UNIX시스템에서 root는 무한대의 권한을 가지고 있다. 따라서 침입자들에게는 root 권한을 얻어내는 것이 최우선의 목표이다. UNIX시스템에서 root의 권한은, 시스템 관리자, 시스템 커널 자체, 시스템의 서비스 데몬의 대개 세가지 경우로 한정되어있다. root계정으로 원격으로 로긴하는 것은 대부분의 시스템에서 불가능하도록 설정하는게 보통이지만, su를 쓰면 원격으로 로긴한 계정에서도 root가 될 수 있다.
su대신에 sudo를 쓰면 다음의 장점이 있다.
- root passwd를 효율적으로 관리할 수 있다. 한 명이 아닌 여러 명의 관리자에 의해 시스템이 운영될 경우에, 여러 사람이 root 패스워드를 공유하면 root 패스워드의 정기적인 변경이 어려워짐은 물론, root 패스워드가 외부로 노출될 확률이 상대적으로 높아진다.
- root가 시스템 상에서 작업하는 시간이 짧아진다. root shell을 실행시켜서 오래 걸리는 작업을 하는 것은 많은 경우에 매우 큰 위험을 초래한다. 실수로 root filesystem에서 rm -rf와 같은 위험한 커맨드를 실행할 가능성도 있다. 따라서 sudo를 써서 root권한을 사용하는 시간을 최소화하는 것은 매우 큰 장점이다.
- log추적이 쉬워진다. su root를 할 경우가 많아지게 되면, su root가 되어 무슨 작업을 했는지 일일이 확인하는 것이 불가능하다. 심지어 시스템의 일부가 손상되어도 그 사실을 눈치 채지 못할 수도 있다. sudo를 쓰게 되면 command단위의 logging이 가능하므로 정확한 기록을 확인할 수 있다.
- 관리의 권한과 책임이 명확해진다. root권한을 여러 사람이 공유할때, 어떤 작업이 누구에 의해 행해졌는가는 매우 불분명해진다. sudo를 써서 작업한다면 누가 어떤 작업을 했느지가 명확해진다.
일종의 침입탐지의 기능을 한다. ps나 w command의 결과에서 만약 시스템에 root shell이 실행되어 있다면 분명히 침입을 확신할 수 있다. 왜냐면 그 시스템의 여타의 관리자는 분명히 sudo로 작업을 하므로 root shell을 실행시키지 않기 때문이다. 실제로 관리자가 root shell을 실행시킬 일이 있다 해도 매우 드문 경우이므로 관리자의 주의를 환기시키게된다.
시스템의 침입자는 sudo를 사용할 수가 없다. 왜냐면 sudo는 sudoers라는 파일에 등록된 사용자만 사용할 수 있는데, 침입자가 자신을 sudoers에 등록시키면 존재가 노출 될 수 밖에 없기 때문이다. 따라서 침입자는 무슨 일을 하든 시스템을 조작하기 위해서는 root shell을 사용해야 하고 침입이 당장 노출된다.
지금까지의 이유 이외에도 sudo를 쓴다는 것은 시스템을 제대로 관리하고 있다는 상징성을 가지고 있다. 즉 root권한을 최소화 시키는 것이 보안의 첫걸음 이라는 관점에서 보면, sudo의 사용은 바로 보안의 기본이라고 할 수 있다.
(2) sudo의 사용법
sudo를 사용하려면 당연히 시스템에 sudo가 설치되어 있어야 한다. 여기서는 설치법을 다루지는 않는다. 앞에서 연결해놓은 링크를 따라가면 sudo의 소스를 구할 수 있는데, 설치법은 소스 안에 포함되어있다.
sudo가 설치되어 있다면, sudoers 파일에 원하는 사용자를 등록시킨다. 여기서는 /etc/sudoers가 설정파일이라고 가정한다. sudoers 화일의 위치는 설치 시에 지정한 옵션에 따라 달라질 수 있다.
visudo라는 커맨드를 사용하여 편집 가능하다.
만약 visudo를 쓰지 않고 직집 /etc/sudoers를 편집할 경우, 편집하다가 실수하면 sudo를 쓰지 못하게 되므로, 문법체크를 해주는 visudo를 쓰는게 좋다.
$ visudo
/etc/sudoers 중에서..
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the man page for the details on how to write a sudoers file.
#
# Host alias specification
# User alias specification
# Cmnd alias specification
# User privilege specification
root ALL=(ALL) ALL
stevens ALL=(ALL) ALL
xlinux ALL=(ALL) NOPASSWD:ALL -이것은 sudo할때마다 패스워드를 안묻게 하는겁니다.
/etc/sudoers 중에서..
# sudoers file.
#
# This file MUST be edited with the 'visudo' command as root.
#
# See the man page for the details on how to write a sudoers file.
#
# Host alias specification
# User alias specification
# Cmnd alias specification
# User privilege specification
root ALL=(ALL) ALL
stevens ALL=(ALL) ALL
xlinux ALL=(ALL) NOPASSWD:ALL -이것은 sudo할때마다 패스워드를 안묻게 하는겁니다.
위와 같이 등록시키면 user stevens는 sudo command를 사용할 수 있다. sudoers의 복잡한 문법은 피하고 일단 쉽게 이해할 수 있도록 간단한 예제를 더 들어보자.
dgb boulder = (operator) /bin/ls, (root) /bin/kill, /usr/bin/lprm
이와 같이 설정하면, dgb라는 사용자는 boulder 라는 기계에서 operator의 권한으로 ls를, root권한으로 kill과 lprm을 사용할 수 있다.
사용할 때는 다음과 같이 쓴다.
$ sudo -u operator /bin/ls
sudo command의 일반적인 사용법은 다음과 같다.
$ sudo command [argument]
예제)
sudo vi /etc/passwd
password : ******** <== root 패스워드가 아닌 사용자의 패스워드를 쓴다.
root권한으로 /etc/passwd를 편집한다.
sudo command의 일반적인 사용법은 다음과 같다.
$ sudo command [argument]
예제)
sudo vi /etc/passwd
password : ******** <== root 패스워드가 아닌 사용자의 패스워드를 쓴다.
root권한으로 /etc/passwd를 편집한다.
출처 : www.byus.net/jsb/
