sudo
sudo (substitute user do) ist ein Befehl, der dazu benutzt wird, Prozesse mit den Rechten eines anderen Benutzers (z.B. root) zu starten, während sudo alle Befehle und Argumente mitloggt. Der dauerhafte Wechsel der Identität erfolgt durch sudo -s.
Man benutzt sudo anstelle von su, um bestimmten Benutzern die Möglichkeit zu geben, gewisse Programme z.B. mit root-Rechten ausführen zu können, ohne das root-Passwort weitergeben zu müssen. Die Sicherheitsrichtlinien sind in der Datei /etc/sudoers gespeichert.
Installation
Das Programm ist als
sudo
in core
verfügbar, und kann von dort
mittels Pacman
installiert werden.
sudo für Benutzer einrichten
Um den Benutzern (bestimmte) root-Privilegien zu geben muss die Datei /etc/sudoers als root mit dem Kommando visudo bearbeitet werden, da so eine Syntaxüberprüfung gewährleistet ist. Bei der direkten Bearbeitung ohne Prüfung - also mit einem anderen Editor - kann der kleinste Tippfehler dazu führen, dass man sich aus dem System aussperrt und nur über den Recovery-Modus wieder Zugang erhalten kann. Dies sollte daher unbedingt mit folgendem Kommando gemacht werden:
su - visudo
Hinweis: visudo liest die Variable EDITOR aus, die standardmäßig euf vi eingestellt ist. Wenn man die Variable nicht ändert, funktioniert visudo also wie vi/vim. Um in den Eingabemodus zu gelangen, muss nach Start I gedrückt werden. Möchte man die Änderungen speichern und das Programm beenden, so betätigt man Esc und gibt anschließend :wq! ein.
Durch hinzufügen der Zeile
USERNAME ALL=(ALL) ALL
werden dem entsprechenden Benutzer die gleichen Rechte gewährt wie root selbst, wobei USERNAME durch den jeweiligen Benutzernamen zu ersetzen ist.
Will man einem Benutzer beispielsweise einen einzigen Befehl freischalten, ohne dass er das Passwort eingeben muss, muss folgende Zeile eingefügt werden:
USERNAME ALL=NOPASSWD:/Pfad/zum/Programm
Wobei auch hier wieder USERNAME durch den Benutzernamen zu ersetzen ist.
Achtung: Es ist zu beachten, dass ein so gestartetes Programm mit root-Berechtigungen läuft. Sollte es sich dabei um eine Shell, einen Dateimanager, Pacman, oder irgendein Programm handeln, dass Dateien öffnen/bearbeiten oder einlesen und ausführen kann, hat USERNAME effektiv vollständigen Rootzugriff auf das System.
Es kann auch sinnvoll sein, sudo für alle Mitglieder einer Gruppe einzurichten. Hierfür eignet sich die schon von vornherein vorhandene Gruppe wheel. Dazu ergänzt man die /etc/sudoers um
%wheel ALL=(ALL) ALL
Damit haben alle Benutzer, die in der Gruppe wheel Mitglied sind sudo-Rechte, und können damit alle Programme ausführen, für die man eigentlich root-Rechte benötigt.
Bash-Completion für sudoer
Ist das Programm bash-completion installiert, werden Befehle in einem Terminal durch Tab ↹ automatisch vervollständigt. Das erspart zum Beispiel das komplette eingeben eines Dateinamens. Beispiel:
fir<TAB>
ergibt in der Shell das Kommando:
firefox
Wollen Sudo-Benutzer Bash-Completion genießen muss die Datei ~/.bashrc editiert werden:
complete -cf sudo
Beleidigungen
Eine Kuriosität ist die Möglichkeit, sich bei falscher Passworteingabe von sudo beleidigen zu lassen.
Dazu muss in der Datei /etc/sudoers folgende Zeile ergänzt werden
Defaults insults
Proxy Variabeln
Da sudo die Proxy Variabeln nicht standardmäßig aus bash.bashrc übernimmt, muss unter dem Punkt "Defaults specification" in der sudoers folgendes eingetragen werden:
Defaults env_keep += "http_proxy" Defaults env_keep += "https_proxy" Defaults env_keep += "ftp_proxy"
Damit werden die Proxy Variabeln aus den lokalen Nutzer mit übernommen und ggf. im Befehl verarbeitet.
sudo mit KDE und Gnome
Um Root-Rechte für grafische Programme zu erlangen sollte man auf keinen Fall sudo verwenden, da dieses nicht die Umgebungsvariablen korrekt setzt. Statt dessen ist kdesu bzw. gksu zu verwenden.
Problem Fix für KDE
Wenn es mit kdesu Probleme gibt kann es sein dass man die Datei /usr/share/config/kdesurc anlegen muss mit folgendem Inhalt:
[super-user-command] super-user-command=sudo
Verwendung analog zu su
Man kann das Verhalten von su mit sudo relativ gut nachbilden. Dies ist vor allem interessant, wenn man alleiniger Nutzer eines Systems ist, und Programme die sudo voraussetzen/nutzen, etwas einschränken will, und vor allem für root-Aufgaben und den normalen Userlogin unterschiedliche Kennwörter benutzen möchte.
/etc/sudoers
Defaults rootpw # Frage nach dem Rootpasswort Defaults timestamp_timeout = 0 # Merke dir den Login nicht username ALL=(ALL) ALL # Erlaube `username` die Verwendung von sudo
Damit wird username nach dem root-Passwort gefragt, wenn ein Programm im Kontext des Users erweiterte Rechte anfragt. Zudem wird die Authentifizierung nicht zwischengespeichert, so dass jeder Aufruf „einmalig“ ist, und bei jedem weiteren verwenden von sudo das Passwort erneut eingegeben werden muss (su -lc programmname).
Deaktivieren des Root-Login
Achtung: Arch Linux ist nicht optimiert für den Betrieb ohne Root-Account, es könnte also zu unerwarteten Problemen kommen.
Mit eingerichtetem sudo ist es sinnvoll den Root-Account abzuschalten.
Ohne Root-Account müssen Angreifer nicht nur ein Passwort 
erraten sondern auch den dazu passenden Nutzernamen.
Es stellt also eine gewisse Erhöhung der Sicherheit dar.
Achtung: Bevor man den Root-Account deaktiviert sollte man sich vergewissern, dass der eigene Nutzername wirklich mit sudo funktioniert!
Der Root-Account kann gesperrt werden mit passwd:
# passwd -l root
Ein ähnlicher Befehl aktiviert ihn wieder.
$ sudo passwd -u root
