sudo (выполнение команд с правами root)

Что такое sudo и как он работает

sudo (читается «су-ду») запускает команду от имени суперпользователя или другого пользователя, если это разрешает политика безопасности. Согласно руководству sudo, политика проверяется по реальному идентификатору вызывающего пользователя, а политика по умолчанию, sudoers, настраивается в /etc/sudoers. Когда нужна аутентификация, sudoers проверяет учётные данные самого вызывающего, а не целевого пользователя, поэтому делиться паролем root не требуется.

В этом главное отличие от su. В руководстве su сказано, что по умолчанию он запускает интерактивную оболочку от root, а правила доступа, например членство в группе wheel, оставляет на усмотрение PAM. sudo действует по командам: политика может ограничить, какие команды человек запускает, на каком хосте и от какого пользователя, а проект sudo описывает результат как журнал команд и их аргументов. Сами правила разобраны на странице sudoers, а общая идея называется принципом наименьших привилегий.

Повседневные команды и безопасная проверка

Эти формы покрывают почти всю ежедневную работу:

sudo -l                  # что можно запускать на этом хосте
sudo -u www-data id      # одна команда от другого пользователя
sudo -i                  # login-оболочка целевого пользователя (по умолчанию root)
sudo -s                  # оболочка из переменной $SHELL
sudo -v                  # продлить кэшированные учётные данные
sudo -k                  # забыть кэшированные данные в этой сессии
sudo -n true             # ошибка вместо запроса пароля
sudoedit /etc/hosts      # правка временной копии, затем копирование обратно

По руководству, -i запускает оболочку целевого пользователя как login-оболочку, читает её файлы входа и переходит в домашний каталог, а -s запускает оболочку из SHELL или из записи passwd. Оба варианта дают интерактивный shell от root, поэтому лучше выполнять отдельные команды. Чтобы безопасно проверить правило, выполните sudo -k, затем sudo -n true: команда завершится ошибкой, если понадобился бы пароль или запуск не разрешён. Администратор может посмотреть права другой учётной записи через sudo -l -U deploy.

Кэш, журнал и типичные ошибки

• Кэш учётных данных. В руководстве sudoers у timestamp_timeout значение по умолчанию 5 минут, хранится отдельно для каждого терминала (timestamp_type по умолчанию tty). Значение 0 всегда запрашивает пароль, отрицательное никогда не истекает до перезагрузки.
• Оболочки скрывают детали. После sudo -i в журнале видно лишь запуск оболочки. Запись набранного внутри требует log_input или log_output, по умолчанию оба выключены.
• Куда пишется журнал. По умолчанию в syslog, пока не задан файл. Разрешённые команды пишутся с приоритетом notice, отказы и неудачная аутентификация с alert, а попыток ввода пароля по умолчанию три.
• Слишком широкие правила. Запущенная через sudo программа может запускать другие, поэтому разрешение редакторов, пейджеров или ALL сводит контроль на нет.
• Правила без пароля. NOPASSWD означает, что украденная сессия или ключ равны оболочке root.

Сам sudo это привилегированное ПО, поэтому его нужно обновлять, как объясняет руководство по управлению патчами.

Место sudo в защите сервера

На VPS sudo превращает принцип наименьших привилегий в практику: каждый человек входит под именной учётной записью по ключу, прямой вход root выключен, а административные действия повышаются по одной команде. Свои правила кладите в /etc/sudoers.d, делайте каждое узким и регулярно проверяйте. Руководство о пользователях, sudo и наименьших привилегиях описывает такой аудит и уязвимость sudo, которую стоит закрыть патчем, а руководство по защите SSH объясняет, как отключить root по SSH.

Проверьте, кто может повышать права и что происходило недавно:

getent group sudo wheel
sudo journalctl _COMM=sudo --since today

В системах с systemd журнал собирает сообщения sudo из syslog, а _COMM= отбирает записи по имени процесса; в других системах смотрите журнал аутентификации вашего дистрибутива. Поскольку полный доступ к sudo превращает один украденный ключ в root, добавьте администраторам второй фактор для SSH и подключите эти записи к разбору журналов и мониторингу.

Связанные термины: sudoers, Наименьшие привилегии, Вход под root, PAM, UID 0.