\nCmnd_Alias REBOOT_COMMANDS = /sbin/reboot\nCmnd_Alias POWER_COMMANDS = /sbin/shutdown, /sbin/halt\nCmnd_Alias ADMIN_COMMANDS = /usr/sbin/passwd, /usr/sbin/useradd, /usr/sbin/userdel, /usr/sbin/usermod, /usr/sbin/visudo\nCmnd_Alias PRINT_COMMANDS = /usr/sbin/lpc, /usr/sbin/lprm","type":"unstyled","key":"ag8pu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"# Псевдонимы запуска от имени пользователя или группы\nRunas_Alias ADMIN_RUNAS = %sudo\nRunas_Alias APACHE_RUNAS = www-data, apache","type":"unstyled","key":"d49g9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Теперь, имея все необходимые псевдонимы, можно легко задавать — какие пользователи какие команды могут запускать с помощью sudo. От имени кого они будут запускать эти команды и нужно ли при этом вводить пароль.","type":"unstyled","key":"58uaj"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"[список пользователей] [список хостов] = [список «запуск от имени»] [PASSWD:NOPASSWD:NOEXEC:] [список команд]","type":"unstyled","key":"epei3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"ADMIN_USERS ALL = (ADMIN_RUNAS) NOPASSWD:ADMIN_COMMANDS, PASSWD:POWER_COMMANDS\nWEBDEV_USERS ALL = (ADMIN_RUNAS) PASSWD:REBOOT_COMMANDS\nALL ALL = (ALL) NOPASSWD:PRINT_COMMANDS","type":"unstyled","key":"dhs03"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Если не указать пользователя или группу «запуска от имени», команда sudo по умолчанию использует пользователя root.","type":"unstyled","key":"2e8lr"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"# подразумевается ALL = (root) ...\nADMIN_USERS ALL = NOPASSWD:ADMIN_COMMANDS, PASSWD:POWER_COMMANDS\n# подразумевается ALL = (root) ...\nWEBDEV_USERS ALL = PASSWD:REBOOT_COMMANDS","type":"unstyled","key":"faba8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Необходимо помнить, что в случае конфликта правил более поздние правила имеют приоритет перед более ранними.","type":"unstyled","key":"j0lk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Прочая информация по команде sudo","type":"header-two","key":"b94gv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Если задать в файле конфигурации пользователя или группу, от имени \nкоторых выполняются команды, можно выполнять команды от их имени.","type":"unstyled","key":"bijsv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"$ sudo -u run-as-user command\n$ sudo -g run-as-group command","type":"unstyled","key":"464bb"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Для удобства sudo сохраняет данные аутентификации в течение\n определенного количества времени на одном терминале. Это означает, что \nне нужно будет вводить пароль снова, пока это время не истечет. В Ubuntu\n по умолчанию это 15 минут — изменить это можно, если добавить следующую строку в файл конфигурации.","type":"unstyled","key":"97tgf"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Defaults timestamp_timeout=60","type":"unstyled","key":"6mped"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Если указать ноль — пароль будет запрашиваться каждый раз при использовании sudo. Если указать отрицательное значение — пароль не будет запрашиваться до следующей перезагрузки системы.","type":"unstyled","key":"e078b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Команда sudo -k позволяет сбросить таймер сохранения данных аутентификации. То есть, после выполнения команды с использованием sudo, выполнение команды sudo -k удалит данные аутентификации.","type":"unstyled","key":"admbv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Команда sudo -v запросит пароль и сохранит данные аутентификации для последующего использования sudo без ввода пароля. Данные аутентификации сохраняются на то кол-во минут, которое указано в файле конфигурации.","type":"unstyled","key":"4ih2v"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":23,"offset":45}],"inlineStyleRanges":[],"text":"Обсудить эту статью можно в Телеграм канале: https://t.me/linautonet","type":"unstyled","key":"aahu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"unstyled","key":"6q5pd"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"ZDnW7VKvXZdefS71RunE"}],"entityMap":{"0":{"data":{"url":"https://t.me/linautonet"},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}