In de taken die we dagelijks uitvoeren op onze Linux-computers is het gebruik van de opdracht sudo heel gewoon om een opdracht uit te voeren met beheerdersrechten. Hoewel de opdracht sudo ons beheerdersrechten geeft, zijn er enkele beveiligingsfouten die we later zullen zien.
Wat is het SUDO-commando?Het woord sudo is een afkorting voor Sheks OFzijn Doen en dit stelt de gebruiker in staat om het uit te voeren om root-rechten te hebben of superbeheerder.
Zoals we kunnen zien, is sudo een zeer delicaat commando, dat bij onjuist gebruik ernstige problemen in de apparatuur en besturingssystemen kan veroorzaken, we moeten ons ervan bewust zijn en onze apparatuur zo goed mogelijk verzekeren, zodat we toekomstige problemen zullen oplossen.
OpmerkingHier gaan we gebruik maken van het CentOS 7-besturingssysteem, maar het is hetzelfde van toepassing op Debian, Ubuntu, enz.
1. Sudo-opdrachtfouten
Hoewel het erop lijkt dat sudo erg veilig is, is het dat in feite ook, we gaan analyseren waar we de fout hebben die een groot beveiligingsprobleem kan worden.
OpmerkingVoor deze analyse hebben we de user solvetic ingevoerd, want als we als root invoeren, zou de sudo niet geldig zijn.
We openen ons besturingssysteem en proberen een systeemupdate uit te voeren met de opdracht:
sudo jammie updateLaten we eens kijken dat we voor de veiligheid het beheerderswachtwoord moeten invoeren dat perfect is als iemand een actie in het systeem probeert uit te voeren:
We voeren onze inloggegevens in en we zullen zien dat het systeem wordt bijgewerkt volgens ons verzoek.
Tot nu toe alles normaal en perfect op beveiligingsniveau; Stel we gaan een kopje koffie drinken en laten de sessie open, er komt een andere persoon die niet bevoegd is om te zien of wijzigingen aan te brengen en het commando invoert:
sudo dfAangezien je de systeempartities wilt zien en wat is de verrassing en de beveiligingsfout, niets meer dan sudo vraagt niet langer om het wachtwoord om deze informatie te zien:
De reden voor deze beveiligingsfout is dat: de opdracht sudo slaat uw superbeheerdersstatus voor een bepaalde tijd op voordat u terugkeert naar de normale gebruiker zonder beheerdersrechten, daarom kunnen in deze periode taken worden uitgevoerd zonder dat een wachtwoord nodig is, omdat het is opgeslagen in het cachegeheugen.
Solvetic legt hier uit hoe je dit kleine sudo-beveiligingsprobleem in Linux kunt oplossen, je zult zien dat het niet lang zal duren.
2. Sudo-wachtwoordcaching oplossen
We gaan het volgende proces uitvoeren om elke keer dat we het sudo-commando gebruiken om het wachtwoord te vragen. Bekijk de volgende tutorial om er zeker van te zijn dat je een goed wachtwoord hebt: Maak sterke wachtwoorden. Allereerst gaan we naar de root van het systeem met behulp van de syntaxis:
cd /Daar gaan we de volgende parameter invoeren om het sudo-opdrachtbestand te bewerken, we zullen invoeren:
sudo nano / etc / sudoersEr wordt een bestand met tekst geopend, we gaan naar het einde van dit bestand met behulp van de schuifpijlen en we moeten het volgende invoeren:
Standaardwaarden: ALLE timestamp_timeout = 0Met deze waarde vertellen we sudo dat de tijd om het wachtwoord te cachen nul (0) moet zijn.
We slaan de wijzigingen op met de toetsencombinatie:
Ctrl + O
En we verlaten de editor met de combinatie:
Ctrl + X
3. Valideren vanuit sudo-instellingen
We gaan controleren of we deze fout inderdaad in sudo hebben verholpen. Laten we proberen het systeem opnieuw te updaten met:
sudo jammie updateEn we zullen zien dat het ons vraagt om het beheerderswachtwoord in te voeren:
Als we nu weer koffie gaan drinken en er komt een andere "nieuwsgierige" persoon aan die het commando invoert:
sudo gratisOm het vrije RAM-geheugen of een ander commando te zien, ziet u het volgende:
U moet het beheerderswachtwoord invoeren om deze informatie te kunnen bekijken. De persoon gelooft niet en probeert het commando te gebruiken:
sudo topEn het volgende verschijnt:
U moet nog steeds het wachtwoord invoeren. Op deze manier hebben we de beveiliging van het sudo-commando verhoogd, voorkomen dat het beheerderswachtwoord in de cache wordt opgeslagen en dus geen enkele gebruiker toelaten om verboden taken uit te voeren. Pas het bestand gewoon aan zweet en dus verbeter het grote nut van sudo En trouwens, drink rustig onze koffie als we onze terminal open laten, hoewel het beste en wat we allemaal moeten doen, is onze apparatuur op slot te doen als we weg zijn.
Ten slotte laten we u de volgende tutorial om onze virtuele console te beveiligen: Blokkeer Linux-consolesessie met Vlock. En als je je kennis en technieken wilt blijven vergroten, zijn hier alle tutorials over Linux-systemen:
Linux-tutorials
