/etc/sudoers

Un ordenador para "home estudio" y uso de escritorio, de usuario único, con ubuntu o derivados...

¿Qué opináis de modificar el archivo /etc/sudoers para que el usuario pueda adquirir derechos de administrador con sudo pero sin necesidad de contraseña?

Estoy por hacerlo pero no estoy seguro si implica algún problema de seguridad que ahora mismo no veo. ¿Desde internet alguien podría suplantar mi identidad de usuario y ejecutar comandos de administrador? Si eso es así, ¿No es también peligroso que durante unos minutos no se me pida la contraseña si hago sudo varias veces seguidas, como sucede en ubuntu?

Saludos, Pablo

Realmente siempre he pensado eso mismo de ubuntu.
¿No es peligroso ese lapso de tiempo en que el usuario es adminstardor? Supongo que si.
Realmente yo en el mio es como si hubiese aplicado esos cambios que tu comentas, pues
estoy continuamente sudoando.
Pero con respecto a Internet supongo que se necesita entrar por algun puerto abierto y si estas detras de un router que no redirija los puertos a tu ordenador
no tendria por que haber problema. No se que servicios tienes instalados (ssh-server, samba o algun otro)

La verdad estaria bien saber un poquito mas sobre el tema. A ver si alguien por ahi ( algun admin de sistemas) nos lo aclara

Así, de primeras, abres la posibilidad de que cualquier cosa que se ejecute adquiera privilegios administrativos sin preguntar desde cualquier parte del sistema, no sólo desde el terminal en el que has sudado hace menos de 15 min. Serías extraordinariamente vulnerable a cualquier tipo de caballo de troya.

Se supone que sólo se realizan labores administrativas ocasionalmente, por lo que no debería ser tan trabajoso introducir la pass de vez en cuando. Trabajar como usuario raso te protege no sólo frente a ataques externos, sino frente a descuidos propios.

Sudo con un temporizador de 15 min es un compromiso adecuado de riesgo limitado vs comodidad de uso para un equipo doméstico.

Imagina que alguien te mete un par de regalitos sudorosos en un típico script ./configure, o en un script o binario que te mandan en un email o te bajas de un sitio. Si le quitas la password a sudo estás vendido. Cierto, también lo estás si has sudado hace menos de 15 min en ese mismo terminal, por lo que es una buena práctica no utilizar un terminal recién sudado para ejecutar software que no es 100% fiable.

https://help.ubuntu.com/community/RootSudo

Hola,

No monon, ni ssh-server ni samba. Igual un día de estos me pongo a averiguar qué hace cada uno de los daemons que aparecen en htop.

Mi idea es que en el caso de la gran mayoría de usuarios que no somos administradores de sistemas y usamos el PC para oficina y para nuestros pinitos musicales, creo que no sería mucho peor un "sudo rm -Rf" al directorio raíz que un simple "rm -Rf" a la raíz de home. Osea, también puedo perder o me pueden espiar cosas muy valiosas para mí con comandos no sudados. Lo que me recuerda que tengo que hacer copias de seguridad de mi home, de todas maneras. Igual pensáis que soy demasiado confiado pero desde que uso Linux siento que los únicos enemigos de mis archivos son los fallos de hardware (editado: los únicos posibles enemigos, que de momento no me ha fallado el disco duro, toco madera).

La verdad es que no suelo bajar software de cualquier sitio. Sólo de repos oficiales, de repos no oficiales en los que confío y, si bajo fuentes, sólo de los sitios oficiales de los proyectos.

Mi intención no es ahorrarme el trabajo de introducir el password. Es precisamente porque quiero introducir algunos comandos "sudorosos" en scripts de usuario o en lanzadores gráficos.

He estado leyendo el manual del sudoers y he aprendido cómo prescindir de la contraseña selectivamente. Sólo para los comandos que quiero.

pablo   ALL=NOPASSWD: /sbin/shutdown

pablo   ALL=NOPASSWD: /usr/bin/cpufreq-selector

Por lo demás, ¡Viva la contraseña!

Gracias a los dos.
Saludos, Pablo

Pablo_F escribió:

creo que no sería mucho peor un "sudo rm -Rf" al directorio raíz que un simple "rm -Rf" a la raíz de home.

No es el único tipo de ataque, hay cosas peores. Husmeadores de teclado para pillar contraseñas o números de visa, zombificación para convertir tu máquina en un generador de spam o salto intermedio para distribución de pornografía infantil... si nos ponemos en el peor de los casos, la paranoia tiene el límite que tú le quieras poner.

Sí, administro sistemas y doy cursos de administración, ¿se me nota, jeje?

Lo que comentas de dar acceso selectivo sin contraseña a determinados comandos es lógicamente más seguro que dar acceso sudo universal.

La seguridad informática es como la seguridad física. Los dos axiomas son:

- La seguridad al 100% no existe.

- Cuanto más seguro es un sistema más complicado es su uso legítimo (ejemplo, cuantos más cerraduras pongas en una puerta más segura es, pero más complicada de abrir y cerrar para el dueño de la casa), así que para cada caso hay que encontrar un compromiso adecuado.

Cualquier decisión al respecto es legítima y defendible, siempre que uno esté informado de sus consecuencias.

Se puede decir más alto pero no más claro. Buen profesor tú eres. Gracias de nuevo.

Saludos, Pablo