Wiadomości

Linux: Vsys - następca SUDO?

7 lipca 2011 09:01,
IDG News Service, miw
TAGI: sudo, linux, unix, vsys

Naukowcy z PlanetLab (Princeton University) opracowali program, który ma szansę zastąpić sudo - narzędzie popularne wśród administratorów systemów Linux i Unix. Vsys ma zapewniać dużo lepszą kontrolę nad dostępem użytkowników do uprzywilejowanych operacji.

Jeden z autorów rozwiązania, Sapan Bhatia, porównuje relację sudo do Vsys z tą między assemblerem a językiem C, co oznacza, że za pomocą nowego narzędzia można zrobić wszystko to, co dało się zrealizować używając starego, przy czym to nowe zawiera wiele udogodnień.

Sudo pozwala administratorom nadawać wyższe uprawnienia do wykonywania określonych operacji na komputerze, bez potrzeby jednoczesnego przyznawania im uprawnień absolutnych (root) do danego systemu. Często sami administratorzy korzystają z tego narzędzia, dzięki czemu są bardziej świadomi, gdy podejmują potencjalnie niebezpieczne działania, choć wielu specjalistów uważa sudo za niepotrzebną podpórkę (zob. Dziewięć zasad administratora Uniksa.

Vsys jest podobny do sudo, ale jego zaletą jest precyzyjniejsze zarządzanie dostępem do zasobów systemowych. "Użytkownicy czasami potrzebują funkcji i zasobów, do których zgodnie z domyślnym modelem bezpieczeństwa nie mają dostępu" - mówi Bhatia. "Mogą potrzebować plików, które są niewidoczne czy uruchamiania poleceń, do których zwykli użytkownicy nie mają uprawnień"

Z podobnym problemem musieli zmierzyć się specjaliści z PlanetLab. Stworzony przez nich Vsys pozwala naukowcom pracującym w tym ośrodku na dostęp do niskopoziomowych funkcji systemu, by móc testować i rozwijać nowe technologie sieciowe, a przy tym, by ich działania były odizolowane od środowiska produkcyjnego.

Vsys został zbudowany z wykorzystaniem kilku narzędzi Uniksa, wśród których najistotniejsze to ptrace - służące do śledzenia procesów, czy chroot - definiujące katalog główny (root) użytkownika. Za pomocą Vsys można tworzyć skrypty (zwane rozszerzeniami), które mogą precyzyjnie określać, jakie działania użytkownika są dozwolone. Rozszerzenia te są pisane w jednym z wielu języków programowania i są dostępne jako pliki wykonywalne.

W artykule towarzyszącym prezentacji rozwiązania, autorzy opisali różnice między Vsys a innymi alternatywami dla sudo (takimi jak SUS czy ssu). Jak można przeczytać w dokumencie: "W przeciwieństwie do tamtych narzędzi i ich wariantów, działanie Vsys wykracza poza określenie ACL (praw dostępu) dla uprzywilejowanych poleceń. Vsys ma ułatwiać budowanie odizolowanych operacji za pomocą istniejących narzędzi".

Jak przekonuje inny z prelegentów, Eddie Kohler, choć użytkownicy rzadko korzystający z sudo raczej nie zainteresują się Vsys, to dla administratorów centrów danych to narzędzie może się okazać atrakcyjne. Wytrawny administrator osiągnie funkcjonalność Vsys za pomocą sudo i innych narzędzi Uniksa, ale będzie to go kosztować więcej pracy niż skorzystanie z Vsys.

PlanetLab mieści się w Princeton University i jest globalną siecią badawczą łączącą wiele instytucji akademickich, rządowych oraz firm.
Ocena:
Twoja ocena:

Komentarze (6)

~Van

18-07-2011 11:21

Gwoli ścisłości - to, jak duże uprawnienia nada sudo zależy od tego, jak jest skonfigurowane. Można np. ustawić sudo wyłącznie do szybkiego przekierowania portów - wtedy sudo będzie działać wyłącznie z jednym, konkretnym poleceniem, z innym nie będzie działać.

~autor

07-07-2011 21:38

To prawda - można (o ile dostanie się takie uprawnienie od administratora - w pliku konfiguracyjnym definiuje się zarówno użytkowników jak i programy, których mogą w tym trybie używać) wydać polecenie sudo su i być może dla kogoś jest to dobry pomysł na używanie sudo. Nie da się jednak ukryć, że można go też używać w taki sposób, żeby użytkownikom dać prawa do pojedynczych poleceń a jednocześnie nie dać do całego systemu (o czym jest dwukrotnie zacytowany w komentarzach fragment). Co do komentarzy na temat wykształcenia - w sumie może nawet miło być zaliczonym w grono studentów, nawet jeśli ten kto to pisze ma zupełnie inny cel :) Niestety nie wszyscy Komentujący zauważyli, że artykuł nie jest o sudo a o czymś innym co wydaje się ciekawe i ma szanse owo polecenie sudo zastąpić. Wydaje się, że na to właśnie warto zwrócić uwagę.

~wb

07-07-2011 19:37

"Sudo pozwala administratorom nadawać wyższe uprawnienia do wykonywania określonych operacji na komputerze, bez potrzeby jednoczesnego przyznawania im uprawnień absolutnych (root) do danego systemu." - bzdura @Mor" - czytaj ze zrozumieniem" - bzdura a sudo su? tak to jest jak się studenty biorą za pisanie "newsów"

~jarek

07-07-2011 10:54

@Mor - czytaj ze zrozumieniem - "do danego systemu" znaczy do całego systemu. Sudo daje roota ale dla określonego polecenia

~ffamousffatman

07-07-2011 10:44

Postęp, postęp, postęp, a nawet rewolucja. Nawet tam, gdzie się go nikt nie spodziewa, w bazalnych odmętach uniksa.

~Mor

07-07-2011 10:41

"Sudo pozwala administratorom nadawać wyższe uprawnienia do wykonywania określonych operacji na komputerze, bez potrzeby jednoczesnego przyznawania im uprawnień absolutnych (root) do danego systemu." - bzdura. Sudo służy do podniesienia uprawnień wykonywanego polecenia właśnie do poziomu uprawnień użytkownika "root".

Reklama

Huawei celuje w rynek biznesowy

Huawei nieustannie rozwija się jako dostawca infrastruktury dla branży telekomunikacyjnej. W tym roku chiński koncern zamierza umocnić swoją pozycję również na rynku rozwiązań Enterprise.


Polecane

Koniec Windows XP początkiem problemów?

Microsoft oficjalnie potwierdził, że za dwa lata definitywnie zakończy się era Windows XP - systemu operacyjnego,...


Spokój i luz administratora

Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...


04-204 Warszawa ul. Jordanowska 12
tel.: (+48 22) 321 78 00 fax: (+48 22) 321 78 88
© copyright 2011 IDG Poland SA