Безопасен ли отказ от пароля для sudo на домашнем десктопе?

спасало что удалённый файл спустя несколько дней становится вдруг нужен, взял да достал назад

Может спасло, а может и нет… Подобные вещи иногда расслабляют и «в самый подходящий момент» фигак! оказывается, что на машинке этой фигни нет, а вы к ней привыкли.

Ну, а что поделать, это везде так. С любым ПО практически, либо слишком старое, либо слишком новое, либо вообще нет или работает уже по другому. Так и живём.

быстро ты из фаната в флетпаконенавистника превратился, а меж тем вполне ведь защитит от запуска гуйней каких-то зловредов, затирающих диски. я за блокировку рута. у меня залогиниться под рутом нельзя и у того стоит случайный пароль из 40 символов

Я немного не о том. Вы прописали алиас соответствующий аналогичной по написанию команде, но делающий больше чем эта команда позволяет из каробки.

Зависит от вашего процесса пользования машиной. Я сам убрал запрос пароля в doas на одной из машин дома - и я осознаю это каждый раз перед тем, как я запускаю что-нибудь из хоть сколько-нибудь сомнительного источника.

Не поймите неправильно, это не призыв к действию, но тем не менее - если у вас на каком-то из процессов есть 0day уязвимость, то это как будто бы и неважно. Да и у нередко глаза замылятся и вы просто будете машинально везде пароль вбивать - а оно это вас надо?

В идеале нужно снимать запрос пароля с заведомо известных приложений и оставлять для всех неизвестных, но никто так не запаривается.

интересно, что-то помешает какому нибудь зловредному сайту, открытому в браузере выполнить sudo <какая-нибудь пакость>, если sudo без пароля?

только если во флетпук пихать все подряд

вот мой браузер, никакого флетпука в системе нет, sudo без пароля. выполняйте.

быстро ты из фаната в флетпаконенавистника превратился

эмоциональный выбор сторон, отличный маркер уровня технической дискуссии. я, если что, всегда был последовательным противником флэкпака как пакетного менеджера и сторонником его же бабблврапа как изолятора. но на твое трибалистске мышление это непроецируемо..

Случайно нажмешь не туда и снесешь полсистемы. У обычного пользователя такой проблемы в принципе не существует.

Эти пол-системы восстанавливаются с любого установочного iso, который грузится из интернета. А чтобы снести что-то действительно важное, фоточки какие, кошелёк с бетховеновами, или ещё что-то нажитое непосильным интеллектуальным трудом, что обычно находится в домашнем каталоге и хорошо если хоть когда-то куда-то бекапилось, никакие повышенные права не нужны.

А чтобы снести что-то действительно важное

Для важных вещей делают бекапы. Если вы не сделали бекап, значит это не так уж и важно для вас.

никакие повышенные права не нужны

Ну можно запретить системе это удалять. Например от рута

chattr +i имя_файла

Это сделает файл неизменяемым, следовательно его нельзя будет удалить. Но это не защитит от проблем с диском, если будут проблемы с файловой системой. Тут помогут только бекапы.

1. Нужно иметь append-only бекапы. Бекапы, которые хранятся на том же компьютере, что и сами данные, для удобства, а не надёжности.

2. Шифровальщик может зашифровать твой домашний каталог, и при этом сажать пользовательскую сессию в ложный расшифрованный $HOME через FUSE, и таким образом без наличия рута испортить тебе бекапы. Ну и подслушивание пароля от sudo кейлоггером никто не отменял.

Какие риски есть

Выполнить херню, которую бы ты осознал пока набивал пароль рута.

Дополнительная защита от необдуманных действий.

А ничего, что необдуманные действия в домашнем каталоге нанесут больше вреда?

Нужно иметь append-only бекапы. Бекапы, которые хранятся на том же компьютере, что и сами данные, для удобства, а не надёжности.

Как тебе это поможет, когда на условной флешке/винте/сетевом устройстве я буду писать бекап шифрованный ключём и расшифровывать его при чтении. С твоей точки зрения юзера всё будет хорошо, ты ничего не увидишь, кроме некоторого падения производительности. Увидеть что что-то не так можно будет только если ты посмотришь на бекап с не заражённой машины.

Шифровальщик может зашифровать твой домашний каталог, и при этом сажать пользовательскую сессию в ложный расшифрованный $HOME через FUSE, и таким образом без наличия рута испортить тебе бекапы.

Сразу 2 вопроса: что будет в адресной строке файлового менеджера, ну и куда смотрят apparmor и selinux вместе с производителями дистрибутивов? Их Мигель покусал

Ну и подслушивание пароля от sudo кейлоггером никто не отменял.

Это отдельная проблема, на которую сильно забили болт даже авторы вялого.

куча программ жалуются и всячески сопротивляется, когда их под рутом пускаешь.

Не ведают своего счастья.

Между прочим да. Условный рефлекс «ошибка - затрещина» ой как дисциплинирует)

А ничего, что необдуманные действия в домашнем каталоге нанесут больше вреда?

А против необдуманных (или неосторожных) действий, есть бекапы. Пароль на root, предназначен для защиты системы от несанкционированных изменений, а не против действий самого администратора. Так-то, если администратор имеет физический доступ к машине, он (или его кот) может случайно её со стола (стойки, табуретки) уронить - против такого ни один пароль не поможет.

У тебя очень плохое представление о том как надо относиться к ИТ-безопасности.

Безопасность - она не сама по себе,безопасность обязательно «чего-то» и «от чего-то». В данном случае вопрос был задан про домашний десктоп,а не про управление реактором АЭС. А на нем ценность содержимого домашнего каталога как правило сильно превышает ценность всей остальной системы,а нередко и самого железа если оно не топовое игровое. Переустановить линукс с дистрибутивного носителя - можно за ночь.Мы тут всё же как минимум продвинутые юзеры и не рассматриваем тех для кого переустановка системы это невыполнимое действие. А вот вернуть утраченные личные данные может быть и вообще невозможно. Каждый день сомневаюсь что кто-то дома бэкапы делает. А в еженедельный бэкап они могли просто не успеть попасть.

К тому же например ключи от ssh-доступа на другие машины(на работу например) хранятся именно в домашнем каталоге. Как и прочие достаточно конфиденциальные вещи.

Соответственно, можно сделать довольно логичный вывод,что на домашнем десктопе ценность пароля рута не выше чем ценность своего пользовательского пароля. И вводить два пароля вместо одного особого смысла нет. Достаточно того что перед командой уже надо набрать sudo.

Что касается ввода рутового пароля как «предохранителя» от чето-то типа условного sudo rm -rf / то от rm -rf ${HOME} он не спасёт,а по последствиям на домашнем десктопе это равнозначно.

От разного рода непреднамеренных ошибок в текущей работе - достаточно просто самого факта что без sudo (и безпарольного тоже!) ошибочной командой будет выдано Permission denied. А если набираем перед командой sudo то это уже само по себе повод тщательно ее проверить перед запуском,независимо от того потребует sudo пароль или нет.

Кстати, должен сказать,что современный линукс при текущей работе весьма редко требует рутового доступа если текущая работа сама по себе не является админством,конфигурированием системы. У меня вон даже программатор для микроконтроллеров от моего обычного юзера работает,хотя казалось бы - работа с железом. И перепрошивка планшетов/смартфонов/фотоаппаратов - тоже. И доступ к данным/управлению контроллера моей солнечной электростанции тоже. Достаточно было один раз разумно настроить эти вещи. Я не знаю как это нынче положено настраивать тычками мыши через GUI,а редактированием текстовых конфигов это делается просто. Надо лишь изучить документацию к конкретному дистрибутиву чтобы избежать затирания своих настроек при каком-нибудь апгрейде (того же systemd например). Причем я уверен что у большинства даже обитателей этого форума потребности прямого доступа к железкам еще реже случаются. Пожалуй разве что прав рута потребует _от_монтирование всяких внешних носителей (примонтировать можно настроить и от юзера).

Переустановить линукс с дистрибутивного носителя - можно за ночь

Я ж объяснил что переустановка ОС после руткита угрозу не устраняет. Так что не надо про «за ночь». Либо лазь программатором по всем флешкам с прошивками (биос, жёсткие диски, видеокарта, чипсет, что там ещё?) либо покупай целиком новое железо после компрометации.

Повторю ещё раз: данные у тебя и так и так уже компрометировали, но есть выбор: либо ты сможешь проанализировать случившееся и возможно предотвратить повторение, либо ты не можешь вообще ничего. Чтоб второго не случилось - надо защищать рута.

лазь программатором по всем флешкам с прошивками

Мы тут говорим про домашний комп,а не про главный сервер банка. Вероятность того что на домашнем компе кто-то дистанционно сможет перешить биос и оно после этого останется работоспособным - малоотличима от нуля. Насчет жесткого диска - вообще где-то в области отрицательных значений.

либо покупай целиком новое железо после компрометации.

Утраченные с домашнего компа фото почившего члена семьи (например Кота) могут быть для человека сильно дороже системной платы или hdd откуда-нибудь с Авито. А видеокарты за сотни тысяч дома - удел немногочисленных фанатов-игроманов.