Faille Ubuntu

[PhilM]

Que de jugements hâtifs en quelques posts.
La seule lecture de man sudo pourrait en faire justice. Je vous y renvoie donc.
Toutefois:

je dirais même plus, la commande sudo est à bannir
autant donner les droits root à l'user, ca revient au même
su
mot de passe
suffit largement

Si j'utilise sudo (je suis sous Mandriva, je ne parle pas là d'Ubuntu), c'est justement pour des raisons de sécurité.
sudo me permet d'executer des commandes root en user dans les limites définies dans /etc/sudoers, et avec un timeout, justement pour ne pas avoir à avoir un terminal en root ouvert [qui permet, par exemple, à n'importe quel farceur passant devant ton ordinateur d'executer rm -rf /usr ;-) ]. Ce risque est écarté avec un sudo correctement configuré. De toute façon, il y a un timeout par défaut.

Je tape sudo qui veut dire super user do

Je me demande d'où tu sort ce genre d'étymologie.

Code: Tout sélectionner

sudo, sudoedit - execute a command as another user

Code: Tout sélectionner

su - run a shell with substitute user and group IDs

su veut dire substitute user, et pas super user. On peut se loguer en tant que n'importe quel utilisateur, pas seulement en tant que root, qui est juste l'user par défaut du système. Une session est ouverte pour l'utilisateur A, et B peut se loguer avec su B + password et faire ce qu'il veut en tant que B.

Je partage l'a priori de beaucoup au sujet de l'utilisation de sudo par Ubuntu. Cependant, l'énorme faille de sécurité dont il est question ici n'a rien à voir avec sudo, puisque le problème est le même si l'on choisit l'installation experte qui crée un utilisateur root+mot de passe root. Le problème, c'est, comme le dit Teotihuacan, qui a découvert la faille, que

Dans les deux cas, on peut récupérer par ce biais (c'est à dire la récupération des mots de passe en clair dans le fichier questions.dat, note de PhilM) un compte administrateur de la machine.

sudo et su sont alors dans la même galère.

[Tesgaz]

Si j'utilise sudo (je suis sous Mandriva, je ne parle pas là d'Ubuntu), c'est justement pour des raisons de sécurité.
sudo me permet d'executer des commandes root en user dans les limites définies dans etc/sudoers, et avec un timeout, justement pour ne pas avoir à avoir un terminal en root ouvert (qui permet, par exemple, à n'importe quel farceur passant devant ton ordinateur d'executer rm -rf /usr ;-)) Ce rique est écarté avec un sudo correctement configuré.

Salut,

c'est justement là ou je ne suis pas d'accord en terme de sécurité, je pense que le système Linux a été concu pour la sécurité, donc, autoriser des commandes root à un utilisateur -> revient à perdre une partie de cette sécurité, parce qu'au fur et à mesure l'user ajoutera des commandes uniquement pour se faciliter la vie, c'est là le problème, vouloir garder des droits d'administrateur comme on a sous Windows, c'est pas top

utiliser la console, y a pas de soucis, elle est toujours ouverte sur mon pc, à la seule différence, après avoir passer la commande sous le compte root, je ferme sa session en tapant : exit
et je continue de l'utiliser avec les commandes user traditionnelles, si j'ai besoin de nouveau d'une commande root, je tape de nouveau mon mot de passe, la commande et ensuite exit



en utilisant cette méthode, je ne compromet pas ma sécurité, et mon user, reste un simple user, ni plus, ni moins

[piratebab]

Bonsoir,
sous mandriva c'est aussi trés simple. J'ouvre une console en tant que simple utilisateur (le fond est blanc), je clique sur session -> nouveau sheel superutilisateur, une nouvelle console est ouverte avec un fond jaune, pas de risque d'erreur.
Une fois la maintenanace terminée, je ferme la fenétre, rien de plus simple.
Si on essaie d'ouvrir au démarrage une session en root, on à des messages d'alertes, et un fond rouge! On peut difficilement se tromper.
Tout cela parmet de bien sensibiliser les débutant au risque de l'utilisateur root, et c'est trés bien.
Je ne me sert de su que pour changer d'utilisateur simple.

[davidoff]

Bonjour

C'est ce que je fais aussi avec mepis, si je veux etre root: su
pour quitter: exit

Pour ubuntu c' est pareil un fois que su est installe il demande passwd de su et pas celui de sudo, qui lui est installe d'origine.

D' ailleurs si tu fais su et tu tapes le passwd de sudo tu te fais jeter...

A+

[bellafago]

Bonjour,
Je serais bien passé sous simply mépis ou Mandriva , mais actuellement les seules , (expérimentées de ma part ), distributions qui tournent sur Amd 64, sont Ubuntu et Suse , en tous cas pour moi , mais il doit certainement y en avoir d'autres je suppose ...
En connaissez vous ? Merci d'avance .
@+

[PhilM]

parce qu'au fur et à mesure l'user ajoutera des commandes uniquement pour se faciliter la vie, c'est là le problème, vouloir garder des droits d'administrateur comme on a sous Windows, c'est pas top...en utilisant cette méthode, je ne compromet pas ma sécurité, et mon user, reste un simple user, ni plus, ni moins

Il me semble qu'il y a une méprise : on ne peut pas dire que sudo revient à donner des droits roots à un utilisateur. Lorsque tu utilises sudo, la commande root est préfixée par "sudo", ce qui revient pour l'user à faire quelque chose en tant que root, et il a été autorisé à le faire par l'administrateur du système qui peut seul configurer /etc/sudoers, et déterminer qui peut faire quoi exactement. Mais si le même utilisateur essaie au même moment dans le même terminal d'envoyer une commande root, ça lui sera refusé, parce qu'il n'a pas utilisé sudo. Et s'il attend quelques instants, il devra ressaisir son mot de passe, même en utilisant sudo, à cause du timeout.
Je pense que ça n'a absolument rien à voir avec windows.

Évidemment, dans le cas d'un pc, concrètement, nous avons tous les 2 casquettes, root et user. Et je suis le seul "sudoer" de mon système, bien sûr. Et se logguer/délogguer avec exit est bien sûr une excellente méthode aussi. Je veux seulement dire que sudo n'est pas moins sûr que su, et que pour moi, ça peut être une protection contre une commande dangereuse tapée par un membre de ma famille, par exemple, dans un terminal root que j'aurais oublié de fermer (ça peut très bien m'arriver un jour où l'autre). Avec sudo, je suis tranquille à cause du timeout par défaut et parce que la commande doit être précédée de sudo. Bien sûr, tu peux mettre un time out pour su. (Je n'ai évidemment rien contre su, que j'utilise dans de longues sessions root ou pour enchaîner des commandes avec &&, parce que sudo me demanderai 20 fois mon mot de passe).

Enfin, je pense qu'un sudo mal configuré peut être dangereux, mais qu'un sudo bien configuré est un excellent outil d'administration (il existe bien sous *BSD....)

Au fait, je vois qu'on parle d'"exit", mais j'avoue que je trouve ctrl-d quand même plus économique...