Я пытаюсь настроить сценарий развертывания с помощью Capistrano. На шаге cap deploy:setupсценарий подключается к моему серверу и пытается запустить команды, которые создают каталоги. Тогда я вижу ошибку:msudo: sorry, you must have a tty to run sudo
Есть предложенное решение для отключения requiretty на моем сервере. https://unix.stackexchange.com/a/49078/26271
Мне интересно, это безопасно делать?
Наличие очень ограниченного преимущества безопасности при наличии requirettyна сервере. Если используется некоторый некорневой код (например, скрипт PHP), этот requirettyпараметр означает, что код эксплойта не сможет напрямую обновлять свои привилегии при запуске sudo.
У злоумышленника может быть другой способ получить root, и, конечно, злоумышленник все еще сможет удалить ваш сайт, но если злоумышленник не получит root, это означает, что другие службы, работающие от имени разных пользователей, будут работать нормально, и злоумышленник победит. не сможет стереть системные журналы. Если ни одно из ваших sudoправил не делает ничего опасного, например, создание каталога , это не проблема.
Более того - и, черт побери, за это requiretty- не нужно никаких привилегий для создания tty, например, с ожидаемым . Таким образом, вы могли бы также отключить requiretty: само по себе это не обеспечивает преимущества безопасности. Он обеспечивает небольшое преимущество в отношении возможности аудита при выполнении пользователями (поскольку журналы дают лучшее представление о том, кто вызвал sudoи откуда они поступают), но не при выполнении из фонового задания.
expect(или,screenнапример), тоrequirettyон бесполезен с точки зрения безопасности? (Я не совсем понял, что вы имели в виду под «проклятием» в этом предложении)requirettyопция не запрещает кому-либо использовать sudo.requirettyможет предотвратить утечку пароля пользователем в виде открытого текста, если он выполняет команду sudo, для которой требуется пароль через ssh. Он заставляет пользователя вызывать ssh -t.