Sudo 1.9.9 et Opendoas 6.8.2

Posté par  . Édité par Benoît Sibaud. Modéré par Benoît Sibaud. Licence CC By‑SA.
Étiquettes :
36
9
fév.
2022
Administration système

Le 28 janvier 2022 Sudo et OpenDoas proposaient simultanément leurs nouvelles versions. sudo c'est la commande présente dans toutes nos distributions qui permet d'exécuter un programme au nom d'un autre utilisateur — elle est couramment utilisée pour lancer une commande d'administration sans être root. doas c'est son pendant chez OpenBSD et OpenDoas en est le portage sur Linux. L'intérêt ? Une version plus simple et allégée (sur une Debian stable par exemple : doas version am64 paquet de 20,6 kB pour 68,0 kB déployés, avec deux dépendances libc6 et libpam0g, sudo version amd64 paquet de 1033,9 kB pour 4589,0 kB installés, avec 7 dépendances libaudit1, libc6, libpam-modules, libpam0g, libselinux1, libselinux1 et zlib1g).

Les nouveautés sont mineures, à moins de s'en servir dans des scripts (je vous renvoie aux changelogs). Mais c'est l'occasion de parler du petit frère allégé :

Doas est l’œuvre de Ted Unangst qui fait un récit savoureux de ses motivations et changements (la bonne vieille histoire du développeur fainéant qui se retrouve contraint de finir un logiciel qui intéresse la communauté). Sa configuration est simple et différente de Sudo : plutôt que donner des droits à l'utilisateur, on indique la commande puis les utilisateurs autorisés. Ça devrait contraindre l'administrateur à être plus attentif.

Aller plus loin

  • # Vous connaissez le logo de sudo?

    Posté par  (site web personnel) . Évalué à 10.

    Accrochez-vous:
    https://fr.m.wikipedia.org/wiki/Sudo

    Un LUG en Lorraine : https://enunclic-cappel.fr

  • # Est-ce que Opendoas a ce type de fonctionnalité ?

    Posté par  . Évalué à 4.

    Parce que c'est la principale raison pour laquelle je reste sur sudo à ce jour.

    • [^] # Re: Est-ce que Opendoas a ce type de fonctionnalité ?

      Posté par  . Évalué à 5.

      Ah là là, on se fatigue à mettre des liens vers des histoires amusantes pour dérider ton avatar et tu ne les lis pas ;-) Bref, comme il le raconte, Ted Unangst a supprimé les insultes pour alléger doas:

      I always thought the most important feature of sudo was that it insulted the user after entering a bad password. Apparently the world is filled with poor typists; the first diff to doas was to add a config option noinsults. Unfortunately, this was a poor compromise that complicated the grammar and required further documentation, so the feature was dropped entirely. There was also another proposal to change the error message from “Permission denied” to “Sorry” to match su, but not implemented. doas will not apologize for your failures.

      Deleting a dozen lines of insults made space for one new feature. A simple -s option is almost compatible with sudo if muscle memory proves too difficult to overcome.

  • # Liste d'alternatives à Sudo

    Posté par  . Évalué à 7.

    Zut, j'ai oublié de signaler que le site web de Sudo propose une liste d'alternatives intéressantes (libres et non-libres).

  • # Syntaxe du fichier de configuration

    Posté par  . Évalué à 3.

    plutôt que donner des droits à l'utilisateur, on indique la commande puis les utilisateurs autorisés. Ça devrait contraindre l'administrateur à être plus attentif.

    Mmmm, c'était le plan, mais la syntaxe n'a pas suivi semble-t-il. D'après le man de doas.conf, on indique bien l'utilisateur en premier.

    tedu peut exécuter en root la commande /usr/sbin/procmap :

    permit nopass tedu as root cmd /usr/sbin/procmap

    • [^] # Re: Syntaxe du fichier de configuration

      Posté par  . Évalué à 2.

      Je pense que ça voulait surtout souligner que le droit concerne une commande donnée, et pas spécialement de parler de l'ordre des paramètres. Mais la formulation est en effet un peu louche.

      • [^] # Re: Syntaxe du fichier de configuration

        Posté par  . Évalué à 2.

        En lisant et relisant le texte en Anglais, je ne parviens pas à changer ma compréhension :

        We’ve been contemplating a different config syntax which reverses the ordering of user and command. Instead of a user focused approach, specify the command first, then the set of permitted users. It should be equivalent in expression, but perhaps the reversed order would encourage users to think about minimal permission grants

        puis :

        Coming full circle, […] I have built the thing I hate

        Pour résumer, j'avais une super idée, elle ne marchait pas/n'était pas pratique, et au final j'ai reproduit le schéma dont je souhaitais sortir.

        Une vraie catharsis ;).

Suivre le flux des commentaires

Note : les commentaires appartiennent à celles et ceux qui les ont postés. Nous n’en sommes pas responsables.