M1: Root-Shell – Offline¶

Man schaltet den Rechner aus und startet ihn neu in ein Wartungssystem. Dies kann ein weiteres, vom zu wartenden System unabhängiges, lokal parallel installiertes Betriebssystem oder ein per Boot vom Netzwerk oder ein per zugestecktem Datenträger (USB-Stick oder CD/DVD) temporär angeschlossenes Betriebssystem sein. Der Start von einem optischen Datenträger gewährleistet automatisch und auf einfachste Weise die z.B. bei der Jagd auf Schadsoftware unverzichtbare Forderung nach einem nicht beschreibbaren Dateisystem. Wenn man nicht bereits root ist, siehe M3.

⚓︎

M2: Root-Shell im Single-User-Mode¶

Ein Single-User-Mode wird auch Einzelbenutzermodus, Wartungsmodus, "recovery mode", Single-User-Modus genannt. Genau genommen gibt es davon mehrere zu unterscheiden, und man muss immer genau beschreiben, welchen man meint. (GRUB gerät auch in einen "recovery mode", wenn er keine Konfigurationsdatei findet; dieser wird aber in diesem Artikel nicht behandelt.)

Die (es gibt zwei!) im Rahmen dieses Artikel relevanten Zustände erreicht man mit folgender Prozedur:

1. Man schaltet den Rechner aus.

2. Man startet den Rechner neu bis zum Bedieninterface der Bootmanagers, z.B. dem GRUB-Menü, und unterbricht einen ggf. ablaufenden Countdown für den automatischen Start eines Betriebssystems.

3. Man wählt im Menü das zu startende Betriebssystem aus, startet dieses aber nicht, sondern bearbeitetet dessen Menüeintrag. Bei GRUB geht das über die Taste E .

4. Hier gibt es nun zwei Varianten:

   • Variante 1: Man fügt der Kernel-Kommandozeile die Option single hinzu; das darf man auch mit S abkürzen. Bei manchen Bootmanagern wird solch ein Menüeintrag bereits fertig vorbereitet und im Menü angeboten.

   • Variante 2: Man fügt der Kernel-Kommandozeile zwei Optionen hinzu: single init=/bin/bash

5. Man startet den modifizierten Menüeintrag.

Bei der ersten Variante wird der Kernel normal geladen und gestartet, die ìnitrd.img wird normal abgearbeitet und es wird auf das Init-System des Betriebssystems, bei Ubuntu also normalerweise systemd umgeschaltet. Dieses initialisiert nun aber das System nur teilweise und bietet schließlich dem Bediener an, per Tastendruck ⏎ in den Wartungsmodus zu wechseln. Wenn man das macht ist man bereits ohne Passwort-Eingabe (!) als root angemeldet, allmächtig und ungestört, denn andere Benutzer können sich noch gar nicht anmelden. Das normale Root-Dateisystem ist bereits als Root-Dateisystem online, aber möglicherweise noch schreibgeschützt; ebenso alle weiteren in der Datei fstab genannten Dateisysteme, sofern erreichbar. Man muss daher davon ausgehen, dass Schadsoftware (falls es solche im System gibt) ebenfalls bereits aktiv ist. WLAN funktioniert ganz sicher nicht, andere Netzwerkschnittstellen sind möglicherweise ebenfalls nicht konfiguriert. Man hat kein grafisches System, keine Desktop-Umgebung und sollte so etwas auch nicht starten, sondern die Möglichkeiten der Shell nutzen. Man erhält die Shell, welche für den Benutzer root definiert ist, standardmäßig bei Ubuntu ist das die Bash. Aus diesem Zustand heraus kann man später den normalen Startvorgang fortsetzen, indem man die Shell z.B. per Strg + D beendet.

Bei der zweiten Variante wird der normale Startvorgang bereits früher unterbrochen, noch in der initrd.img. systemd oder etwas anderes außerhalb der initrd.img wurde noch nicht gestartet. Man darf deshalb hoffen, dass Schadsoftware auch noch nicht aktiv ist, aber ganz sicher kann man nicht sein. Wenn die Schadsoftware die zusätzlich Hürde einer Einnistung in der initrd.img genommen hat, kann sie bereits aktiv sein. Das normale Root-Dateisystem ist bereits, möglicherweise noch schreibgeschützt, als Root-Dateisystem online; aber weitere in der Datei fstab genannte Dateisysteme wurden noch nicht eingebunden. Man ist root. Diesen Zustand beendet man nach getaner Arbeit am besten mit Strg + Alt + Entf , was zu einem erneuten Start führt.

⚓︎

M3: Root-Shell per Anmeldung¶

Man kann den Rechner ganz normal bis zum Anmeldedialog durchstarten lassen, das ist entweder eine grafische Anmeldung über einen Displaymanager (bei Ubuntu GDM, bei Derivaten LightDM oder SDDM) oder ein simpler Prompt login:. Man kann sich bei Ubuntu nicht direkt als Benutzer root anmelden, weil dafür kein Passwort existiert. Es ist vorgesehen, sich zuerst als normaler Benutzer mit der Administrator-Eigenschaft anzumelden und dann in die Rolle Root zu wechseln. Dies kann sowohl an einem über die Tasten Strg + ⇧ + F1 bis Strg + ⇧ + F6 erreichbaren virtuellen Terminal (einige von diesen können aber schon durch Displaymanager und Desktops belegt sein) oder in einer Desktopumgebung in einem gestartetem grafischem Terminal^[1] geschehen.

Zum Wechsel in die Rolle Root gibt es mehrere Möglichkeiten:

• Standardbefehl ist das Programm sudo:

  sudo -i 

• Der bei anderen Linux-Distributionen ebenfalls mögliche Befehl

  su --login root 

  funktioniert bei Ubuntu erst nachdem man für root ein Passwort vergeben hat; dann benötigt man aber den Umweg über die vorherige Anmeldung als normaler Benutzer nicht, sondern kann sich im virtuellen Terminal beim Prompt login: direkt als root anmelden. Das ist sowohl bequemer als auch weniger sicher. Den Befehl kann man noch abkürzen und den Benutzernamen root weglassen, da dies die Vorgabe ist. Diese Schreibweisen bewirken alle dasselbe:

  su --login
  su -l
  su - 

• Der ebenfalls mögliche Befehl

  pkexec bash -l 

  ist eine Anwendung des Verfahrens per Policy Kit, bietet hier aber keine Vorteile gegenüber sudo. Er setzt zudem einen funktionierenden D-Bus voraus.

Nach Beendigung der Arbeiten sollte man die Root-Shell unbedingt mit

exit 

oder Strg + D verlassen, um in eine normale, unprivilegierte Shell zurück zu kehren.

M4: sudo¶

Das Programm sudo ist „das Schweizer Taschenmesser für Administratoren“. Jeder Administrator muss dieses Programm gut kennen; insbesondere die Bedeutung seiner Optionen -H und -i. Wiki-Artikel und Manpage gehören daher zur Pflichtlektüre verantwortungsbewusster Administratoren.

Der Befehl sudo wird einfach dem als root auszuführenden Befehl BEFEHL vorangestellt:

sudo OPTIONEN BEFEHL 

Dieser klassische Linux-Weg für Verwaltungsaufgaben ist technisch zwar mit jedem Programm/Befehl anwendbar, jedoch sollte man sudo bei Programmen mit grafischer Oberfläche vermeiden. Es ist bei dieser Methode immer davon auszugehen, dass die Arbeitsumgebungen von root und dem normalen Benutzer nicht vollständig entkoppelt werden können; somit können unerwünschte Nebeneffekte wie z.B. verbogene Besitzverhältnisse oder Dateiberechtigungen auftreten.

Bei jeder Anwendung dieser Methode sollte man über die für den aktuellen Aufruf sinnvollen Optionen (siehe sudo) nachdenken mit dem Ziel, die Arbeitsumgebungen von root und dem normalen Benutzer soweit wie möglich zu entkoppeln:

• Beispielsweise ist die Option -H fast immer sinnvoll. Damit wird die Umgebungsvariable HOME (nicht aber PWD und nicht das Arbeitsverzeichnis selbst) bei der Ausführung auf /root gesetzt und es wird erschwert, dass eventuell Konfigurationsdateien im Homeverzeichnis des Benutzers überschrieben werden.

• Die Option -i inkludiert -H, setzt aber zusätzlich das Arbeitsverzeichnis auf den Ordner /root/. Diese Option ist fast immer gut, ausgenommen man möchte im Homeverzeichnis eines normalen Benutzers etwas reparieren.

Beispiele^[1]:

sudo nano   # öffnet den Editor nano im Terminal unter dem Benutzer root
sudo cp /var/log/foo.log /var/log/foo.old   # kopiert eine Datei im Verzeichnis /var/log
sudo apt update   # aktualisiert die Liste der Pakete in den Paketquellen 

Der Befehl sudo fordert zur Eingabe des Passwortes des Aufrufers auf, merkt sich aber eine erfolgreiche Authentifizierung für eine kurze Dauer auch für andere Programme/Aktionen.

⚓︎

M5: sudoedit¶

Zum Editieren einer sonst nicht bearbeitbaren Datei kann man im Terminal den Befehl sudoedit oder sudo mit der Option -e einsetzen. Beispiele:

sudoedit /etc/irgendwo/irgendwas.conf
EDITOR=gedit sudoedit /etc/irgendwo/irgendwas.conf
EDITOR=gedit sudo -e /etc/irgendwo/irgendwas.conf 

Man wird zur Eingabe des eigenen Passwortes aufgefordert. Es wird der per Umgebungsvariable festgelegte Editor oder standardmäßig Nano verwendet. Details siehe sudo (Abschnitt „Editieren-von-Dateien-unter-Sudo-Rechten-sudoedit“). Man darf auch einen GUI-Editor gefahrlos einsetzen, weil bei dieser Methode der Editor selbst niemals mit Root-Rechten läuft. Die Root-Rechte werden bei dieser Methode nur benutzt, um von der zu bearbeitenden Datei eine für den normalen Benutzer les- und schreibbare Arbeitskopie zu erstellen, welche nach Bearbeitung die ursprüngliche Datei unter Erhaltung deren ursprünglicher Besitzverhältnisse und Dateirechte ersetzt.

Diese Methode vermeidet sehr sicher unerwünschte Nebenwirkungen.

Eine Alternative zu sudoedit ist die Verwendung des admin://-Protokolls.

⚓︎

admin per Kommandozeile¶

Der Bezeichner admin:// wird einfach dem Namen der zu bearbeitenden Datei vorangestellt. Mit dem Befehl

gedit admin:///etc/default/grub 

würde nach Eingabe eines mit pkexec abgefragten Passworts die Datei (hier als Beispiel) /etc/default/grub im Editor gedit bearbeitbar geöffnet. Das funktioniert neben Gedit auch mit Standardeditoren einiger Ubuntu-Derivate wie z.B. Pluma oder FeatherPad, nicht jedoch bei Kubuntu mit Kate und auch nicht bei Xubuntu mit MousePad.

Das GVFS-Protokoll admin:// verhält sich an der Oberfläche somit in etwa wie eine „pkexec-Version von sudoedit“.

In ähnlicher Weise kann man auch die Dateimanager Caja, Nautilus und Nemo sowie "PCman File Manager Qt" mit diesem Protokoll benutzen, z.B. öffnet

nautilus admin:/// 

das Wurzelverzeichnis "/" in einem Fenster, welches auch die Navigation in sonst unzugängliche Order erlaubt. Man benutzt hierfür aber besser die anschließend beschriebene Arbeitsweise, die keinen vorherigen Start eines Terminals erfordert.

admin per Dateimanager¶

Die auf GTK beruhenden Dateimanager (jedenfalls Caja, Nautilus, Nemo) lassen sich in einen besonderen Modus umschalten, indem man den Ort admin:/// (bei Nautilus „Administratoren-Wurzelordner“ genannt) öffnet. Dazu schaltet man die Adressanzeige mit den Tasten Strg + L um auf die Ortseingabe und gibt diese Bezeichnung ein und schließt das mit der Eingabetaste ⏎ ab. Man erhält ggf. eine oder mehrere Abfragen für das Passwort eines Administrators. Danach kann man durch Navigation in diesem Fenster für normale Benutzer gesperrte Ordner betreten, überall als root Dateien anlegen und löschen und auch Textdateien zur Bearbeitung öffnen und erneut abspeichern.

Diese etwas komplizierte Bedienung muss man nur einmal ausführen, wenn man sich den „Administratoren-Wurzelordner“ per Strg + D als Lesezeichen ablegt und sinnvoll benennt (z.B. als „/ als root“).

Der Dateimanager Thunar lässt sich zwar ebenso bedienen, allerdings kommt es leider bei der Benutzung des ertüchtigten Fensters zu einer Fehlermeldung und Fehlfunktion.

Der Dateimanager "PCman File Manager Qt" von Lubuntu (LXQt) lässt sich ebenso bedienen, jedoch nicht Dolphin und andere Dateimanager von Kubuntu und auf KDE beruhenden Derivaten.

⚓︎

Nautilus¶

Der GNOME-Desktiop verwendet Nautilus, dieser verlangt beim Betreten eines gesperrten Ordners per Policy Kit das Passwort eines Administrators. Nach erfolgreicher Authentifizierung kann man Dateien mit Root-Rechten anlegen und löschen sowie über das GVFS-Protokoll admin:// ändern, ohne dass dafür Nautilus selbst oder aus Nautilus gestartete Programme als root ausgeführt werden. Die Anwendung dieser Methode ist daher genau so sicher oder unsicher wie die direkte Verwendung des Protokolls admin://. Optional kann man diese Bearbeitungsaufgaben als Menüpunkte in die Bedienoberfläche integrieren; siehe Nautilus (Abschnitt „Mit-Root-Rechten-arbeiten“) und nautilus-admin.

Caja¶

Der bei Ubuntu Mate verwendete Dateimanager Caja hat standardmäßig im Kontextmenü Menüpunkte für das Arbeiten als root. Bei der Verwendung dieser Menüpunkte wird immer ein Programm unter dem Benutzer root gestartet, entweder Caja selbst, oder ein Editor wie Pluma oder ein anderes Programm. Dies ist immer leichtsinnig und kann manchmal schädlich sein und sollte daher besser vermieden werden. Die Verwendung des Protokolls admin:// ist dem bequemen Weg über das Kontextmenü von Caja vorzuziehen, weil sicherer. Es wird empfohlen, die betreffenden Einträge im Kontextmenü nicht zu verwenden, sondern sie auszublenden, um Gefährdungen durch deren irrtümlichen Gebrauch vorzubeugen.

Nemo¶

Der z.B. bei Ubuntu Budgie eingesetzte Dateimanager Nemo ermöglicht ebenfalls das Arbeiten als root über das Kontextmenü. Man muss bei der Aktivierung dieser Option einen Warnhinweis bestätigen und erhält dann ohne Eingabe eines Passwortes ein neues Fenster mit rotem Warnbalken. Dieses neue Fenster gehört zu einer weiteren Instanz von Nemo und wird unter dem Benutzer root ausgeführt; jede Datei, welche aus diesem Fenster heraus z.B. mit einem Editor geöffnet wird, startet ein weiteres Programm unter dem Benutzer root. Dies ist immer leichtsinnig und kann manchmal schädlich sein und sollte daher besser vermieden werden. Die Verwendung des Protokolls admin:// ist dem bequemen Weg über Nemo vorzuziehen, weil sicherer. Es wird empfohlen, die betreffenden Einträge im Kontextmenü nicht zu verwenden, sondern sie auszublenden, um Gefährdungen durch deren irrtümlichen Gebrauch vorzubeugen.

Thunar¶

Der Dateimanager Thunar bietet keine Menüpunkte für Arbeiten als Root an. Er kann mit Root-Rechten gestartet werden und läuft dann natürlich unter dem Benutzer root. Dies ist immer leichtsinnig und kann manchmal schädlich sein und sollte daher besser vermieden werden. Die Verwendung des Protokolls admin:// ist bei diesem Programm vorgesehen; leider kommt es dabei aber zu Fehlermeldungen und Fehlfunktionen. Unter Xubuntu verwendet man daher besser keine GUI-Unterstützung beim Arbeiten als Root.

Dolphin¶

Kubuntu ab 18.04 verhält sich restriktiver als Ubuntu und andere Derivate. So ist das Ausführen des Dateimanagers Dolphin oder der Editoren Kate und KWrite weder mit sudo noch mit pkexec möglich. Man erhält eine Fehlermeldung wie "Executing Kate as root is not possible.".

Allerdings kann man sichtbare Dateien, zu deren Bearbeitung man als normaler Benutzer aber nicht berechtigt ist, regulär in Kate öffnen und wird dann beim Speichern nach dem Passwort eines Administrators gefragt.

PCmanFM-Qt¶

Lubuntu mit LXqt verwendet als Dateimanager PCmanFM-Qt, dieser bietet keine Menüpunkte für Arbeiten als Root an, beherrscht allerdings das Protokoll admin:// durch Eingabe für den Ort.

Unter Lubuntu gibt es mit lxqt-sudo (oder abgekürzt lxsudo) ein spezielles Verfahren zur Ausführung von Programmen mit administrativen Rechten. Dies funktioniert technisch auch für grafische Anwendungen. Die Bedienung ähnelt Policy Kit, jedoch ist unklar, wie es tatsächlich funktioniert und wird daher aus sicherheitstechnischer Sicht hier nicht bewertet. Wegen fehlender Erkenntnisse ist seine Benutzung aber immer leichtsinnig und kann möglicherweise schädlich sein und sollte daher besser vermieden werden. Die Verwendung von sudoedit ist vorzuziehen.