Защита от sudo внутри shell-скриптов, make-файлов и т. Д.

Question

Обычно, когда я запускаю sudo , он запрашивает у меня пароль в первый раз, и он запоминает, что я проходил аутентификацию в течение следующих нескольких минут, пока время аутентификации не истечет.

Это оставляет дыру в безопасности системы. В сочетании с небольшой социальной инженерией, вредоносным shell-скриптом /Makefile / и т.д. может запустить sudo внутри него и получить доступ к root.

Не отказываясь от удобства функции "запомнить аутентификацию", я все же хотел бы иметь более безопасную настройку. Есть ли способ настроить sudo чтобы он запоминал только аутентификацию для pid, который прошел аутентификацию, или что-то подобное? Я знаю, что вы можете настроить sudo чтобы каждый раз запрашивать аутентификацию, но я думаю о чем-то, что не лишает удобства безопасности.

Answer 1

Вы можете использовать sudo -K перед запуском чего-либо, чему вы не доверяете.

Answer 2

Самое близкое к этому можно было бы переименовать команду sudo в имя, которое злоумышленники не знают. Да, это безопасность по неясности, но если вы можете вызывать sudo, тогда запускается скрипт, который вы можете вызывать (если он знает его имя).