Описание тега nausicaa-of-the-valley-of-the-wind

Я предполагаю, что вы, войдя в узел1 как myuser и затем, используя один Су или судо , чтобы перейти к корневой. Оба этих методов позволит избавиться от большинства или всех переменных среды при переходе от одной учетной записи к другой, для безопасности.

(Например, если вы были только разрешено запускать определенные команды как пользователь root с помощью sudo, вы могли бы обойти это ограничение со злым LD_PRELOAD или переменной LD_LIBRARY_PATH переменной значение, если переменные среды все автоматически проходили.)

Когда вы используете SSH для проверки подлинности агента, есть еще одна важная переменная окружения, созданного для вашего SSH сессии на узел1: переменных ssh_auth_sock. Когда вы СШ и далее на сервер в качестве Мой_логин, наличие этой переменной говорит клиент SSH host1, на что агент проверки подлинности подключения. Эта переменная указывает на UNIX-сокет, обычно стоимость в расчете расположенный в директории /tmp, которая доступна только его владельцу. Этот разъем подключен к накопитель sshd процесс, который обрабатывает подключение с рабочей станции к узел1, и в конечном итоге замазка проверки подлинности агента на рабочей станции.

Если эта переменная не передается, когда Суing или судоING от одного пользователя счета на другой, SSH-клиент не будет в состоянии использовать проверку подлинности подключения агента после перехода. В результате, он должен запрашивать пароль для расшифровки любых доступных приватные ключи на своих.

Также, при переходе на другую, его права на исполнение и каталог, содержащихся в не остановит вас от использования его, если вы предпринять шаги, чтобы явно разрешить его, прежде чем перейти к другому пользователю. (Это не проблема при переходе на корню, потому что корень может открыть все.)