¿Cuál es el propósito del usuario 'nadie'?

Después de leer Listar todos los usuarios humanos , noté que hay una cuenta de usuario llamada 'nadie' en mi sistema Ubuntu.

También noté que puedo iniciar sesión en esta cuenta desde la terminal usando el siguiente comando y mi contraseña:

sudo su nobody

No me molesta en absoluto, pero quiero saber cuál es el propósito de este usuario. ¿Se crea de forma predeterminada en una nueva instalación de Ubuntu o se crea instalando un paquete en particular?

Está ahí para ejecutar cosas que no necesitan ningún permiso especial. Por lo general, está reservado para servicios vulnerables (httpd, etc.) de modo que si son pirateados, tendrán un daño mínimo en el resto del sistema.

Compare esto con ejecutar algo como un usuario real, si ese servicio se viera comprometido (los servidores web son explotados ocasionalmente para ejecutar código arbitrario), se ejecutaría como ese usuario y tendría acceso a todo lo que ese usuario tenía. En la mayoría de los casos, esto es tan malo como obtener root.

Puedes leer un poco más sobre el usuario de nadie en Ubuntu Wiki:

• https://wiki.ubuntu.com/nobody

Para responder a sus seguimientos:

¿Por qué no puedo acceder a esta cuenta su nobody?

sudo grep nobody /etc/shadowle mostrará que nadie no tiene una contraseña y que no puede hacerlo susin una contraseña de cuenta. La forma más limpia es en su sudo su nobodylugar. Eso te dejará en un shcaparazón bastante desolado .

¿Puede dar un ejemplo particular cuando se indica que use esta cuenta?

Cuando no se requieren permisos para las operaciones de un programa. Esto es más notable cuando nunca va a haber actividad en el disco.

Un ejemplo real de esto es memcached(un valor clave en memoria caché / base de datos / cosa), sentado en mi computadora y mi servidor corriendo bajo la cuenta de nadie. ¿Por qué? Porque simplemente no necesita ningún permiso y darle una cuenta que sí tenía acceso de escritura a los archivos sería un riesgo innecesario.

En muchas variantes de Unix, "nadie" es el nombre convencional de una cuenta de usuario que no posee archivos, no está en grupos privilegiados y no tiene capacidades, excepto las que tiene cualquier otro usuario.

Es común ejecutar demonios como nadie, especialmente servidores, para limitar el daño que podría hacer un usuario malintencionado que los controlara. Sin embargo, la utilidad de esta técnica se reduce si se ejecuta más de un demonio de esta manera, ya que obtener el control de un demonio proporcionaría el control de todos ellos. La razón es que los procesos que no son propiedad de nadie tienen la capacidad de enviarse señales entre sí e incluso depurarse, lo que les permite leer o incluso modificar la memoria del otro.

Información tomada de http://en.wikipedia.org/wiki/Nobody_(username) .

El usuario nobody está reservado solo para NFS.

Las respuestas anteriores son bastante incorrectas, porque suponen que nobodyes una identificación de usuario anónima / invitada "genérica".

En el modelo de control de acceso UNIX / Linux, no existen identificadores de usuario anónimos / invitados y estas son malas sugerencias:

• " común para ejecutar demonios como nobody, especialmente servidores, para limitar el daño que podría hacer un usuario malintencionado que obtuvo el control de ellos ", debido a lo siguiente: " Sin embargo, la utilidad de esta técnica se reduce si más de un demonio se ejecuta de esta manera, porque entonces obtener el control de un demonio proporcionaría el control de todos ellos ".
• " Un ejemplo real de esto es memcached(una memoria caché / base de datos / cosa en la memoria de valor clave), sentado en mi computadora y mi servidor ejecutándose bajo la nobodycuenta. ¿Por qué? Porque simplemente no necesita ningún permiso y para darle una cuenta que tuviera acceso de escritura a los archivos sería un riesgo innecesario " .

El nobodynombre de usuario con la identificación de usuario 65534 se creó y se reservó para un propósito específico y debe usarse solo para ese propósito: como marcador de posición para usuarios "no asignados" e identificadores de usuario en exportaciones de árbol NFS.

Es decir, a menos que la asignación de usuario / id esté configurada para las exportaciones de árbol NFS, todos los archivos en la exportación aparecerán como propiedad nobody. El propósito de esto es evitar que todos los usuarios en el sistema de importación accedan a esos archivos (a menos que tengan "otros" permisos), ya que ninguno de ellos (excepto root) puede / convertirse nobody.

Por lo tanto, es una muy mala idea usarlo nobodypara cualquier otro propósito, porque su propósito es ser un nombre de usuario / ID de usuario para archivos que no deben ser accesibles para nadie.

La entrada de Wiki también está muy mal.

La práctica de UNIX / Linux es crear una nueva cuenta para cada "aplicación" o área de aplicación que necesite un dominio de control de acceso separado, y nunca reutilizar nobodyfuera de NFS .

El nobodyusuario se crea de forma predeterminada en una instalación nueva (marcada en Ubuntu Desktop 13.04).

En muchas variantes * nix, nobodyes el nombre convencional de una cuenta de usuario que no posee archivos, no está en grupos privilegiados y no tiene capacidades, excepto las que tiene cualquier otro usuario (el nobodyusuario y el grupo no tienen ninguna entrada en el /etc/sudoersarchivo) .

Es común para ejecutar los demonios como nobody, especialmente los servidores, con el fin de limitar el daño que podría ser realizado por un usuario malintencionado que obtuvo el control de ellos. Sin embargo, la utilidad de esta técnica se reduce si se ejecuta más de un demonio de esta manera, ya que obtener el control de un demonio proporcionaría el control de todos ellos. La razón es que los nobodyprocesos propios tienen la capacidad de enviarse señales entre sí e incluso depurarse, lo que les permite leer o incluso modificar la memoria del otro.

_{Fuente : Wikipedia - Nadie (nombre de usuario)}

Los nobodyprocesos propios pueden enviarse señales entre sí e incluso trazarse entre sí en Linux, lo que significa que un proceso que no es propiedad de nadie puede leer y escribir la memoria de otro proceso que no es propiedad de nadie.

Esta es una entrada de muestra del nobodyusuario en el /etc/passwdarchivo:

alaa@aa-lu:~$ grep nobody /etc/passwd
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh

Como puede observar, el nobodyusuario tiene /bin/shcomo shell de inicio de sesión y /nonexistentcomo directorio de inicio. Como su nombre indica, el /nonexistentdirectorio no existe, por defecto.

Si es paranoico, puede configurar nobodyel shell predeterminado como /usr/sbin/nologiny así, denegar el inicio de sesión ssh para el nobodyusuario.

_{Fuente : LinuxG.net - El usuario de Linux y Unix Nobody}

nadie es una cuenta especial de usuario y grupo. Debido a que es un nombre de usuario real (y nombre de grupo) y puede ser utilizado por procesos e incluso usuarios, literalmente no es nadie . Por ejemplo, algunas configuraciones de Apache no tienen a nadie como el usuario / grupo que posee los archivos y directorios del sitio web. El problema surge cuando varios procesos pueden usar el usuario de nadie, como los directorios NFS y el servidor web.

Corrección menor al ' El usuario nadie está reservado solo para NFS. ' responder. El nobodyusuario también se utiliza para contenedores no privilegiados con montajes de enlace en este momento.

Esto está tomado de systemd-nspawn, específicamente la opción --bind mount:

Tenga en cuenta que cuando esta opción se usa en combinación con --private-users, los puntos de montaje resultantes serán propiedad del usuario nobody. Esto se debe a que el montaje y sus archivos y directorios siguen siendo propiedad de los usuarios y grupos de host relevantes, que no existen en el contenedor, y por lo tanto aparecen bajo el comodín UID 65534 (nadie). Si se crean dichos montajes de enlace, se recomienda hacerlos de solo lectura, usando --bind-ro =.

systemd-nspawn