Izguba administratorskih pravic kot sudo uporabnik

Lepo pozdravljeni,

pojavila se mi je težava na Ubuntuju 18-10. Pri dodajanju novega uporabniškega računa (prav tako kot administrator) sem izgubil administratorske (sudo) pravice. Tako ne morem več uporabljati ukaza sudo in v terminalu mi vrne izpis:

"uporabnik" ni v datoteki sudoers. Ta dogodek bo zabeležen."

Kako naj sebe ("uporabnik") dodam nazaj kot sudo uporabnik?

Sem popravil tako, da sem na isto particijo diska še enkrat naložil Ubuntu 18.10. Sedaj dela normalno.

Ahem.

Gesla za root nima, ker gre za Ubuntu. Zaradi tega tudi su ne bi deloval, ker za su potrebujes geslo uporabnika.

'Pravilna' resitev bi bila: boot v single user mode, popravljanje sudoers datoteke in spet normalen boot. Ce disk ni na kak drugacen nacin zasciten pred taksnimi recmi.

username ALL=(ALL:ALL) ALL

Tole v /etc/sudoers da pravice uporabniku 'username' za sudo.

Ce tole ne dela, potem je nekaj drugega fejst narobe. :)

Svoje sudo zadeve vtakneš v /etc/sudoers.d in ti jih upgrade ne bo povozil. Prav v ta namen obstaja množica .d direktorijev v /etc.

Ok, hvala za nasvete . Super ste! Sej velikokrat uporabljam Ubuntu Help, StackOverFlow ali pa Ask Ubuntu.

ravno to da je root brez gesla je problem. stvar lahko počne dokler je doma, če bi to bilo v službi bi jo že zdavnaj zgubil

BivšiUser2 je 10. nov 2018 ob 01:28 izjavil:

ravno to da je root brez gesla je problem. stvar lahko počne dokler je doma, če bi to bilo v službi bi jo že zdavnaj zgubil

Imeti geslo za root je slaba ideja - ravno to je bistvo sudoja - na sistemih, kjer imas vec uporabnikov, noces, da imajo vsi administratorji isto root geslo. Ce nekdo od njih npr. zamenja sluzbo, enostavno tistemu uporabniku odvzames pravico za sudo (ga vrzes ven iz sudo grupe). Ni treba spreminjati root gesla drugim.

BivšiUser2 je 10. nov 2018 ob 01:28 izjavil:

ravno to da je root brez gesla je problem. stvar lahko počne dokler je doma, če bi to bilo v službi bi jo že zdavnaj zgubil

Najvec slabih navad se prinese od doma. :)

WhiteAngel je 10. nov 2018 ob 02:08 izjavil:

BigWhale je 8. nov 2018 ob 23:42 izjavil:

'Pravilna' resitev bi bila: boot v single user mode, popravljanje sudoers datoteke in spet normalen boot. Ce disk ni na kak drugacen nacin zasciten pred taksnimi recmi.

Jaz ne bi sel sudoers datoteke spreminjat, ampak bi enostavno uporabnika nazaj v grupo "sudo" dodal: adduser <up. ime> sudo

To je boljsa resitev, ce vse deluje tako kot treba. Kolikor sem razbral iz posta, je OP uspel neki pokvarit. V tem primeru je edina stvar kar deluje pravilna sudoers datoteka.

Drugace pa ja, dodati uporabnika v admin/adm grupo ali pa dodati en file v sudoers.d direktorij.

BigWhale je 10. nov 2018 ob 01:00 izjavil:

Invictus je 9. nov 2018 ob 11:52 izjavil:

Naslednjič raje naredi tole:

sudo passwd root

Tega v bistvu nikol ne pocnes. Root je vedno brez gesla in mu ne dovolis prijave v sistem.

Ne pocet neumnosti.

Root mora imeti password. Sicer je password potem v zalepljeni kuverti za hude čase in dovolj kompliciran, da si ga ne zapomniš...

Edino kar disableš, je remote root login.

Ne učit neumnosti bodoče UNIXaše .

Bolj mislim na bash programiranje ...

BivšiUser2 je 12. nov 2018 ob 20:45 izjavil:

Mimogrede, če se že o tem pogovarjamo, jaz se preko sshja logiram kot root.

Bravo, priden. Odpustili te pa zaradi tega ne bodo ker ne delaš z računalniki.

Mogoce sem se narobe izrazil. Brez gesla ni blo misljeno, da account nima nastavljenega gesla in je mogoca prijava brez njega. :>

Če je hkrati še blokiran za login (kar seveda je), je dobra praksa.

Ah ti linuxasi s passwordless root accounti. V Windows ima da ima tudi administrator strong password, ne pa ta linux larifari.

Zakaj potem sploh imas root account, ce nobeno geslo ne prime?

jype je 13. nov 2018 ob 09:24 izjavil:

SeMiNeSanja je 13. nov 2018 ob 09:17 izjavil:

Kaj še nihče ni slišal za zadevo, ki se ji reče 'človeška napaka'?

Smo, ja. Lažje jo je storiti, če je geslo nastavljeno, kot če ni.

"Brez gesla" ne pomeni, da "se lahko prijaviš brez gesla", temveč, da "nobeno geslo ni pravo".

Nimam nic za pripomnit, sam 'retweetam', ce slucajno kdo prejsnjih dveh sporocil ni videl in razumel. :>

Ekhm.....

kaj pri pojmu 'človeška napaka' ni razumljivo?

Človeška napaka je tudi to, da nekdo spremeni default.

OP-u je tudi odpovedal 'default', da lahko uporablja sudo. Katerikoli default lahko 'odpove'. Sploh, ko se vplete človeški faktor.

Jaz drugače definitivno nisem linux guru, ampak imam občutek, da bolj ali manj govorite o določenih distribucijah, ne pa o univerzalnih principih in praksah, ki delujejo tudi izven npr. Ubuntu-ja ali karkoli že 'obvladate' v nulo.
Ko sem jaz nazadnje nameščal SUSE, je bil default, da root NI brez gesla, enako ESXi, medtem ko je Kali imel že prednastavljenega... Pa presneto, če me tudi Ubuntu ni spraševal za root geslo...
S 'čistokrvnimi' Unix sistemi se pa že kar nekaj let nisem igral, da bi lahko kaj rekel o defaultih.

Pri vsem tem pa nimaš opravka le z interaktivnimi servisi!

Na koncu pod črto - če se iz kateregekoli razloga zaobide tisti 'account disabled' (se sploh lahko disabla root account?), je še vedno bolje, da ima account geslo, saj je to zadnja varovalka. Disablaš ga lahko še vedno!

Bistvo ni v tem, kaj 'lahko' narediš, temveč kaj je bolj varno naresti, kaj predstavlja še dodatno oviro na poti k hoteni ali nehoteni kompromitaciji kateregakoli sistema. To, da imaš Linux XY, ki pod idealnimi pogoji ne dovoljuje interaktivnega logona za accounte brez gesla, ne sme biti izgovor.

Sploh pa je zanimivo, da je root geslo za vas tako zelo problematično, hkrati pa ni problem talat sudo pravice, preko katerih uporabniki dobijo enake pravice kot root account. Se samo meni zdi, da tukaj nekaj ne štima z logiko?

Root geslo je problematično predvsem zato, ker je 'anonimno'. Ampak večinoma lahko enako škodo naredi vsakdo, ki ima sudo pravice. Če ve kaj počne, bo tudi odstranil sledove tega početja. Že res, da je možno omejevati, kaj sudo uporabnik sme početi - ampak resno: na koliko sistemih imate to v nulo skonfigurirano, da nek sudo uporabnik X ne more naresti štale, če preide na 'temno stran'?

Mogoče je problem v tem, da linuxaši razmišljate tako, kot da bi obstajali samo Linux sistemi in še to samo tisti vaše priljubljene Linux pasme. Potem se fokusirate na neke posebnosti, ki jih omogoča tista pasma.
Jaz si pač ne morem privoščiti, da se bom z vsako Linux pasmo posebej ukvarjal, če ima še kje kakšno skrito finto. Bilo bi lahko celo nevarno, saj bi zaradi človeške napake lahko predpostavljal, da neka druga pasma enako deluje....dokler nebi na najbolj boleč način moral spoznati, da to ne drži.

Vsak ima svoj način dela in svoje poglede.
Ker ni nobeno okolje 'Linux-only', nisem in ne bom zagovornik nekih politik, ki so 'Linux-only', sploh pa ne takih, ki so primerne samo za določeno Linux pasmo. Politike morajo biti čim bolj univerzalne, poenotene za vse platforme, tako da se kasneje ne more kdo izgovarjati, da 'tega pa ni vedel'. Manj ko je izjem, manj je možnosti, da nekdo nečesa 'ne bo vedel'.

Če nisem zagovornik, pa to še ne pomeni, da pod določenimi pogoji takšne politike ne morejo biti legitimne.

Zdaj bo rekel, da bi pa nekdo lahko to geslo odstranil in SSH nastavil, da dovoli login brez gesla. Ja, itak. Pred neumnostjo ni zaščite. Vsak sistem lahko z dovolj truda narediš ranljiv.

> Potem se fokusirate na neke posebnosti, ki jih omogoča tista pasma.

Ponavadi se uporablja en distro, morda dva (v mojem primeru Centos/Debian) in ta dva pač odlično poznaš. Kar ne pomeni, da ne bi znal zasigurat poljubnega distroja, če bi bila potreba.

Ampak v časih clouda, IaC, izzivi tičijo drugje, login z geslom je itak ena zastarela zadeva, ki bolj paše v čase telneta.

Hvala za pojasnilo.

jype je 14. nov 2018 ob 03:53 izjavil:

Dostop do računa ni onemogočen, le nastavljeno ima takšno zgoščeno vrednost gesla, ki mu nobeno geslo ne ustreza.

Torej JE geslo nastavljeno. Le da na neko random vrednost, ki jo ne poznaš.
Kaj pa Rainbow tables?

jype je 14. nov 2018 ob 03:53 izjavil:

Politike morajo biti čim bolje prilagojene varnosti vsakega specifičnega okolja. K sreči gesla vedno hitreje postajajo zgodovina, ker predstavljajo daleč najšibkejši člen v varnosti kompleksnih sistemov.

Se strinjam - samo kar imava različno gledišče: ti gledaš 'specifično okolje' na mikro nivoju, jaz pa na makro nivoju. Drugače povedano: ti gledaš 'tvoje' Linux škatle, jaz gledam pa vse, kar visi na mreži in iščem smiselne in uporabne 'skupne imenovalce', da bi se v čim večji meri izognil nekim izjemam, da bi se ohranjalo splošno politiko čim bolj enostavno in pregledno.
Seveda pa so v določenih primerih izjeme smiselne in nujne.

Kako že rečejo... "izjeme potrjujejo pravilo" ?

SeMiNeSanja je 14. nov 2018 ob 09:52 izjavil:

Torej JE geslo nastavljeno. Le da na neko random vrednost, ki jo ne poznaš.
Kaj pa Rainbow tables?

Sam ne vidim, da bi bilo nastavljeno, morda na katerem distro je. Kje boš pa dobil hash gesla?

Invictus je 14. nov 2018 ob 08:26 izjavil:

Login z geslom bo ostal še kar dolgo...

Ker je kljub vsemu najmanj občutljiv na človeške napake.

Ostal bo še dolgo, tu ni dvoma. Kako pa, da je najmanj občutljiv? Ravno bolj je. Listki z gesli, weak gesla, keyloggers...

jype je 14. nov 2018 ob 12:14 izjavil:

SeMiNeSanja je 14. nov 2018 ob 09:52 izjavil:

Torej JE geslo nastavljeno. Le da na neko random vrednost, ki jo ne poznaš.

Ne. Nastavljeno je na vrednost, ki ne obstaja. Zgoščen zapis ne ustreza nobenemu dejanskemu geslu. Običajno je zapisan klicaj (!).

Že že....ampak poanta je bila glede tega, ali geslo je ali ni nastavljeno.
Prvotna trditev je bila, da ni nastavljeno. Vendar si dejansko potrdil, da je 'nekaj' nastavljeno kot geslo.
Ali je to zdaj 'razrešljivo' ali ne, niti ne igra bistvene vloge pri tem, kar sem jaz trdil: da ni dobro imeti accounta brez gesla.

Kljub temu, pa to še vedno ne reši problema sudo uporabnikov, ki imajo lahko šibka gesla, gesla lepijo na ekrane, pod tipkovnice,....
V bistvu si problem root accounta zgolj distribuiral na več uporabniških accountov s sudo pravicami. Res je, da si tako vsem znani username root umaknil iz prometa - si pa pridobil druge accounte, ki jih je nekoliko težje uganiti - a hkrati tudi težje nadzorovati.
Res je, da si s poti umaknil eno geslo, katerega vsi poznajo - pridobil pa si nekaj novih accountov, za katere ne veš, kako solidna gesla imajo in kako jih varujejo posamezniki.

Če zavihaš rokave in se zakoplješ v sudo konfiguracijo to sicer lahko nekoliko omiliš, toda malo kdo se še potrudi na tem nivoju kaj dosti ponastavljati. Tako dobiš kopico 'root' accountov z drugačnimi username-i. Običajno ti potem tudi iz remote lahko delajo sudo, tako da si nekako mečeš pesek v oči, če se prepričuješ, da si nevemkaj rešil s tem.

No, k sreči ponavadi na enemu sistemu ni 50 uporabnikov s sudo pravicami. Tako da je zgoraj navedeni problem relativen in narašča s številom uporabnikov, ki imajo sudo pravice. Če sta to le dva, ni razloga za paniko. Pri 10-ih pa bi že dobro premislil, če se nebi malo globlje zakopal v konfiguracijo sudo-ja.

@GupeM - pa si sploh prebral, kar sem napisal? Try harder!

No, razen če na noben način nočeš priznati da imam vsaj delno prav... potem pa pač nek znak, ki je zapisan tam, kjer sistem pričakuje zgoščeno vrednost gesla ne predstavlja (nerazrešljive) zgoščene vrednosti gesla. Pismu, kakšno dlakocepljenje!

To nategovanje drug drugega je itak brezvreze, ker je Linux opensource, in bo prej ali slej kdo našel exploit kako priti do root accounta brez kakršnekoli "zgoščene" vrednosti.