Безопасен ли отказ от пароля для sudo на домашнем десктопе?

пока пароль набираешь лишний раз смотришь что за команду запустил. конечно можно и без него, если сидеть на btrfs, делать снапшоты и хранить их хотя бы 2 недели, чтобы восстановиться

но без сюдо сидеть на десктопной системе, где запускаются графические приложения - это чистой воды «слабоумие и отвага»

sudo вообще опасно со всех сторон, и главная - оно пагубно влияет на сознательность юзера. Удали его и логинься в рута по-нормальному всегда.

ценные данные

В который раз слышу эту бредятину «данные у меня всё равно в юзере, так что рут защищать не надо», хватит это повторять друг за другом. Рут пароль не для данных, он чтоб тебе руткит не установили незаметно.

Вообще не понимаю зачем на домашнем компьютере пользователи отличные от root, не считая того, что куча программ жалуются и всячески сопротивляется, когда их под рутом пускаешь.

А что мешает руткит (ну это будет не руткит, но всё равно вредоносное ПО) установить от пользователя? Я же всё равно постянно логинюсь, соответственно, и в автозапуск можно впихнуть. И в автозапуск DE, и в bashrc. Я же постоянно не мониторю их. Я даже не знаю всех способов автозапуска при логине.

Пароль для sudo - это чисто защита от дурака. Допустим, ты хочешь какую-то команду скопипастить, вводишь в терминале "sudo " потом пастишь, и случайно у тебя в пасте имелся \n символ, и команда начинает автоматически выполняться. А с паролем, ты увидишь, что спастил фигню, и вовремя нажмёшь ctrl-c.
Или ещё сценарий, произошедший со мной: увидел я один интересный проект на гитхабе, склонировал его к себе, и думаю щас соберу. У проекта там скрипт типа build.sh, запускаю его, а он сцука хочет установить зависимости через sudo. Я прифигел, чё за нафиг, пол-гига зависимостей устанавливается без спроса? А с паролем такого произойти не может.

Шо, с бтрфс даже рут не может ничего удалить?

Раз в месяц тебя пароль ввести ломает а иметь постоянные тормоза (повышенную нагрузку) и риск потерять все данные в случае повреждения фс тебе норм?

Лет десять уж как сделал это. Систем переубивал за это время, конечно, но с паролем я бы их тоже убил. Только ещё устал бы пароли вбивать.

не понимаю зачем на домашнем компьютере пользователи отличные от root

потому что root не совсем пользователь. так вижу.

root это обычный пользователь с UID 0.

Я дилетант и сужу на глазок - он на системные демоны завязан, его из граба вызвать можно, его настройки влияют на настройки других юзеров, и прочее, прочее, прочее. Терминологически вполне допускаю, что root такой же смиренный крестьянин, как и все остальные юзеры. В золотой короне, на броневичке, с прямым доступом к казне и красной кнопке, все перед ним ниц падают, указы издаёт, но такой же.

ридонли снапшоты удалить нельзя с помощью rm, однако btrfs subvol del позволяет… опасно это всякое говно запускать которое все обнулить может

Смотря относительно чего. В целом нет, небезопасен такой вариант.

Если человек может случайно снести пол системы, то почему бы ему не снести случайно снапщот бтрфс?

Вообще не понимаю зачем на домашнем компьютере пользователи отличные от root

Потому что у root слишком много разрешений на все. Случайно нажмешь не туда и снесешь полсистемы. У обычного пользователя такой проблемы в принципе не существует.

А с паролем такого произойти не может.

там же у sudo пароль кэшируется — один раз ввёл и повторно в течение нескольких минут вводить не надо. хотя, это наверняка настраивается.

Отказ от пароля для sudo подобен полностью пассивному охлаждению ПЭКА: сначала может быть тихо, а потом очень горячо. Лучше когда вентилятор крутится очень слабо и может останавливаться. Так же и с sudo можно часто используемые безопасные команды выделить в NOPASSWD.

Удали его и логинься в рута по-нормальному всегда.

удваиваю. в теме Как запретить пользователю делать смену пользователя? firkax помог мне реализовать безопасный рутовый логин в консоли без пароля. в моей системе нет sudo и suid-битных программ (кроме программы обёртки), при этом моя система безопасна (в ней обычные юзеры вообще впринципе не могут поднять привилегии).
интересно, что-то помешает какому нибудь зловредному сайту, открытому в браузере выполнить sudo <какая-нибудь пакость>, если sudo без пароля?

У обычного пользователя такой проблемы в принципе не существует.

rm -rf ${HOME}

только если во флетпук пихать все подряд

насколько это всё нужно на домашнем десктопе

К чему эти полумеры? Сиди сразу под рутом.

Это не система. Это домашний каталог. Будучи обычным пользователем у тебя просто нет прав чтобы снести систему

Очень безопасно, никаких рисков нет

Вот именно, это будет не руткит. Ты сможешь зайти от рута и увидишь его в совершенно беззащитном перед тобой виде и сможешь провести все нужные мероприятия по его удалению и анализу последствий. А если у тебя вредоносное ПО от рута то оно могло уже и биос перешить на заражённую версию и прошивки всякой периферии (при должном желании на то его авторов), и тебе по-хорошему придётся либо всё электрически разбирать и лазить программатором для исправления последствий, либо (а где-то и без вариантов) выкидывать комп и покупать новый, совершенно не представляя что этот руткит мог успеть сделать и как давно он появился.

Беспарольный рут для единственного пользователя - это хорошо и полезно. Он приучает юзера к внимательности. Пару раз поломаешь что-нибудь в спешке - потом будешь бдить и думать.

В том числе и с точки зрения безопасности.

Давно отказался от пароля для sudo на персональных устройствах.

Во-первых да, все ценное доступно из под твоего пользователя.

Во-вторых, если у кого-то есть доступ к твоему пользователю, он может поставить тебе кейлоггер и подслушать твой пароль от sudo.

Капец, а на улицу выходить нельзя потому что сверху может упасть метеорит. Биосы и прочую фирмварь целенаправленно то заменить тяжело, а тут какой-то произвольный троян это делает незаметно (а зачем вообще ему это надо?)

Это тебе-нубу тяжело, а если люди поставили это на поток то у них готовое решение под все мейнстримные материнки может быть. И под видеокарты, под жесткие диски/ссд и т.д.

произвольный троян

У тебя очень плохое представление о том как надо относиться к ИТ-безопасности. Если система компрометирована то надо считать что злоумышленниками уже использованы все доступные из данного уровня компрометации возможности. Т.е. если компрометирован рут - перешито всё оборудование которое можно перешить.

Да и не можешь ты знать, произвольный это троян или не произвольный.

а зачем вообще ему это надо?

Чтобы не пострадать от твоих переустановок ОС.

а если люди поставили это на поток то у них готовое решение под все мейнстримные материнки может быть.

Ну тогда и твой пароль и LPE под твой кернел у них тоже есть, сопротивление бесполезно.

У тебя очень плохое представление о том как надо относиться к ИТ-безопасности

У тебя очень оторванное от реальности представление об угрозах.

Замечание про LPE имеет смысл, однако не надо всё-таки путать штатный функционал железа и эксплоиты. От второго нормальные люди стараются избавляться при обнаружении.

А ещё можно просто под рутом сидеть.

Что только не придумают, лишь бы не добавлять пользователя в необходимые группы.

Нет.

Сам сиди под рутом. А я буду над рутом сидеть.

Тебе от этого легче не будет.

Сколько помню всегда делал ‘su -‘ или ‘sudo su -‘, и все живы до сих пор. Тотальное использование ‘sudo’ в рецептах из интернета пошло из-за убунты, т.е. они изначально ориентировались на низкоквалифицированную аудиторию.

Намного легче будет будет. Систему я загребусь устанавливать заново и настраивать. Или даже из бекапа восстанавливать. А в домашней директории я ничего такого важного не хранится. Тут в основном только настройки. Если что, то из бекапа их восстановлю и все.

А насколько это всё нужно на домашнем десктопе?

Не нужно от слова совсем.

Гуглил на эту тему — могут возникать проблемы с некоторым софтом, который не умеет работать от рута. Что это за софт, разбиться не стал.

Основной риск из реалистичных это то, что ты запустишь какой-то скрипт или даже бинарник, которому на самом деле доверять не стоило, и он внутри себя захочет выполнить какие-то комманды через sudo. Если у тебя нет пароля на sudo, он их успешно выполнит. Если есть, ты это заметишь и сможешь остановить выполнение скрипта.

Ну и как писали выше — защита от дурака… в себе. Ввод пароля и правда даёт шанс лишний раз подумать, правда ли ты хочешь выполнить то, что хочешь.

sudo пользователю не требуется постоянно. Если требуется, значит что-то не так. А изредка несложно ввести пароль. Не стоит экономить на спичках с шансом потом пожалеть.

sudo пользователю не требуется постоянно

Вообще-то требуется. Хозяин компа не только пользователь, но и сисадмин, и бох-знает-кто-ещё.

Эту лапшу про безопасность, права доступа и прочую хрень, ИМХО, вешают на уши нубам, чтобы замести под ковёр тот простой факт, что нормальных решений избавить наконец домашних юзеров от этого всего «юникс-вея» — нет.

Хозяин компа не только пользователь, но и сисадмин, и бох-знает-кто-ещё.

Верно. Но как из этого следует, что

Вообще-то требуется.

причём именно постоянно?

Я вот не помню уже, когда я пароль от sudo вводил. sudo pacman -Suy у меня без пароля. А что ещё постоянно надо? Обычно один раз настроил и всё, потом разве что какой-то софт доустановить, а основное всё делается от юзера. Ну может раз в месяц хочется что-нибудь в /etc отредактировать. Да и то на самом деле реже намного после определённого срока использования конкретно этой инсталляции. Что там постоянно менять, когда всё уже как надо?

Расскажи на примерах, для чего конкретно тебе постоянно требуется sudo?

Расскажи на примерах, для чего конкретно тебе постоянно требуется sudo?

Это потянет на огромную статью или даже маленькую книгу.

Я вот

Вот это я понимаю, аргумент ☝️

😁

Это потянет на огромную статью или даже маленькую книгу.

Ну кратенько, просто несколько примеров.

Вот это я понимаю, аргумент ☝️

Я достаточно типичный юзер и подхожу в качестве случайного примера, при этом я хорошо знаю себя. Могу привести в пример другого юзера, или даже абстрактного, но я не на 100% уверен, что знаю все его повадки и юзкейсы. Поэтому предпочитаю говорить за себя в таких случаях.

N.B. может я не совсем типичный, конечно, потому что помимо рута и юзера я ещё и firejail активно использую. Как минимум всё неопенсорсное (игры конкретно…) запускаю каждое в своей песочнице, да и кое что из опенсорсного тоже. Но это не имеет отношения к обсуждаемому. В плане использования именно sudo я, пожалуй, достаточно обыкновенный юзер.

Ну кратенько, просто несколько примеров.

Всё, что находится за пределами хомяка тоже моё, и я там периодически ковыряюсь.

Да, альясы помогают обходиться даже без префикса sudo, но это уже после настройки онаго (впрочем, у моего пользователя все равно нет пароля). Также удалены ограничения для гуёв (pam вроде называется), так что любые действия администратора системы (коим является юзер), не сопровождаются запросом пароля, что позволяет через nautilus или kwrite спокойно делать почти любые дела в любом месте системы. Даже на /boot/efi полный доступ, так как юзаю systemd-boot и там приходится иногда руками ковырять.

И даже с таким раскладом все равно есть некоторые затыки иногда с некоторыми каталогами и файлами. А мне нужно абсолютно свободный доступ по малейшему капризу, ибо МОЙ компьютер, МОИ правила!

Думаю под рут пересесть, но там похоже возникнут другие проблемы, да и лениво, в общем сейчас всё боле менее норм.

Всё, что находится за пределами хомяка тоже моё

Ну так это понятно. Мне интересна была хоть какая-то конкретика.

Так-то оно понятно, что всё твоё (а не моём компе — моё). Просто я чем дальше после установки ОС, тем меньше ковыряюсь (в юзерских конфигах, кстати, тоже — ибо всё уже сделано как нравится). У знакомых вроде так же, думал у всех.

Тут не то чтобы я себя как-то ограничивал или что-то такое, наоборот. Просто чем дальше, тем меньше требуется и хочется — всё уже отполировано становится. Может, конечно, это от того, что я на одном дистре 15 лет сижу (без переустановок и т.д.), если бы постоянно скакал с одного на другой, то постоянно что-то из-под рута бы ковырял, ясное дело.

Даже на /boot/efi полный доступ, так как юзаю systemd-boot и там приходится иногда руками ковырять.

Там-то чего ковырять? Не, ну если новый дистр попробовать или типа того — это понятно. Ну или параметр ядра какой добавить. Но это ж как раз не постоянно, это совсем изредка.

Там-то чего ковырять?

Почему-то ПМ не всегда справляется с чисткой, поэтому приходится иногда руками.

Это не система. Это домашний каталог.

Так мне мой хомяк дороже, чем какой-то хлам в /usr 😁

Реальность примерно такая - рутодрочерство ценой геморроя для юзера защищает только саму систему, которая с нуля накатывается полностью вручную за пару часов. Пользовательские данные удаляются/портятся прекрасно и без рута. Смысл?