Псевдопользователі в nix

Тільки користувач root має для ядра Linux особливий статус. Є, однак, ще кілька псевдопользовательскіх облікових записів, які застосовуються для системних цілей. Ці фіктивні облікові записи можна ідентифікувати за значеннями UID, які зазвичай менше 100. Як правило, облікові записи з UID менше 10 належать системі, а значення UID від 10 до 100 відведені для псевдопользователей, пов'язаних зі спеціальними програмами. Паролі цих псевдопользователей в файлі / etc / shadow зазвичай заміняють зірочкою, щоб не можна було увійти в систему під службовим ім'ям. Щоб захиститися від засобів атаки на основі дистанційного входу в систему (коли замість паролів використовуються файли SSH-ключів), вкажіть в якості командних інтерпретаторів (замість / bin / bash або / bin / sh) варіант / bin / false або / bin / nologin.

У деяких системах користувач sys володіє спеціальними файлами (образами пам'яті ядра), які зберігаються в каталозі / dev. Доступ до цих файлів мають лише деякі програми, і всі вони змінюють поточний ідентифікатор користувача на sys. Іноді замість користувача sys створюється група kmem або sys.

Користувачеві nobody не потрібні спеціальні права доступу, і він не повинен володіти ніякими файлами. Якби йому належали якісь файли, то над ними отримали б контроль суперкористувачі, котрі реєструються в віддалених системах.

Традиційно користувачеві nobody відповідав ідентифікатор -1 або -2, і ця угода як і раніше дотримується в ядрі Linux, де ідентифікатор цього користувача дорівнює 65534 (16-бітовий беззнаковий еквівалент -2). В інших дистрибутивах просто вибирається маленьке значення ідентифікатора (наприклад, в Red Hat використовується значення, рівне 99), що при використанні 32-бітових ідентифікаторів користувачів більш виправдано. У системах Solaris застосовується значення ідентифікатора 60001, яке, по крайней мере, легко запам'ятати.

Єдиний недолік перевизначення nobody-ідентифікатора полягає в тому, що, судячи з усього, команда exportfs не звертає уваги на файл passwd, тому за допомогою опції anonuid їй потрібно явно вказувати про необхідність використання іншого ідентифікатора для користувача nobody.

Схожі статті