Linux: Vsys - następca SUDO?
Naukowcy z PlanetLab (Princeton University) opracowali program, który ma szansę zastąpić sudo - narzędzie popularne wśród administratorów systemów Linux i Unix. Vsys ma zapewniać dużo lepszą kontrolę nad dostępem użytkowników do uprzywilejowanych operacji.
Zobacz też:
Sudo pozwala administratorom nadawać wyższe uprawnienia do wykonywania określonych operacji na komputerze, bez potrzeby jednoczesnego przyznawania im uprawnień absolutnych (root) do danego systemu. Często sami administratorzy korzystają z tego narzędzia, dzięki czemu są bardziej świadomi, gdy podejmują potencjalnie niebezpieczne działania, choć wielu specjalistów uważa sudo za niepotrzebną podpórkę (zob. Dziewięć zasad administratora Uniksa.
Vsys jest podobny do sudo, ale jego zaletą jest precyzyjniejsze zarządzanie dostępem do zasobów systemowych. "Użytkownicy czasami potrzebują funkcji i zasobów, do których zgodnie z domyślnym modelem bezpieczeństwa nie mają dostępu" - mówi Bhatia. "Mogą potrzebować plików, które są niewidoczne czy uruchamiania poleceń, do których zwykli użytkownicy nie mają uprawnień"
Z podobnym problemem musieli zmierzyć się specjaliści z PlanetLab. Stworzony przez nich Vsys pozwala naukowcom pracującym w tym ośrodku na dostęp do niskopoziomowych funkcji systemu, by móc testować i rozwijać nowe technologie sieciowe, a przy tym, by ich działania były odizolowane od środowiska produkcyjnego.
Vsys został zbudowany z wykorzystaniem kilku narzędzi Uniksa, wśród których najistotniejsze to ptrace - służące do śledzenia procesów, czy chroot - definiujące katalog główny (root) użytkownika. Za pomocą Vsys można tworzyć skrypty (zwane rozszerzeniami), które mogą precyzyjnie określać, jakie działania użytkownika są dozwolone. Rozszerzenia te są pisane w jednym z wielu języków programowania i są dostępne jako pliki wykonywalne.
W artykule towarzyszącym prezentacji rozwiązania, autorzy opisali różnice między Vsys a innymi alternatywami dla sudo (takimi jak SUS czy ssu). Jak można przeczytać w dokumencie: "W przeciwieństwie do tamtych narzędzi i ich wariantów, działanie Vsys wykracza poza określenie ACL (praw dostępu) dla uprzywilejowanych poleceń. Vsys ma ułatwiać budowanie odizolowanych operacji za pomocą istniejących narzędzi".
Jak przekonuje inny z prelegentów, Eddie Kohler, choć użytkownicy rzadko korzystający z sudo raczej nie zainteresują się Vsys, to dla administratorów centrów danych to narzędzie może się okazać atrakcyjne. Wytrawny administrator osiągnie funkcjonalność Vsys za pomocą sudo i innych narzędzi Uniksa, ale będzie to go kosztować więcej pracy niż skorzystanie z Vsys.
PlanetLab mieści się w Princeton University i jest globalną siecią badawczą łączącą wiele instytucji akademickich, rządowych oraz firm.
Komentarze (6)
Gwoli ścisłości - to, jak duże uprawnienia nada sudo zależy od tego, jak jest skonfigurowane. Można np. ustawić sudo wyłącznie do szybkiego przekierowania portów - wtedy sudo będzie działać wyłącznie z jednym, konkretnym poleceniem, z innym nie będzie działać.
To prawda - można (o ile dostanie się takie uprawnienie od administratora - w pliku konfiguracyjnym definiuje się zarówno użytkowników jak i programy, których mogą w tym trybie używać) wydać polecenie sudo su i być może dla kogoś jest to dobry pomysł na używanie sudo. Nie da się jednak ukryć, że można go też używać w taki sposób, żeby użytkownikom dać prawa do pojedynczych poleceń a jednocześnie nie dać do całego systemu (o czym jest dwukrotnie zacytowany w komentarzach fragment). Co do komentarzy na temat wykształcenia - w sumie może nawet miło być zaliczonym w grono studentów, nawet jeśli ten kto to pisze ma zupełnie inny cel :) Niestety nie wszyscy Komentujący zauważyli, że artykuł nie jest o sudo a o czymś innym co wydaje się ciekawe i ma szanse owo polecenie sudo zastąpić. Wydaje się, że na to właśnie warto zwrócić uwagę.
"Sudo pozwala administratorom nadawać wyższe uprawnienia do wykonywania określonych operacji na komputerze, bez potrzeby jednoczesnego przyznawania im uprawnień absolutnych (root) do danego systemu." - bzdura @Mor" - czytaj ze zrozumieniem" - bzdura a sudo su? tak to jest jak się studenty biorą za pisanie "newsów"
@Mor - czytaj ze zrozumieniem - "do danego systemu" znaczy do całego systemu. Sudo daje roota ale dla określonego polecenia
Postęp, postęp, postęp, a nawet rewolucja. Nawet tam, gdzie się go nikt nie spodziewa, w bazalnych odmętach uniksa.
"Sudo pozwala administratorom nadawać wyższe uprawnienia do wykonywania określonych operacji na komputerze, bez potrzeby jednoczesnego przyznawania im uprawnień absolutnych (root) do danego systemu." - bzdura. Sudo służy do podniesienia uprawnień wykonywanego polecenia właśnie do poziomu uprawnień użytkownika "root".
- Prawo Moore’a zagrożone?
- Bezpieczeństwo WiFi - bezprzewodowe testy penetracyjne
- Wirtualizacja: obsługa SMB na czterech U
- Prawdziwe powody powstania Microsoft Open Technologies
- Open source: zmierzch ery GPL? Nie do końca...
- ROVER - prosty sposób na słabość BGP?
- Zaawansowane stacje Wi-Fi Ruckus Wireless
- Rozstanie z Javą nie będzie proste
- Google Drive uwypukla słabe strony publicznych chmur obliczeniowych
- Serwery "zombie" w centrum danych
Reklama
Huawei celuje w rynek biznesowy
Huawei nieustannie rozwija się jako dostawca infrastruktury dla branży telekomunikacyjnej. W tym roku chiński koncern zamierza umocnić swoją pozycję również na rynku rozwiązań Enterprise.
Polecane
Koniec Windows XP początkiem problemów?
Microsoft oficjalnie potwierdził, że za dwa lata definitywnie zakończy się era Windows XP - systemu operacyjnego,...
Spokój i luz administratora
Wymagania wobec pracowników działów IT rosną proporcjonalnie do stopnia rozwoju teleinformatyki. Oczekuje się, że...
