[linux] Re: Extra admin accounts op linux

[Kees Theunissen]

On Tue, 13 Dec 2005, Hugo van der Kooij wrote:

>> Dat zou weinig zinvol zijn, want een account dat alle rechten van root heeft,
>> kan moeiteloos de identiteit van elke andere gebruiker aannemen.
>
>Er is 1 goede reden. Als je meerdere beheerders hebt met een root account
>dan is het handig om een backup root account te hebben voor het geval 1
>van de beheerders zich in de voet schiet (password om zeep) en een
>recovery onwenselijk is door de lange(re) downtime.

Ja, kan wel eens practisch zijn zo'n backup root account.... als je
geluk hebt met het jezelf in de voet schieten. Met een schot grove
hagel van dichtbij is er soms van de hele voet weinig meer over.

Ik herinner me dat ik een paar jaar terug op mijn eigen workstation
iets met root rechten had moeten doen en vergat uit te loggen als root.
Fout één was dat ik om te beginnen al als root was ingelogd inplaats
van sudo te gebruiken, wat een stuk veiliger is.
Fout twee was dat ik vergat uit te loggen als root.
Fout drie was een heel klein tikfoutje, met ernstige gevolgen.

Ik wilde ergens onder mijn homedir de inhoud van een directory
verplaatsen naar een andere dir. En ik had dus nog steeds root rechten.
In plaats van iets als:
   mv ~kees/een_of_andere_dir/* .
tikte ik in:
   mv ~kees/een_of_andere_dir /* .

Dat scheelt maar één spatie maar je gaat zo wel, dankzij je root rechten,
/* verplaatsen naar je 'working directory'. Daar kom je achter als je
disk overdreven lang blijft rammelen. Als het al veel te laat is dus.

Inloggen als root zou niet meer kunnen, en een backup root account zou
ook niet geholpen hebben want de hele /etc met /etc/passwd en
/etc/shadow was verplaatst. Ik was overigens nog steeds root. In theorie
zou een mv van enkele dirs uit . terug naar / voldoende moeten zijn.
In de praktijk had ik geen /bin/mv meer en zelfs geen /bin/ls om ook maar
de schade op te kunnen nemen, want /bin was ook verplaatst. Dan maar
./bin/ls en ./bin/mv proberen? Vergeet het maar. Als /lib nog op zijn
plaats had gestaan zou dat waarschijnlijk nog wel gewerkt hebben, maar
helaas.....  Op zich viel de schade nog mee. Booten met een rescue disk
en een paar directories terugschuiven was voldoende.

De fatale fout was één tik teveel op de spatiebalk.
Ik geef dit voorbeeld om te illustreren dat het geven van volledige root
rechten aan onvervaren beheerders risico's met zich mee brengt. En ik
was toen trouwens niet onervaren, alleen maar wat slordig. Uit de vraag
van Jeroen leid ik af dat zijn admins wel onervaren zijn want ervaren
unix systeembeheerders zouden zijn vraag zelf wel hebben beantwoord.

Joop en Jelle noemden beide "sudo" als tool om gewone users taken te
kunnen laten uitvoeren met root rechten. Volgens de boekjes hebben
ze volkomen gelijk. Toch heb ik in dit specifieke geval mijn twijfels.
Om de een of andere reden heb ik een beeld voor me van onervaren admins
die in een grafische omgeving inloggen en dan een menu opentrekken
met de benodigde tools om settings te veranderen. Ik denk dat ik ze
dan gewoon als root zou laten inloggen. In theorie zouden ze allerlei
dingen kunnen verknallen. In de praktijk zou dat best wel eens mee
kunnen vallen zolang ze zich beperken hun grafische tools. Als je ze
dwingt om met "sudo" allerlei dingen in een xterm te gaan doen op de
command-line dan zou het risico op fouten wel eens groter kunnen zijn.


Groeten,

Kees.

-- 
Kees Theunissen
F.O.M.-Instituut voor Plasmafysica "Rijnhuizen", Nieuwegein
E-mail: theuniss op rijnh.nl,     Tel: 030-6096724,     Fax: 030-6031204