O utilitário sudo tem a função de investir temporariamente usuários comuns nas vestes do administrador do sistema.
Se você rodou um comando e descobriu que ele precisava ser executado como root, use apenas o sudo acompanhado de ‘!!’.
Veja um exemplo:
apt update
Lendo listas de pacotes... Pronto
W: chmod 0700 of directory /var/lib/apt/lists/partial failed - SetupAPTPartialDirectory (1: Operação não permitida)
E: Não foi possível abrir arquivo de trava /var/lib/apt/lists/lock - open (13: Permissão negada)
E: Impossível criar acesso exclusivo ao directório /var/lib/apt/lists/
W: Problema ao remover o link do ficheiro /var/cache/apt/pkgcache.bin - RemoveCaches (13: Permissão negada)
W: Problema ao remover o link do ficheiro /var/cache/apt/srcpkgcache.bin - RemoveCaches (13: Permissão negada)
Como você pode ver, o comando acima, precisava de privilégios administrativos para ser executado.
Para resolver isto, não precisa digitar tudo de novo.
O comando abaixo, resolve:
sudo !!
sudo apt update
[sudo] senha para justincase:
Ign:1 http://dl.google.com/linux/chrome/deb stable InRelease
Ign:2 http://ftp.br.debian.org/debian stretch InRelease
Atingido:3 http://ftp.br.debian.org/debian stretch-updates InRelease
Atingido:4 http://linux-libre.fsfla.org/pub/linux-libre/freesh freesh InRelease
Atingido:5 http://dl.google.com/linux/chrome/deb stable Release
Atingido:6 http://ftp.br.debian.org/debian stretch Release
Atingido:7 http://ftp.debian.org/debian stretch-backports InRelease
Atingido:8 http://security.debian.org/debian-security stretch/updates InRelease
Lendo listas de pacotes... Pronto
Construindo árvore de dependências
Lendo informação de estado... Pronto
All packages are up to date.
Nos sistemas operacionais baseados no Linux ou no UNIX (MacOS, FreeBSD etc) há tarefas administrativas, que só podem ser executadas com privilégios de superusuário (root).
O comando sudo nasceu da necessidade do sysadmin delegar algumas destas tarefas a outros usuários do sistema — sem precisar expôr a própria senha.
Usuários pertencentes ao grupo “sudo”, podem assumir privilégios superiores com o uso da própria senha — sem ter conhecimento da senha do root, portanto.
Quem usa o computador sozinho, pode fazer tudo como usuário comum. Eventualmente, pode “se investir de poderes especiais”, com o uso do sudo — e voltar à segurança de um usuário comum, logo em seguida.
Uma, dentre muitas tarefas comuns a todo usuário, por exemplo, é atualizar o sistema. O comando permite fazer isso, sem exigir que se autentique como root.
Na configuração padrão do sudo, usuários com acesso ao comando podem realizar as seguintes tarefas (entre outras):
Acessar dispositivos restritos do hardware.
Formatar e alterar sistemas de arquivos.
Instalar novos aplicativos e configurar áreas sensíveis do sistema.
Como configurar o comportamento do sudo no meu sistema
O arquivo de configuração do sudo é o /etc/sudoers. Contudo, as boas práticas de segurança, recomendam sempre usar o programa visudo para alterar este arquivo:
sudo visudo
Dentro do arquivo de configuração, há uma sessão com várias linhas. Cada uma delas começa com uma entrada Defaults.
Você pode alterar o comportamento do sudo:
editando uma destas linhas — removendo ou editando algum parâmetro ou, ainda, acrescentando um novo.
Para acrescentar, vá até o final da linha e acrescente uma vírgula seguida do novo parâmetro desejado;
adicionando uma nova linha Defaults, seguida da tabulação e dos parâmetros de configuração que você deseja acrescentar.
Por ser muito usado no Linux, já escrevi alguns artigos sobre o sudo (veja a lista no final deste texto). Não esqueça também de dar uma olhada nas tags visudo e sudo, para obter mais informações sobre o uso da ferramenta.
Algumas pessoas, por questão de organização, preferem ter uma linha Defaults exclusiva para cada parâmetro de configuração.
Acompanhe as dicas, para entender melhor.
Edite corretamente o /etc/sudoers
Trata-se de uma dica de segurança.
O UNIX e o Linux são sistemas operacionais projetados para atender uma grande quantidade de demandas e usuários simultâneos.
O visudo bloqueia o acesso de outros usuários ao /etc/sudoers, enquanto você o estiver editando.
Portanto, use sempre o visudo para ajustar o sudo no seu sistema. Não edite o /etc/sudoers diretamente.
Além disso, o visudo faz uma análise do sudoers, logo depois da edição.
Se houver erros, ele avisa e permite que você volte para alterar e corrigir o arquivo.
Organize os Defaults
Como já disse, você pode adicionar vários parâmetros e valores por linha ou abrigar um único parâmetro por linha.
A escolha é sua.
A configuração, abaixo
Eu gosto do segundo método de organizar os ajustes, pois ele permite adicionar um comentário (com ‘#’) ao final de cada linha.
A forma mais comum de usar a palavra-chave é assim: Defaults. Mas em sistemas mais complexos, com um grande número de usuários, em que o sysadmin deseja delegar especificamente e com abrangência, há outras formas de uso. Veja:
Defaults parameter, parameter_list — # os parâmetros desta configuração afetam todos os usuários autenticados no host.
Defaults@Host_List parameter, parameter_list # afeta todos os usuários logados no especificado em @Host_List.
Defaults:User_List parameter, parameter_list #afeta todos os usuários especificados na lista :User_List.
Defaults!Cmnd_List parameter, parameter_list #afeta os comandos especificados na lista !Cmnd_List.
Defaults>Runas_List parameter, parameter_list #afeta comandos listados, desde que executados por um usuário específico.
Como criar um arquivo de log do sudo
Como comportamento padrão, o sudo envia o log ou relatório sobre o que ocorreu durante o seu uso para o syslog(3).
Opcionalmente, você pode criar um arquivo para receber este relatório.
Adicione a seguinte linha:
Defaults logfile="/var/log/sudo.log"
Se quiser que o seu arquivo de log contenha informações sobre o host e o ano relacionados às ações relatadas, use assim:
O sudo permite customizar a mensagem exibida a cada vez que se erra na digitação da senha de autenticação.
Isto é feito através da inclusão ou edição do valor do parâmetro badpass_message=.
Siga o procedimento, abaixo, para criar uma mensagem personalizada de aviso de senha errada, para o sudo.
Abra o editor padrão de edição do sudoers:
sudo visudo
Em seguida vá até seção que tem os parâmetros Defaults.
Inclua mais um:
Defaults badpass_message="Não posso deixar você fazer isso, Dave."
Leia mais dicas de configuração do comando sudo, clicando na tag visudo e/ou sudo.
A opção insults, no sudoers, se sobrepõe a badpass_message.
Mas você pode desativar qualquer parâmetro Defaults, inserindo um ‘#’ no começo da linha dele.
O bad pass msg acaba sendo uma alternativa para sistemas “chatos” que usam um sudo compilado sem suporte a insults.
Em tempo, saiba mais sobre como “ofender” as pessoas que erram a senha no sudo, neste post.
Divirta-se!
A cultura hacker é extremamente forte entre usuários Linux/UNIX e a descontração, quando alguém comete um erro, sempre fez parte da comunidade.
O comando sudo, como comportamento padrão, admite até 3 tentativas de senhas erradas.
Depois disto, ele termina e envia uma mensagem ao root (administrador do sistema), informando sobre a “tentativa de obter privilégios” perpetrada pelo usuário em questão.
As piadas ou “insultos”, são variados.
Veja alguns exemplos (com a minha tradução livre):
You speak an infinite deal of nothing — “Você diz um amontoado de besteiras”
Take a stress pill and think things over — “Tome um calmante e pare para pensar”
That’s something I cannot allow to happen — “Taí uma coisa que eu não posso deixar acontecer”
You silly, twisted boy you — “Seu tolo, você é um menino confuso”
I have been called worse — “Já me chamaram de coisa pior”
Sinta-se à vontade para sugerir uma tradução diferente, nos comentários, caso não concorde com alguma (sem ofensas!) Sua contribuição será bem vinda. 😉
Como configurar o sudoers para ofender os usuários
Abra o arquivo de configuração do sudo com o visudo:
sudo visudo
localize a seção que tem os Defaults e acrescente uma linha com o seguinte conteúdo:
Defaults insults
Se não quiser acrescentar uma linha, é possível apenas adicionar uma vírgula, seguida do parâmetro ‘insults’ a qualquer uma das linhas já existentes.
Veja como está esta sessão no meu arquivo de configuração sudoers:
A depender do seu sistema, pode ser necessário se reautenticar para poder ver os efeitos da alteração.
Como obter a lista de insultos, ofensas e piadas do sudo
No Debian 9, a lista completa de insultos pode ser obtida no arquivo binário ‘/usr/lib/sudo/sudoers.so’.
Ele pode ser encontrado com o comando find, caso não esteja lá:
find /usr/lib/sudo -type f | xargs grep "fallen in the water"
Arquivo binário /usr/lib/sudo/sudoers.so coincide com o padrão
Por ser um arquivo binário, se você usar o comando cat nele, vai obter um monte “lixo” na sua tela.
Tente encontrar as frases com o seguinte comando, no terminal:
strings /usr/lib/sudo/sudoers.so | less
Agora digite ‘/dumber’ e as frases irão aparecer na tela.
No Askubuntu (link no final), é possível encontrar as várias listas de insultos, separadas por arquivos.
Minhas preferidas são as que usam falas do filme 2001: A Space Odissey (2001: Uma Odisseia no Espaço).
Veja algumas:
“Just what do you think you’re doing Dave?”
“It can only be attributed to human error.”
“That’s something I cannot allow to happen.”
“My mind is going. I can feel it.”
“Sorry about this, I know it’s a bit silly.”
“This mission is too important for me to allow you to jeopardize it.”
“I feel much better now.”
Desta vez, vai sem tradução… Sudo insults list.
Acho, ainda, importante frisar que certas frases, desta “brincadeira”, induzem a erro de interpretação, como os exemplos abaixo:
“invalid authentication methods.“
“Invalid authentication methods compiled into sudo! You may not mix standalone and non-standalone authentication.“
“There are no authentication methods compiled into sudo! If you want to turn off authentication, use the –disable-authentication configure option.“
“Unable to initialize authentication methods.“
As mensagens acima podem levar um usuário desavisado a “entrar em parafuso” (se ele souber algum inglês, claro). Além disso, elas não fazem sentido algum para os propósitos do sudo.
Se você, como sysadmin, se incomoda com perguntas “inocentes” de usuários, ativar os insults pode não ser uma boa ideia.
Na dúvida, para não ter problemas, use uma mensagem personalizada para o sudo.
Tradicionalmente, na linha de comando do Linux/UNIX, a linha de autenticação, onde digitamos nossa senha, não exibe qualquer feedback.
Como recurso de segurança, este comportamento impede que alguém veja, por sobre o seu ombro, quantos caracteres a sua senha possui.
Os ambientes gráficos, contudo, têm comportamento padrão diferente.
Quase todos, exibem uma bola, um ponto ou um asterisco para cada caractere digitado.
O KDE Plasma permite configurar facilmente a tela de autenticação (KDM) para exibir 3 símbolos para cada caractere digitado — o que dá à sua senha a aparência de ser bem maior do que realmente é.
Vale tudo para enganar os bisbilhoteiros.
Se você prefere obter uma visualização da quantidade de caracteres digitados no seu campo de senha, na autenticação do sudo, pode fazer este ajuste no arquivo sudoers.
O procedimento é simples. Acompanhe os passos, abaixo:
Abra o arquivo de configuração:
sudo visudo
Em seguida, encontre a linha
Defaults env_reset
e acrescente o parâmetro ,pwfeedback.
A linha deve ficar assim:
Defaults env_reset,pwfeedback
Se você preferir, pode criar uma linha Defaults adicional com o novo parâmetro, assim:
