Wann benutzt man pkexec vs. gksu / gksudo?

Es gibt zwei allgemeine Möglichkeiten, Anwendungen grafisch als Root (oder allgemeiner als ein anderer Benutzer) auszuführen. Programme wie gksu, gksudound kdesudosind grafische Frontends für sudo. Im Gegensatz dazu gibt pkexeces ein grafisches Frontend für PolicyKit .

Wenn manuell Programme als Wurzel (oder als ein anderes, nicht-root) ausgeführt wird , was die Vorteile / Nachteile (falls vorhanden) der Verwendung sind pkexec, im Vergleich zu der traditionellen Methode der Verwendung eines sudoFrontend?

PolicyKit ist konfigurierbarer, pkexecnutzt diese Konfigurierbarkeit jedoch nicht. Außerdem pkexeczeigen dem Benutzer den vollständigen Pfad des Programms , das gestartet werden wird, dass der Benutzer ein bisschen mehr sicher , was passieren wird. Die sogenannten "Policies" von PolicyKit können verwendet werden, um weitere Fortschrittseinstellungen vorzunehmen. Zum Beispiel, ob das Passwort gespeichert werden soll.

Ich habe etwas aus dem pkexecHandbuch:

Die Umgebung, in der PROGRAM sie ausführt, wird auf eine minimale bekannte und sichere Umgebung eingestellt, um das Einfügen von Code über LD_LIBRARY_PATH oder ähnliche Mechanismen zu vermeiden. Zusätzlich wird die Umgebungsvariable PKEXEC_UID auf die Benutzer-ID des Prozesses gesetzt, der pkexec aufruft. Infolgedessen können Sie mit pkexec beispielsweise X11-Anwendungen nicht als anderer Benutzer ausführen, da die Umgebungsvariable $ DISPLAY nicht festgelegt ist.

Weitere Informationen zu Richtlinien oder Aktionsdefinitionen finden Sie im pkexecHandbuch:

   To specify what kind of authorization is needed to execute the program
   /usr/bin/pk-example-frobnicate as another user, simply write an action
   definition file like this

       <?xml version="1.0" encoding="UTF-8"?>
       <!DOCTYPE policyconfig PUBLIC
        "-//freedesktop//DTD PolicyKit Policy Configuration 1.0//EN"
        "http://www.freedesktop.org/standards/PolicyKit/1/policyconfig.dtd">
       <policyconfig>

         <vendor>Examples for the PolicyKit Project</vendor>
         <vendor_url>http://hal.freedesktop.org/docs/PolicyKit/</vendor_url>

         <action id="org.freedesktop.policykit.example.pkexec.run-frobnicate">
           <description>Run the PolicyKit example program Frobnicate</description>
           <description xml:lang="da">Kør PolicyKit eksemplet Frobnicate</description>
           <message>Authentication is required to run the PolicyKit example program Frobnicate</message>
           <message xml:lang="da">Autorisering er påkrævet for at afvikle PolicyKit eksemplet Frobnicate</message>
           <icon_name>audio-x-generic</icon_name>
           <defaults>
             <allow_any>no</allow_any>
             <allow_inactive>no</allow_inactive>
             <allow_active>auth_self_keep</allow_active>
           </defaults>
           <annotate key="org.freedesktop.policykit.exec.path">/usr/bin/pk-example-frobnicate</annotate>
         </action>

       </policyconfig>

   and drop it in the /usr/share/polkit-1/actions directory under a
   suitable name (e.g. matching the namespace of the action). Note that in
   addition to specifying the program, the authentication message,
   description, icon and defaults can be specified. For example, for the
   action defined above, the following authentication dialog will be
   shown:

       [IMAGE][2]

           +----------------------------------------------------------+
           |                     Authenticate                     [X] |
           +----------------------------------------------------------+
           |                                                          |
           |  [Icon]  Authentication is required to run the PolicyKit |
           |          example program Frobnicate                      |
           |                                                          |
           |          An application is attempting to perform an      |
           |          action that requires privileges. Authentication |
           |          is required to perform this action.             |
           |                                                          |
           |          Password: [__________________________________]  |
           |                                                          |
           | [V] Details:                                             |
           |  Command: /usr/bin/pk-example-frobnicate                 |
           |  Run As:  Super User (root)                              |
           |  Action:  org.fd.pk.example.pkexec.run-frobnicate        |
           |  Vendor:  Examples for the PolicyKit Project             |
           |                                                          |
           |                                  [Cancel] [Authenticate] |
           +----------------------------------------------------------+

   If the user is using the da_DK locale, the dialog looks like this:

       [IMAGE][3]

           +----------------------------------------------------------+
           |                     Autorisering                     [X] |
           +----------------------------------------------------------+
           |                                                          |
           |  [Icon]  Autorisering er påkrævet for at afvikle         |
           |          PolicyKit eksemplet Frobnicate                  |
           |                                                          |
           |          Et program forsøger at udføre en handling der   |
           |          kræver privilegier. Autorisering er påkrævet.   |
           |                                                          |
           |          Kodeord: [___________________________________]  |
           |                                                          |
           | [V] Detaljer:                                            |
           |  Bruger:   Super User (root)                             |
           |  Program:  /usr/bin/pk-example-frobnicate                |
           |  Handling: org.fd.pk.example.pkexec.run-frobnicate       |
           |  Vendor:   Examples for the PolicyKit Project            |
           |                                                          |
           |                                [Annullér] [Autorisering] |
           +----------------------------------------------------------+

   Note that pkexec does no validation of the ARGUMENTS passed to PROGRAM.
   In the normal case (where administrator authentication is required
   every time pkexec is used), this is not a problem since if the user is
   an administrator he might as well just run pkexec bash to get root.

   However, if an action is used for which the user can retain
   authorization (or if the user is implicitly authorized), such as with
   pk-example-frobnicate above, this could be a security hole. Therefore,
   as a rule of thumb, programs for which the default required
   authorization is changed, should never implicitly trust user input
   (e.g. like any other well-written suid program).

Mit sudo können Sie pro Benutzer und pro Programmrichtlinien festlegen, ob die Anruferumgebung im Kontext von sudo beibehalten oder zurückgesetzt werden soll. Die env_reset-Richtlinie ist standardmäßig festgelegt.

Sie können grafische Anwendungen nicht über pkexec ausführen, ohne dies explizit zu konfigurieren. Da dies lediglich ein Ergebnis des Zurücksetzens der Umgebung ist, gilt dies offensichtlich auch für sudo. Beachten Sie jedoch, dass weder pkexec noch sudo verhindern können, dass eine böswillige Anwendung als Root ausgeführt wird, um alle erforderlichen Informationen von den Display-Managern oder der X11-Cookie-Datei des Benutzers abzurufen. Letzteres, beides oder ähnliches, kann in Abhängigkeit von den Umständen auch von Nicht-Root-Anwendungen durchgeführt werden.

Für Sudo ist keine explizite Auflistung der Benutzer erforderlich. Das Auflisten einer beliebigen Benutzergruppe oder das Festlegen einer Berechtigung für alle Benutzer im Allgemeinen ist möglich. Die Anweisung target_pw ermöglicht es diesen Benutzern, sich mit den Anmeldeinformationen des Benutzers zu authentifizieren, in dessen Kontext sie eine Anwendung ausführen möchten, dh root. Abgesehen davon kann das ebenso traditionelle Programm su (su / gtksu / kdesu) verwendet werden, um dasselbe ohne spezielle Konfiguration zu erreichen.

Mit sudo kann der Benutzer auch eine bestimmte Zeit lang authentifiziert bleiben. Die Option heißt Timeout und kann global, pro Benutzer oder pro Anwendung konfiguriert werden. Die Authentifizierung kann pro Tag oder global pro Benutzer beibehalten werden.

Während pkexec die an PROGRAM übergebenen ARGUMENTE möglicherweise nicht validiert, verfügt sudo in der Tat über diese Funktion. Zugegeben, Sie können sich leicht damit anlegen, und das wird normalerweise nicht gemacht.

Sie können ein wenig anpassen, wie Programme über pkexec ausgeführt werden sollen: Symbol, anzuzeigender Text, sogar Lokalisierungsmaterial und so weiter. Abhängig von den Umständen kann dies in der Tat raffiniert sein. Schade, dass jemand das Rad für diese Funktion neu erfinden wollte. Dies wäre wahrscheinlich etwas, das in die grafischen gtksudo / kdesu-Wrapper eingefügt werden könnte.

Policykit ist dann nur ein zentrales Konfigurationsframework. Leider kein hübscher. PKs XML-Dateien sind weitaus komplizierter als alles, was eine App nativ ohne Binärdateien bereitstellen könnte. Und niemand wäre so verrückt, Binary zu benutzen ... oh gconf ... egal.

Ein paar Dinge, die pkexecsich von sudoden Frontends unterscheiden:

1. Sie können grafische Anwendungen nicht über ausführen, pkexecohne dies explizit zu konfigurieren.
2. Sie können ein wenig anpassen, wie Programme ausgeführt werden sollen pkexec: Symbol, anzuzeigender Text, ob das Kennwort gespeichert werden soll oder nicht, ob es grafisch ausgeführt werden soll und noch einiges mehr.
3. Jeder kann "Run as" als Superuser ausführen (vorausgesetzt, er kann sich als solcher authentifizieren), wobei sudoSie in der sudoersDatei als admin aufgeführt sein müssen .
4. gksudoSperrt die Tastatur, die Maus und den Fokus, wenn Sie nach einem Kennwort gefragt werden pkexec. In beiden Fällen sind die Tastenanschläge jedoch hörbar .
5. Mit pkexecIhnen arbeiten Sie in einer etwas hygienischeren Umgebung.

Versuchen Sie zum Beispiel:

cd /etc/init.d
sudo cat README
# and now the same with pkexec
pkexec cat README
# nice, huh?