Apa tujuan dari pengguna 'tidak ada'?

Setelah saya membaca Daftar semua pengguna manusia, saya perhatikan ada akun pengguna bernama 'tidak ada' di sistem Ubuntu saya.

Saya juga memperhatikan bahwa saya dapat masuk di akun ini dari terminal menggunakan perintah berikut dan kata sandi saya:

sudo su nobody

Saya sama sekali tidak keberatan, tetapi saya ingin tahu apa tujuan dari pengguna ini? Apakah ini dibuat secara default pada instalasi baru Ubuntu atau dibuat dengan menginstal paket tertentu?

Itu ada untuk menjalankan hal-hal yang tidak memerlukan izin khusus. Biasanya dicadangkan untuk layanan yang rentan (httpd, dll) sehingga jika mereka diretas, mereka akan memiliki kerusakan minimal pada sisa sistem.

Bandingkan ini dengan menjalankan sesuatu sebagai pengguna nyata, jika layanan itu dikompromikan (server web kadang-kadang dieksploitasi untuk menjalankan kode arbitrer), itu akan berjalan sebagai pengguna itu dan memiliki akses ke semua yang dimiliki pengguna. Dalam kebanyakan kasus, ini sama buruknya dengan mendapatkan root.

Anda dapat membaca sedikit lebih banyak tentang pengguna yang tidak ada di Wiki Ubuntu:

• https://wiki.ubuntu.com/nobody

Untuk menjawab tindak lanjut Anda:

Mengapa saya tidak dapat mengakses akun ini su nobody?

sudo grep nobody /etc/shadowakan menunjukkan kepada Anda bahwa tidak ada yang tidak memiliki kata sandi dan Anda tidak bisa sutanpa kata sandi akun. Cara terbersih adalah sudo su nobodysebaliknya. Itu akan membuat Anda dalam shcangkang yang cukup terpencil .

Bisakah Anda memberikan contoh tertentu ketika ditunjukkan untuk menggunakan akun ini?

Ketika izin tidak diperlukan untuk operasi program. Ini paling penting ketika tidak akan ada aktivitas disk apa pun.

Contoh dunia nyata dari hal ini adalah memcached(cache / basis data / memori dalam nilai kunci), duduk di komputer saya dan server saya berjalan di bawah akun siapa pun. Mengapa? Karena itu tidak memerlukan izin dan untuk memberikannya akun yang memang memiliki akses tulis ke file hanya akan menjadi risiko yang tidak perlu.

Dalam banyak varian Unix, "tidak ada" adalah nama konvensional dari akun pengguna yang tidak memiliki file, tidak ada dalam kelompok istimewa, dan tidak memiliki kemampuan kecuali yang dimiliki setiap pengguna lainnya.

Adalah umum untuk menjalankan daemon sebagai bukan siapa-siapa, terutama server, untuk membatasi kerusakan yang bisa dilakukan oleh pengguna jahat yang menguasai mereka. Namun, kegunaan teknik ini berkurang jika lebih dari satu daemon dijalankan seperti ini, karena dengan mendapatkan kendali atas satu daemon akan memberikan kendali atas semuanya. Alasannya adalah bahwa tidak ada proses yang dimiliki memiliki kemampuan untuk mengirim sinyal satu sama lain dan bahkan men-debug satu sama lain, memungkinkan mereka untuk membaca atau bahkan memodifikasi memori masing-masing.

Informasi diambil dari http://en.wikipedia.org/wiki/Nobody_(username) .

Tidak ada pengguna yang dikhususkan untuk NFS saja.

Jawaban di atas agak salah, karena mereka menganggap itu nobodyadalah id pengguna gaya anonim / tamu "generik".

Dalam model kontrol akses UNIX / Linux, gaya pengguna anonim / gaya id tamu tidak ada dan ini adalah saran buruk:

• " umum menjalankan daemon sebagai nobody, terutama server, untuk membatasi kerusakan yang dapat dilakukan oleh pengguna jahat yang mendapatkan kendali atas mereka. " karena hal-hal berikut: " Namun, kegunaan teknik ini berkurang jika lebih dari satu daemon dijalankan seperti ini, karena dengan mendapatkan kendali satu daemon akan memberikan kendali atas mereka semua ".
• " Contoh dunia nyata dari hal ini adalah memcached(cache / database / memori dalam nilai kunci), berada di komputer saya dan server saya berjalan di bawah nobodyakun. Mengapa? Karena itu tidak memerlukan izin apa pun dan untuk memberikannya akun yang memang memiliki akses tulis ke file hanya akan menjadi risiko yang tidak perlu. "

Nama nobodypengguna dengan id pengguna 65534 dibuat dan dicadangkan untuk tujuan tertentu dan harus digunakan hanya untuk tujuan itu: sebagai pengganti bagi pengguna "id" yang belum dipetakan dan id pengguna dalam ekspor pohon NFS.

Yaitu, kecuali jika pemetaan pengguna / id diatur untuk ekspor NFS tree, semua file dalam ekspor tersebut akan tampaknya dimiliki oleh nobody. Tujuannya adalah untuk mencegah semua pengguna pada sistem impor mengakses file-file tersebut (kecuali jika mereka memiliki izin "lainnya"), karena tidak satu pun dari mereka (kecuali root) yang dapat / menjadi nobody.

Oleh karena itu adalah ide yang sangat buruk untuk menggunakan nobodyuntuk setiap tujuan lain, karena tujuannya adalah untuk menjadi pengguna nama / user id untuk file yang tidak boleh diakses oleh siapa pun.

Entri Wiki juga sangat salah.

Praktik UNIX / Linux adalah membuat akun baru untuk setiap "aplikasi" atau area aplikasi yang membutuhkan domain kontrol akses terpisah, dan untuk tidak pernah menggunakan kembali di nobodyluar NFS .

The nobodypengguna dibuat secara default pada instalasi baru (diperiksa pada Ubuntu Desktop 13.04).

Dalam banyak varian * nix, nobodyadalah nama konvensional akun pengguna yang tidak memiliki file, tidak dalam grup istimewa, dan tidak memiliki kemampuan kecuali yang dimiliki setiap pengguna lain ( nobodypengguna dan grup tidak memiliki entri dalam /etc/sudoersfile) .

Adalah umum untuk menjalankan daemon sebagai nobody, terutama server, untuk membatasi kerusakan yang dapat dilakukan oleh pengguna jahat yang menguasai mereka. Namun, kegunaan teknik ini berkurang jika lebih dari satu daemon dijalankan seperti ini, karena dengan mendapatkan kendali atas satu daemon akan memberikan kendali atas semuanya. Alasannya adalah bahwa nobodyproses yang dimiliki memiliki kemampuan untuk mengirim sinyal satu sama lain dan bahkan men-debug satu sama lain, memungkinkan mereka untuk membaca atau bahkan memodifikasi memori masing-masing.

_{Sumber : Wikipedia - Tidak ada seorang pun (nama pengguna)}

Proses yang nobodydimiliki dapat saling mengirim sinyal satu sama lain dan bahkan saling melacak di Linux, yang berarti bahwa proses yang tidak dimiliki siapa pun dapat membaca dan menulis memori dari proses yang tidak dimiliki orang lain.

Ini adalah contoh entri nobodypengguna dalam /etc/passwdfile:

alaa@aa-lu:~$ grep nobody /etc/passwd
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh

Seperti yang Anda perhatikan, nobodypengguna memiliki /bin/shshell login dan /nonexistentsebagai direktori home. Seperti namanya, /nonexistentdirektori tidak ada, secara default.

Jika Anda paranoid, Anda dapat mengatur nobodyshell default sebagai /usr/sbin/nologindan, sangkal login ssh untuk nobodypengguna.

_{Sumber : LinuxG.net - Linux dan Unix Nobody User}

tidak ada yang merupakan akun pengguna dan grup khusus. Karena itu adalah nama pengguna sebenarnya (dan nama grup) dan dapat digunakan oleh proses dan bahkan pengguna, itu bukan siapa-siapa . Sebagai contoh, beberapa konfigurasi Apache tidak memiliki siapa pun sebagai pengguna / grup yang memiliki file dan direktori situs web. Masalahnya muncul ketika beberapa proses mungkin menggunakan pengguna yang tidak ada, seperti direktori NFS dan server web.

Koreksi kecil pada ' Tidak ada pengguna yang dicadangkan hanya untuk NFS. jawaban The nobodypengguna juga digunakan untuk wadah unprivileged dengan mengikat tunggangan saat ini.

Ini diambil dari systemd-nspawn, khususnya opsi --bind mount:

Perhatikan bahwa ketika opsi ini digunakan dalam kombinasi dengan --private-pengguna, poin mount yang dihasilkan akan dimiliki oleh siapa pun pengguna. Itu karena mount dan file serta direktorinya terus dimiliki oleh pengguna dan grup host yang relevan, yang tidak ada dalam wadah, dan dengan demikian muncul di bawah wildcard UID 65534 (tidak ada). Jika bind mounts dibuat, disarankan untuk membuatnya hanya-baca, menggunakan --bind-ro =.

systemd-nspawn