root-Passwort bei Installation vergeben oder nicht? (su / sudo)

[MSfree]

(...) dass Ubuntu das sudo-Konzept kaputt gemacht hat

Ich sehe das nicht so, Ubuntu geht da einfach einen anderen Weg, von kaputt kann keine Rede sein, sudo funktioniert und macht genau das, was es können soll. ABER durch das strengere "Debiankonzept" schützt man wohl viele unbedarfte User praktisch vor sich selbst.

Bevor hier solche Behauptungen aufgestellt werden, sollte man sich mal der Gechichte bewußt werden

Wer hat's erfunden? Ubuntu wurde von Debian abgeleitet. Anfangs waren die Ubuntupakete sogar direkt aus dem Debianrepository kopiert worden, inklusive des kaputten Debian-sudo.

Es bezweifelt auch keiner, daß man sudo sicher(er) machen kann, in dem man es richtig konfiguriert. Tatsache ist aber, daß es per Default unischer konfiguriert ist, und der Normaluser ändert diese Defaults nicht, der ist schon froh, wenn seine frische Installation überhaupt bootet. Der leist auch keine Readmes, wo dann vielleicht in einer Randnotiz vermerkt ist, daß man sudo lieber eine wenig anpassen sollte.

[kalle123]

Wer hat's erfunden? Ubuntu wurde von Debian abgeleitet. Anfangs waren die Ubuntupakete sogar direkt aus dem Debianrepository kopiert worden, inklusive des kaputten Debian-sudo.

Es bezweifelt auch keiner, daß man sudo sicher(er) machen kann, in dem man es richtig konfiguriert. Tatsache ist aber, daß es per Default unischer konfiguriert ist, und der Normaluser ändert diese Defaults nicht, der ist schon froh, wenn seine frische Installation überhaupt bootet. Der leist auch keine Readmes, wo dann vielleicht in einer Randnotiz vermerkt ist, daß man sudo lieber eine wenig anpassen sollte.

Wovon bist du denn jetzt dran?

vom Ubuntu 'sudo' oder das Debian 'sudo'??

cu KH

[dasebastian]

Bevor hier solche Behauptungen aufgestellt werden, sollte man sich mal der Gechichte bewußt werden

Wer hat's erfunden? Ubuntu wurde von Debian abgeleitet. Anfangs waren die Ubuntupakete sogar direkt aus dem Debianrepository kopiert worden,

Ja, die Geschichte ist klar, aber ohne jetzt irgendwem irgendeinen Zacken von der Krone brechen zu wollen, kann man mittlerweile schon sagen, dass Ubuntu was Eigenes ist und eigene Wege geht/gegangen ist. Das Konzept kann man gut oder schlecht oder wie auch immer finden. Insofern meinte ich, dass ja das gesamte Systemsicherheitskonzeptdingens dort einfach mittlerweile ein anderes ist, vielleicht/wahrscheinlich anders als ursprünglich geplant, ja, aber es deshalb als kaputt zu bezeichnen finde ich nicht richtig.

Peace!

[MSfree]

Wovon bist du denn jetzt dran?

vom Ubuntu 'sudo' oder das Debian 'sudo'?

Ubuntu hat sudo von Debian nur kopiert, inklusive der unsicheren Defaultkonfiguration. Debian hat schuld an der unsicheren Konfiguration., und das hat sich bis heute nicht geändert, sudo ist bei Debian immer noch genauso behämmert konfiguriert wie vor 15 jahren, nämlich eine scheunentorgroße Sicherheitslücke.

Es ist einfach Unsinn, hier immer mit dem Finger auf Ubuntu zu zeigen, wenn man es selbst verbrochen hat und andere das nur als Vorlage verwendet haben.

[dasebastian]

Ubuntu hat sudo von Debian nur kopiert, inklusive der unsicheren Defaultkonfiguration. (...) Es ist einfach Unsinn, hier immer mit dem Finger auf Ubuntu zu zeigen, wenn man es selbst verbrochen hat und andere das nur als Vorlage verwendet haben.

Ach, habe dein Post vorher missverstanden.

[uname]

Ubuntu hat sudo von Debian nur kopiert, inklusive der unsicheren Defaultkonfiguration.

Wo hat denn Ubuntu die "unsichere Defaultkonfiguration" von Debian kopiert?

Also in der /etc/sudoers bei Ubuntu steht drin, dass ich glaube die Gruppe "admin" per "sudo" und Eingabe des eigenen Passwortes alles als root darf. Das war bei Debian nie der Fall. Vielleicht wird dieses umgesetzt, wenn man bei der Installation von Debian gefragt wird mit oder ohne root-Benutzer.

Frage: Weiß jemand seit wann das bei Debian in der Installation enthalten ist? Oder war das schon immer bzw. vor allen vor Ubuntu so? Ubuntu gibt es seit Oktober 2004 (04.10). Ich denke die erste Ubuntu Version basierte auf Debian Testing/Unstable/Sid als Debian Sarge.

Ich bin erst seit Debian Sarge also etwa 2005 dabei. War damals bzw. vorher schon die Option mit sudo zu installieren enthalten? Ist mir nicht aufgefallen oder ich habe es mittlerweile nur vergessen. Was war mit den ersten Releases? Vielleicht mag mal jemand schauen oder sich erinnern.

[kalle123]

Wir reden hier irgendwie um den heissen Brei rum.

So sieht /etc/sudoers per default bei Buster aus.

Code: Alles auswählen

#
# This file MUST be edited with the 'visudo' command as root.
#
# Please consider adding local content in /etc/sudoers.d/ instead of
# directly modifying this file.
#
# See the man page for details on how to write a sudoers file.
#
Defaults        env_reset
Defaults        mail_badpass
Defaults        secure_path="/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:
/bin"

# Host alias specification

# User alias specification

# Cmnd alias specification

# User privilege specification
root    ALL=(ALL:ALL) ALL

# Allow members of group sudo to execute any command
%sudo   ALL=(ALL:ALL) ALL

# See sudoers(5) for more information on "#include" directives:

#includedir /etc/sudoers.d

[uname]

Ok. Es gibt die Gruppe "sudo" (%sudo) und die darf ähnlich wie bei Ubuntu per sudo alles.

Das gibt ein paar neue Fragen:
a.) War das früher auch immer so -> ich denke nun mal wirklich ja
b.) Wurde man schon immer über die Installation in "sudo" eingetragen bzw. ab wann gab es das?
c.) Ich glaube standardmäßig wird sudo gar nicht intsalliert. Oder war das mal früher so?

Wenn es die Abfrage bei Debian immer schon gab (habe ich nie genutzt bzw. immer ignoriert), dann hat wohl wirklich Ubuntu von Debian dieses Feature übernommen. Ich glaube aber die Gruppe ist dort "admin", der erste Benutzer "1000" ist immer in der Gruppe und es gibt ein paar weitere Parameter bzgl. Ablauf bzw. Nachfrage des Passwortes wenn ich mich dunkel erinnere. Meine Ubuntu-Ausflüge waren etwa 2007 !!!

[willy4711]

a.) War das früher auch immer so -> ich denke nun mal wirklich ja

Hab mir grad mal debian-31r8-i386-netinst.iso (Sarge ?)runter geladen und versucht, in einer VM zu installieren.
Nach ein Paar Problemen (SATA hat der Installer nicht erkannt) lief dann die Installation.
Im Standard- Installer war es mir nicht möglich, die Eingabe eines Root- PW zu umgehen, nur den User
hätte ich mir sparen können.

Eine /etc/sudoers konnte auch nicht gefunden werden.

Ich hoffe, alle sind zufrieden ??

[KP97]

@uname
Ich bin auch so lange dabei wie Du und kann mich nicht erinnern, daß früher, also so um 2004 bis 2006, bei einer Installation ein sudo angelegt wurde. Es gab immer die Abfrage nach dem Rootpaßwort und dem Userpaßwort. Wer ein sudo - im Sinne von speziellen Berechtigungen für einen einzelnen User - haben wollte, mußte sudo explizit installieren.
Als Abhängigkeit von gksu bzw. kdesu wurde sudo mitinstalliert, aber der User tauchte nicht in der sudoers oder in der Gruppe auf. Policykit gab es damals noch nicht.
Das war der Debianweg...alles lange her...
Bei Ubuntu wurde schon immer bei der Installation der erste User mit sudo angelegt - mit den bekannten Auswirkungen. Root war natürlich vorhanden, trat aber gar nicht in Erscheinung.
Diejenigen Leute, die von Windows wechselten, (an die sich Ubuntu ja explizit richtete), wußten nichts von einem Root und die Trennung zwischen diesem und einem normalen User in einem Unixsystem. Es wurde den Usern suggeriert, immer ein sudo vor einen Befehl zu stellen, daher dieser inflationäre Gebrauch. Was man damit anrichten konnte, war den wenigsten Usern bewußt, die kamen schließlich von Windows und da war das an der Tagesordnung, als Admin unterwegs zu sein.
Eine Installation mit Root Paßwortabfrage gab es nur bei der Serverinstallation. Das waren aber eigene Installationsmedien. Da wurde dann ähnlich wie bei Debian verfahren.
Wer allerdings einen Server aufsetzen wollte, hatte schon entsprechende Kenntnisse und konnte damit umgehen.
Leider haben dann andere Distros diese Unsitte von Ubuntu übernommen, und das tauchte auch später in Debian auf mit der Frage, ob man einen Rootaccount anlegen wolle.

Das meinte ich übrigens auch mit dem "Verbiegen durch Ubuntu". Nicht der Befehl an sich, sondern die Handhabung desselben wurde irreführend dargestellt.
@MSfree gefällt sich zwar in der Rolle des Gegenredners, aber ich denke, er hat das schon richtig verstanden wie es gemeint war.

Heute leben wir damit und führen hier wahrscheinlich die zweiunddrölfte Diskussion darüber...

Nachtrag:
Willy war etwas schneller, ich habe zu lange geschrieben und versucht mich zu erinnern

[Florian113]

Hallo zusammen.
Grade die Trennung zwischen root und User macht doch die Sicherheit aus. Das man vorher überlegen muss was man tut, und das System nicht versehntlich verfrickelt.
Das hat mich bei LMDE oder Mint schon immer gestört das alles mit einem Passwort zu erledigen geht
und man am Ende selber nicht weiß ist man jetzt User oder Admin. Ist ja fast Windows-Like !

User ist User und Admin ist Admin, da sollte es keine Zwischen bzw Halben Lösungen geben, auch nicht auf einem Einzelrechner.
Praktischer weise muss mann sich ja doch nur ein Passwort mehr merken, das sollte doch klappen.
Gruß Achim

[smutbert]

Ok. Es gibt die Gruppe "sudo" (%sudo) und die darf ähnlich wie bei Ubuntu per sudo alles.

Das gibt ein paar neue Fragen:
a.) War das früher auch immer so -> ich denke nun mal wirklich ja

Nein, ich habe auch einen passenden changelog-Eintrag gefunden, wenn ich mich nicht irre:

sudo (1.7.2-1) unstable; urgency=low

• new upstream version, closes: 537103
• improve initial sudoers by having the exemption for users in group
  sudo on by default, and including the ability to run any command as
  any user. This makes the default install roughly equivalent to our
  old use of the --with-exempt=sudo build option, closes: 536220, 536222

-- Bdale Garbee <bdale@gag.com> Wed, 15 Jul 2009 01:29:46 -0600

https://metadata.ftp-master.debian.org/ ... _changelog

b.) Wurde man schon immer über die Installation in "sudo" eingetragen bzw. ab wann gab es das?

Ich meine das muss etwa gleichzeitig mit dem Changelog-Eintrag passiert sein, also in squeeze.

Wenn @KP97 nicht das Gegenteil gesagt hätte, hätte ich vermutet, dass das Ubuntu und Debian so ungefähr zur gleichen Zeit eingeführt haben – ohne obigen changelog-Eintrag hätte ich es spätestens in wheezy, aber frühestens mit der Einführung von policykit eingeordnet, also irgendwann zwischen lenny und wheezy. Zeitlich hätte das gepasst.

Ich hatte zu der Zeit auch den Eindruck, dass besonders Ubuntu Mac OS X nachgeeifert hat, das sich, soweit ich mich erinnere, recht ähnlich verhält.
(Also kein root-Passwort und der erste Benutzer landet in einer admin-Gruppe und darf mit seinem Passwort alles.)

[fischig]

Leute, was regt ihr euch auf? Wird doch immer alles besser und easier in unserer schönen neuen Welt.

Es ist so bequem, unmündig zu sein. Habe ich ein Buch, das für mich Verstand hat, einen Seelsorger, der für mich Gewissen hat, einen Arzt, der für mich die Diät beurteilt, u.s.w., so brauche ich mich ja nicht selbst zu bemühen. Ich habe nicht nötig zu denken, wenn ich nur bezahlen kann; andere werden das verdrießliche Geschäft schon für mich übernehmen.

(Quelle sollte bekannt sein. Na ja in EDV-Kreisen vielleicht nicht so sehr.)
Und der „Fortschritt“ kann doch keinen Bogen um Debian herum machen - oder?

@willy: ich kann dir noch die woody-CDs zur Verfügung stellen.

[kalle123]

Debian hat schuld an der unsicheren Konfiguration., und das hat sich bis heute nicht geändert, sudo ist bei Debian immer noch genauso behämmert konfiguriert wie vor 15 jahren, nämlich eine scheunentorgroße Sicherheitslücke.

Es ist einfach Unsinn, hier immer mit dem Finger auf Ubuntu zu zeigen, wenn man es selbst verbrochen hat und andere das nur als Vorlage verwendet haben.

https://wiki.debian.org/sudo

Wurde vor 3 Tagen aktualisiert.

cu KH

[habakug]

Hallo,

nüchtern betrachtet ist es doch ein Sicherheitsfeature wenn es kein Passwort für den root-Benutzer gibt. Alle Anmeldeversuche als root schlagen fehl.
Vielleicht wählt man für den Benutzer in der sudo-Gruppe einen ungewöhnlichen Usernamen ("S3cXp3R7") und verwendet den Account nur um per sudo Wartungsaufgaben durchzuführen. Ich sehe da noch nicht den Unterschied zu dem User/Kennwort-Paar "root/Passwort" bzw. "su -/Passwort". Das ist doch auch schnell eingehämmert. Ich kann auch nicht recht glauben, dass es seit Einführung von "sudo" als Auswahlmöglichkeit bei der Installation mehr Katasthrophen gegeben hat als "nur" mit dem root-Account. Die Möglichkeit "sudo" zu installieren (und zu konfigurieren) gibt es in Debian schon sehr lange. Neu ist das eher auf "Ego-Rechnern" (Personal Computer,PC), die wirklich nur einen User haben. "sudo" wurde einst erdacht um größeren Personengruppen, die einen (Groß-)Rechner gemeinsam nutzen, sinnvolle Berechtigungen zu erteilen. So einen Rechner durfte eben nicht jeder herunterfahren.

Experten die schlussfolgern, dass Debian "behämmert" und "offen wie ein Scheunentor" usw. ist, würde ich empfehlen zu forken. Dann gibt es neben "Devuan" und anderen Derivaten eben auch ein "SoduDeb", ohne "sudo" natürlich
Der Debian-Installer lässt jedenfalls beides zu wie oben schon irgendwo erwähnt.

Gruss, habakug

[TRex]

dass es seit Einführung von "sudo" als Auswahlmöglichkeit bei der Installation mehr Katasthrophen gegeben hat als "nur" mit dem root-Account.

Möglicherweise mehr leichtsinnige Fehler, weil unbedacht einfach sudo vor alles geschrieben wird. Aber ich hab meine Zweifel, ob diese Leute dann eben nicht alternativ ständig als root unterwegs wären, gäbe es kein sudo. Hatten wir ja auch schon oft genug ("wieso kann ich mich nicht als root in gnome anmelden").

[fischig]

nüchtern betrachtet ist es doch ein Sicherheitsfeature wenn es kein Passwort für den root-Benutzer gibt.

Mal abgesehen davon, dass das allem widerspricht, was ich beim Übergang von Windows (98) zu Linux vor 20 Jahren gelernt zu haben glaubte: klare Trennung von Root und Benutzer als Vorteil von Linux-Systemen - beinhaltet auch die Bedingung einen Denkfehler, meiner Meinung nach. Es gibt ein Root-Passwort, auch auf sudo-Systemen, nur nennt man seinen Besitzer jetzt nicht mehr Root. Und auf einem „Ego-Rechner“ heißt er eben „Fritz“. Und Fritz kann dann unter Linux alles, was er vorher unter Windows konnte, aber als Fritz eigentlich nicht können sollte. Habakuk verschiebt das Problem der Wahl eines „guten“ Passwortes auf die Wahl eines „guten“ Benutzernamens. Das Problem des Missbrauchs des Root-Zugangs löst man so oder so damit nicht . Da ist mir die klare Tennung von Admin und Benutzer lieber.

mehr leichtsinnige Fehler, weil unbedacht einfach sudo vor alles geschrieben wird. Aber ich hab meine Zweifel, ob diese Leute dann eben nicht alternativ ständig als root unterwegs wären, gäbe es kein sudo. Hatten wir ja auch schon oft genug ("wieso kann ich mich nicht als root in gnome anmelden").

Nach meiner Wahrnehmung ist das aber schon eine ganze Weile her, dass solche Fragen auftauchten. Und die konnte man erklären. Mittlerweile lautet die Frage nur noch: „Warum soll ich einen Root-Zugang anlegen? sudo ist doch viel bequemer!“ Und da kommt dann so ein Monster-Thread heraus, der im Endeffekt gar nichts klärt.

Bei Fragen zur Systemeinrichtung lese ich im Internet nur noch „sudo ..., sudo ..., sudo ...“, ohne die geringste Erklärung. Mir scheint, das Imperium (in Gestalt von Ubuntu) schlägt zurück. Und gestandene Debianer versuchen, sich den Irrweg schön zu reden.

[habakug]

Hallo,

@fischic
Was man vor 20 Jahren gelernt hat, darf man ruhig nochmal überdenken
Es bringt gar nichts Linux und Windows zu vergleichen. Ich glaube da bist du auf dem falschen Dampfer.
"Das Problem des Missbrauchs des Root-Zugangs" lässt sich doch garnicht lösen, jeder der ihn hat, kann ihn auch "missbrauchen". Oder willst du persönlich "Fritz", der vor seinem "Ego-Rechner" sitzt, sagen was er "eigentlich nicht können sollte"? Soll Debian diese Instanz sein? Ausserdem müsste "Fritz" dann ja das Handbuch lesen...
Zudem ist bei physikalischem Zugriff (und wenn die Platte nicht verschlüsselt ist) jederzeit Zugriff als (ein anderer) root möglich, z.B. über USB-Boot. Ein Gerät, dass nicht physikalisch erreichbar ist, ist natürlich ganz anders zu behandeln als diese "Ego-Rechner". Debian hat default den root-Zugriff per SSH gesperrt. Hier ist sudo sehr von Vorteil, wenn z.B. der Backup-Admin seine Hilfsprogramme (auch per Skript) mit einem unprivilegierten User ausführen kann. Wenn der Backup-Admin nämlich einen plötzlichen Anfall hat oder sein Account kompromittiert wurde, kann er nicht als root das System lahmlegen.
root muss in Mehrbenutzer-Systemen delegieren können, sonst kann er sich nicht mehr gemütlich zurücklehenen wenn alles läuft
Das root-Kennwort, wenn vorhanden, sollte nur der admin/wheel-Gruppe bekannt sein und nie einem unprivilegierten Benutzer.
Ich halte das

Code: Alles auswählen

fritz ALL = ALL

nicht für optimal, es erlaubt Fritz und nur Fritz aber alles nötige (und unnötige) an seinem "Ego-Rechner" zu bewerkstelligen. Der Debian-Installer bietet ja auch die root-Variante weiterhin an. Dennoch muss ich respektieren, dass auch Debian "Using sudo is better (safer)" [1] findet.

Gruss, habakug

[1] https://wiki.debian.org/sudo?action=show&redirect=Sudo

[fischig]

"Das Problem des Missbrauchs des Root-Zugangs" lässt sich doch gar nicht lösen".

Das lag mir auf der Zunge, aber so apodiktisch wollte ich's als Laie nicht formulieren. Und wenn du da recht hast, dann weiß ich nicht, warum man's via sudo immer wieder versucht. Ich habe auch nichts gegen sudo (älter als 20 Jahre (1), schöne Aufgabe für willy, zu eruieren, seit wann's sudo in Debian gibt ), in der Hoffnung, dass jemand, der eine Rechnerfarm remote administiert, dann auch weiß, was er tut und darüber hinaus in der Lage ist abzuschätzen, dass nicht jeder kann, was er tut. Aber wenn jemand fragt, ob er „ein root-Passwort bei Installation vergeben [soll] oder nicht?" dann ist für mich die Anwort klar: Mach' das, bevor du dich in diesem Stadium mit einer sudo-Konfiguration übernimmst.
Ich sehe nicht, was sich an dieser Problematik in den letzten 20 Jahren geändert hätte.

Oder willst du persönlich "Fritz", der vor seinem "Ego-Rechner" sitzt, sagen was er "eigentlich nicht können sollte"?

Ich sagte ihm schon gerne, was er als „Fritz“ besser nicht tun sollte. Das ist ein Unterschied.

(1) https://de.m.wikipedia.org/wiki/Sudo

[mcb]

Die Ursprungsfrage war ja root passwd vergeben (bei der Installation) -

da man es hinterher sowieso verändern kann, falls man seine Meinung ändert, geht doch beides ?

So ich habe mir jetzt eines alias gesetzt "s für su -"