Italia, identità online maltrattate

Re: pure win userà il kernen linux
- Scritto da: Darwin
Con sudo divento amministratore e faccio cani e
porci usando la mia stessa password. Il concetto
errato è questo.
Non c'è un limite perchè non c'è un capo, un
utente centrale che comandi il tutto.Beh, non proprio: con sudo ottieni i privilegi che il capo, ossia quello che ha configurato /etc/sudoers, ha deciso che devi avere, e nessun altro.Se io che sono root decido che tu puoi fare solo shutdown, fai solo shutdown. Sempreché non configuri male il tuo account, sia chiaro. :)
Proprio per questo è assurdo.
il sistema operativo dovrebbe avere due livelli:
normale (configurato attraverso i gruppi ad avere
i diritti necessari) e root (che ha tutti i
diritti sul computer).Questa affermazione mi dice parecchio. :)Il sistema operativo deve avere i livelli di acXXXXX che servono a chi deve usarlo, non un numero predefito da qualcun altro.Immagino che tu non abbia mai avuto a che fare con realtà in cui oltre agli amministratori di sistema (nel senso di root) ci sono anche operatori di CED, amministratori di rete, responsabili di piattaforme applicative, responsabili di applicazioni, rilasciatori... e mi fermo qui, che basta e avanza come esempio.In realtà del genere ti servono livelli di acXXXXX distinti ma spesso non del tutto separati, che si sovrappongono parzialmene l'uno con l'altro, e i gruppi non ti bastano più: hai bisogno di una granularità maggiore su eseguibili e file, e tocca mettere in campo sudo e acl.Tra l'altro, anche se in teoria non dovrebbe più esserci un limite al numero di gruppi definibili (salvo il valore massimo per il GID, ovvio) ed a quelli a cui un utente appartiene, in realtà ancora si rischia di finire a sbattere contro un limite legacy di 64 gruppi per utente che ti tira scemo per capire cosa non va - un esempio? L'interprete perl v.5.8.5, che il cielo lo fulmini. :)
Se a me serve che root (e solo root) usi una
shell differente, come ksh o csh, al posto di
bash con su lo posso fare. Con sudo no.export SHELL=/bin/csh ; sudo -s [command]dovrebbe farti fare quello che scrivi, ma non ne ho mai avuto bisogno; se lanci shell script, puoi lasciare che ci pensi lo shabang.
Oppure se
la bashrc di root ha delle impostazioni
particolari che un utente normale non ha (e non
deve avere), come faccio a farlo con sudo?Più facile il contrario... che l'utente abbia impostazioni che root non deve avere. :)
Semplice, è impossibile.Mai, MAI definire impossibile qualcosa, quando hai a che fare con un sistema operativo: è matematicamente certo che finirai sconfessato.A me dicevano che non si potevano inviare specifiche di stampa diverse da quelle impostate per default su una coda remota, o che un menu utente bisognava farlo in C e col DCL non c'era modo, ai vecchi tempi dell'OpenVMS...
Questo lo si fa attraverso i gruppi in modo
semplice.
Io che uso slackware e voglio dare le
impostazioni che tu dici faccio entrare solo nel
gruppo plugdev il primo utente e solo nel gruppo
netdev il secondo.C'è un altro aspetto importante da considerare.Per motivi di sicurezza e di integrità dei sistemi, è bene che gli utenti incaricati di svolgere attività privilegiate non abbiano i necessari privilegi per default, ma li ottengano a seguito di un'azione volontaria e li perdano al termine delle operazioni che dovevano svolgere.En passant, è anche specificato nella normativa vigente sugli amministratori di sistemi informatici.Ma è sempre stata pure una best practice: nessun amministratore sano di mente usa solo l'account root, ma accede ai sistemi con un account non privilegiato coma qualsiasi altro utente, e cambia user o acquisisce privilegi quando serve.Se usi i gruppi per ottenere i privilegi, o assegni l'utente al gruppo e se li ritrova per default (e non va bene...) oppure crei una pletora di altri user cui l'utente può accedere (e già per qualche centinaio di persone lascio volentieri il piacere della gestione a qualcun altro :) ).
Con sudo inoltre non sortisci alcun effetto.
Se io creo cinque account almeno uno deve essere
un sudoer.
Se lo sono tutti e cinque qualsiasi impostazione
dai loro, può essere cambiata da loro stessi, in
quanto basterà un sudo -s per elevarsi ad
amministratori e cambiare tutto, sia per loro sia
per gli altri.Non ti seguo: sudo legge quanto scritto in /etc/sudoers, e questo file lo può cambiare solo root, o utenti, gruppi e raggruppamenti esplicitamente autorizzati in /etc/sudoers."Gli altri, spingano", come sottintendeva la vecchia pubblicitò della Dolce Euchessina. :D :D :D
Se un altro account sudoer sostituisce un
eseguibile con un fake, può creare un buco di
sicurezza enorme quanto una casa.Se gli è stato dato il privilegio per farlo, ne avrà la responsabilità.Se chi ha configurato /etc/sudoers non glielo ha conXXXXX, non potrà farlo.
Andiamo con i piedi di piombo prima di parlare di
sicurezza con sudo.Dipende tutto e solo dalla configurazione in /etc/sudoers, non da sudo in se.'man sudoers' e la lettura del file /etc/sudoers di default è solo l'inizio...Spezzo un'ultima lancia a favore di sudo: un singolo file /etc/sudoers può essere scritto in modo da garantire a utenti diversi l'acXXXXX a privilegi diversi per ciascun sistema o gruppo di sistemi presente in una rete, e condiviso in modo da essere letto e "rispettato" da tutti i sistemi.Insomma, un UNICO file per TUTTI i sistemi di una rete, con o senza single signon.