]> &Geert.Jansen; &Geert.Jansen.mail; SusePolska

suse@suse.pl

Polskie tłumaczenie AdrianBrosz

adriian@wp.pl

Weryfikacja i uaktualnienie tłumaczenia 2000 &Geert.Jansen; &FDLNotice; 2005-06-07 1.00.00 &tdesu; jest graficzną nakładką dla polecenia &UNIX-dopelniacz; su. KDE su hasło root Witamy w &tdesu;! &tdesu; jest graficzną nakładką &kde; dla polecenia &UNIX-dopelniacz; su. Pozwala ona na uruchamianie programów z uprawnieniami innych użytkowników, po podaniu ich hasła. &tdesu; jest nieuprzywilejowanym programem, korzysta z polecenia systemowego su. &tdesu; ma jedną dodatkową właściwość: może zapamiętywać dla Ciebie hasła. Jeśli używasz tej funkcji, musisz podać hasło tylko raz, dla każdego z uruchamianych poleceń . Zobacz - tam jest więcej informacji na ten temat i analiza bezpieczeństwa. Ten program jest zaprojektowany tak, by uruchamiać go z linii poleceń lub z plików .desktop. Chociaż prosi o podanie hasła administratora (root) za pomocą okna dialogowego z graficznym interfejsem, jest raczej łącznikiem pomiędzy poleceniem konsoli a graficznym interfejsem użytkownika. Używanie &tdesu; jest łatwe. Składnia wygląda następująco: tdesu -c -d -f plik -i nazwa ikony -n -p priorytet -r -s -t -u użytkownik --nonewdcop polecenie arg1 arg2 tdesu wspólne opcje &kde; wspólne opcje Qt Parametry linii poleceń wyjaśnione są poniżej. -c program Ten parametr określa program który ma być uruchomiony z uprawnieniami administratora. Musi być on przekazany jako jeden argument. Jeśli więc chcesz uruchomić menedżera plików, wpisujesz w linii poleceń: tdesu -c kfm -sw -d Pokazuje informacje do debugowania. -f plik Ta opcja umożliwia wydajne używanie of &tdesu; w plikach .desktop. Przekazuje ona &tdesu; polecenie sprawdzenia pliku podanego przez parametr plik. Jeśli plik ten może być zapisany przez bieżącego użytkownika, &tdesu; wykona polecenie jako ten właśnie użytkownik. Jeśli bieżący użytkownik nie ma uprawnień do zapisania tego pliku, polecenie jest wykonywane jako użytkownik użytkownik (domyślnie root). plik jest określany w następujący sposób: jeśli plik zaczyna się od /, jest uznawany za absolutną nazwę pliku. W przeciwnym wypadku, przyjmuje się, że jest nazwą jednego z globalnych plików konfiguracyjnych &kde;. Na przykład, aby skonfigurować menedżer logowania &kde; (kdm), możesz użyć polecenia tdesu -c kdmconfig -f kdmrc -i nazwa ikony Określa ikonę, która zostanie użyta w oknie dialogowym wprowadzania hasła. Można podać tylko nazwę, bez rozszerzenia. Na przykład, aby uruchomić kfmclient i pokazać ikonę &konqueror-dopelniacz; w oknie dialogowym wpisywania hasła: tdesu -i konqueror kfmclient -n Nie przechowuj hasła. Opcja wyłącza pole wyboru pamiętaj hasło w oknie dialogowym wpisywania hasła. -p priorytet Ustawia wartość priorytetu procesu. Priorytet jest dowolną wartością między 0 a 100, gdzie 100 oznacza najwyższy, natomiast 0 najniższy priorytet. Domyślna wartość to 50. -r Uruchamia polecenie z priorytetem czasu rzeczywistego. -s Zatrzymuje demona tdesu. Patrz . -t Włącza wyjście na terminal. Opcja ta wyłącza przechowywanie hasła. Głównym zastosowaniem powyższego jest znajdowanie błędów (debugowanie) — jeśli chcesz uruchamiać programy konsoli, użyj lepiej zwykłego polecenia su zamiast &tdesu;. -u użytkownik Mimo, że najczęstszym zastosowaniem dla &tdesu; jest uruchamianie polecenia jako administrator, możesz podać dowolną nazwę użytkownika i odpowiednie dla niego hasło. Program, który uruchamiasz, będzie działał z identyfikatorem użytkownika root i przez to w zasadzie nie będzie miał dostępu do Twojego ekranu X-ów. &tdesu; omija ten problem poprzez dodawanie ciasteczka identyfikującego dla Twojego ekranu do pliku tymczasowego .Xauthority. Po zakończeniu działania polecenia, plik ten jest usuwany. Jeśli nie używasz ciasteczek X, jesteś zdany na siebie. &tdesu; wykryje to ustawienie i nie doda ciasteczka, ale będziesz musiał się upewnić, że użytkownik root ma dostęp do Twojego ekranu. &tdesu; używa polecenia systemowego su do zmiany uprawnień. W tej części wyjaśnione zostaną szczegóły, jak &tdesu; to robi. Ponieważ niektóre implementacje polecenia su (na przykład ta z Red Hata) nie czytają hasła ze standardowego wejścia (stdin), &tdesu; tworzy parę pty/tty, a następnie wykonuje su ze standardowymi deskryptorami plików podłączonymi do tego tty. Aby uruchomić polecenie przekazane przez użytkownika, zamiast domyślnie uruchamianej interaktywnej powłoki, &tdesu; przekazuje polecenie za pomocą opcji -c polecenia su. Ten argument jest rozumiany przez każdą znaną mi powłokę, więc powinno to działać w każdym przypadku. Polecenie su przekazuje argument -c do uruchomionej powłoki i powłoka uruchamia wskazany program. Przykładowe polecenie: su root -c program. Zamiast uruchamiania polecenia użytkownika bezpośrednio poprzez polecenie su, &tdesu; uruchamia mały program pośredniczący o nazwie tdesu_stub. Ten program (działający jako użytkownik docelowy), pobiera niektóre informacje z &tdesu; poprzez połączenie pty/tty (podłączone do standardowego wejścia i wyjścia) i wówczas uruchamia program użytkownika. Przekazywane są: nazwa ekranu X, ciasteczko uwierzytelniające X (jeśli jest dostępne), zawartość zmiennej PATH i polecenie do uruchomienia. Powodem, dla którego użyty jest program pośredniczący jest to, że ciasteczko X jest prywatną informacją i nie może być przekazywane w linii polecenia. &tdesu; sprawdza hasło, które zostało podane i wyświetli komunikat o błędzie, jeśli nie będzie ono poprawne. Sprawdzanie dokonywane jest poprzez uruchomienie prostego programu /bin/true. Jeśli sprawdzenie się powiedzie, hasło uznawane jest za poprawne. Dla twojej wygody, &tdesu; posiada opcję przechowywania haseł. Jeśli interesują Cię kwestie bezpieczeństwa, powinieneś przeczytać tę część. Pozwalając &tdesu; na zapamiętywanie haseł, otwierasz (małą) lukę w bezpieczeństwie systemu. Oczywiście, &tdesu; nie pozwala komukolwiek innemu poza Tobą na używanie hasła, ale jeśli zostanie to zrobione nieuważnie może obniżyć poziom bezpieczeństwa administratora (użytkownika root) do tego, jaki ma zwykły użytkownik (Ty). Haker, który włamie się na Twoje konto, może zdobyć uprawnienia administratora. &tdesu; próbuje temu zapobiec. Zabezpieczenia jakich używa są, moim zdaniem, wystarczające i są objaśnione poniżej. &tdesu; używa demona, nazwanego tdesud. Demon nasłuchuje na gnieździe &UNIX-dopelniacz; w katalogu /tmp, oczekując na polecenia. Tryb (uprawnienia) gniazda to 0600 więc tylko Ty jako posiadacz odpowiedniego identyfikatora użytkownika możesz się połączyć. Jeśli włączone jest przechowywanie haseł, &tdesu; wykonuje polecenie poprzez tego demona. Zapisuje polecenie i hasło administratora do gniazda, a następnie demon wykonuje polecenie za pomocą su, jak wyjaśniono wcześniej. Poźniej, polecenie i hasło nie są zapominane, zamiast tego są one przechowywane przez określony przedział czasu. Przedział czasu można określić w module &kcontrolcenter-dopelniacz;. Jeśli pojawi się nastepne żądanie wykonania tego samego polecenia w tym przedziale czasu, nie będzie konieczne powtórne podanie hasła. Aby uchronić demona przed kradzieżą haseł przez włamywaczy (na przykład poprzez dołączenie debuggera), demon jest uruchamiany ze zmianą grupy (SGID) na 'nogroup'. To powinno zabezpieczyć przed uzyskaniem hasła z procesu tdesud przez wszystkich zwykłych użytkowników (wliczając Ciebie). Dodatkowo demon ustawia zmienną środowiskową DISPLAY na wartość którą miała przy uruchomieniu. Jedyną rzeczą którą może zrobić wówczas włamywacz jest uruchomienie programu na Twoim ekranie. Jedynym słabym punktem tego schematu jest to, że programy jakie uruchamiasz prawdopodobnie nie są pisane z myślą o bezpieczeństwie (czyli do wykonania z uprawnieniami administratora za pomocą SUID). Oznacza to że mogą one zawierać błędy przepełnienia bufora lub inne problemy, które mogą wykorzystać hakerzy. Korzystanie z opcji zapamiętywania haseł jest kompromisem pomiędzy bezpieczeństwem i wygodą. Samemu trzeba zdecydować, co się wybiera, mając świadomość ryzyka. &tdesu; Prawa autorskie (c) 2000 &Geert.Jansen; Autorem &tdesu; jest &Geert.Jansen;. Jest w części oparty na &tdesu; w wersji 0.3 autorstwa Pietro Iglio. Pietro i ja ustaliliśmy, że dalej ja będę się opiekował programem. Z autorem można skontaktować się pod adresem e-mailowym &Geert.Jansen.mail;. Proszę o informacje na temat wszelkich niedociągnięć, abym mógł je naprawić. Jeśli masz jakieś sugestie, skontaktuj się ze mną. &underFDL; &underArtisticLicense;