Linux: kritische Lücke für sudo

[Loxley]

Das mit sudo ohne Passwort gilt wohl nur für den raspberry. Da musste ich noch nie ein Passwort eingeben. Laut Linux Dokumentation wird eins benötigt. Beim Raspberry wird das automatisch so installiert dass kein Passwort benötigt wird.
(Muss man auch erst einmal wissen.)

 

[framp]

Früher war standardmäßig der User

pi

mit dem Kennwort

raspberry

sowie der sshd eingeschaltet. Nachdem dann Leute ihre Raspberry vom Netz aus errichbar gemacht hatten und diverse Raspberries mit diesen Standardeinstellungen gekapert wurden hat man das vernünftigerweise geändert:

Jetzt muss man bei der Installation einen Nutzernamen vergeben und es wird davor gewarnt nicht pi zu nehmen sowie ein Kennwort vergeben. Auch ist der sshd jetzt vernünftigerweise standardmässig ausgeschaltet. Warum immer noch standardmäßig sudo ohne Kennwort möglich ist weiss ich nicht. Besser wäre es standardmäßig aus Securitygründen ein Kennwort zu verlangen, wie es bei Linux OSen Standard ist.

 

[Loxley]

Warum immer noch standardmäßig sudo ohne Kennwort möglich ist weiss ich nicht.

Vermutlich um Anfängern das Leben nicht unnötig schwer zu machen.

 

[Steevee]

also bei meinen Ubuntu-Rechnern muss man auf jeden Fall das root-Passwort für sudo eingeben.

 

[b_s101]

Wie schon geschrieben: die Ausführung von sudo mit oder ohne Passwortabfrage ist konfigurationsabhängig und kann jederzeit individuell geändert werden. Raspian hat sudo für den User pi ohne Passwort konfiguriert, Ubuntu (und alle weiteren AFAIK) nutzen die Standardeinstellung (Passwort muss eingegeben werden). Umgekehrt kann man natürlich auch in Raspbian die Passwortabfrage wieder aktivieren.

Soll sudo ohne Passwort ausgeführt werden, muss in /etc/sudoers (oder ggf. in einer Datei in /etc/sudoers.d/) die folgende Zeile eingefügt werden:

$USER ALL=(ALL) NOPASSWD: ALL

$USER ist der Benutzername des Benutzers, der sudo ohne Passwort ausführen darf.

 

[framp]

Der Vollständigkeit halber auch die umgekehrte Richtung - also die sudo Kennwortabfrage einschalten für den normalen Benutzer auf der Raspberry unter Bookworm:

Einfach die Datei

/etc/sudoers.d/010_pi-nopasswd

löschen. Wurde ein anderer Standardnutzer beim Installieren definiert statt

pi

steht der Nutzername im Dateinamen statt pi.