Sind höhere Rechte nötig, fordern Programme für die grafische Oberfläche diese automatisch an und man muss sich mit dem Passwort des Systemverwalters legitimieren.
Im Terminal stellt man einem Befehl „sudo“ voran, wobei ebenfalls eine Passworteingabe erforderlich ist.
Auf einem allein und privat genutzten Desktoprechner sind solche Passwortabfragen oft entbehrlich. Es sei denn, man möchte sich selbst warnen, bevor eine Aktion mit administrativen Rechten ausgeführt wird. Erfahrene Nutzer sollten das jedoch nicht nötig haben.
Terminal-Tuning: und der Paketverwaltung
Unterschiedliche Techniken der Authentifizierung
Passwortanfrage von Polkit: Bei einigen Systemtools zeigt Linux Mint das Fenster „Legitimieren“. Die Anforderung wird aufgrund einer Richtlinie erzeugt.
IDG
Hinter der grafischen Passwortabfrage steckt Polkit. Dabei handelt es sich um ein Regelwerk mit Richtlinien, die Berechtigungen für die Nutzung von Systemkomponenten und Software festlegen. Eine Anwendung kann die Rechte bei Bedarf anfordern, wie die Schaltfläche „Entsperren“ in den „Einstellungen“ zeigt.
Die meisten Programme machen von dieser Möglichkeit bisher keinen Gebrauch und müssen daher mit höheren Rechten gestartet werden. Die ausführbare Datei der Paketverwaltung Synaptic beispielsweise liegt im Ordner „/usr/sbin/synaptic“.
Beim Start über „Aktivitäten“ oder das Mint-Menü starten Sie allerdings das Script „/usr/bin/synaptic-pkexec“, das die Zeile
pkexec "/usr/sbin/synaptic" "$@"enthält. Das allein genügt aber noch nicht.
Start über pkexec: Einige Tools, beispielsweise Synaptic, starten über ein Script aus dem Ordner „/usr/bin“. Die erforderlichen Rechte ermittelt pkexec aus einer Polkit-Richtlinie.
IDG
Die XML-Datei „/usr/share/polkit-1/actions/com.ubuntu.pkexec.synaptic.policy“ enthält Regeln, die die Authentifizierung steuern.
Entscheidend sind die drei Elemente „allow_active“, „allow_inactive“ und „allow_ any“, die meist alle „auth_admin“ enthalten, womit das administrative Passwort angefordert wird.
Weitere Infos zum Format der Policy-Dateien können Sie über
man polkitnachlesen. Damit Polkit überhaupt aktiv wird, sind noch einige Dateien aus dem Ordner „/var/lib/polkit-1/localauthority/10-vendor.d“ erforderlich. Die wichtigste Datei ist „com.ubuntu.desktop.pkla“, die eine Verbindung der Systemverwaltergruppe „sudo“ zu den policy-Dateien herstellt.
Für ein Desktopsystem erscheint das Polkit-Regelwerk unnötig und zu komplex. Es wurde für Server- und Netzwerkadministratoren entwickelt, die Rechte für einzelne Gruppen oder Benutzer besonders fein justieren wollen.
Unkompliziertes Linux Mint: Mint weist neue Benutzer automatische der Gruppe „nopasswdlogin“ zu, wenn Sie kein Passwort festlegen. Für die Systemanmeldung genügt dann ein Mausklick.
IDG
Authentifizierung bei sudo: Der Ablauf bei Nutzung von sudo ist weitaus übersichtlicher. Zuständig sind Dateien aus dem Ordner „/etc/pam.d“ (PAM: Pluggable Authentication Modules ). Die Datei „/etc/pam.d/ sudo“ bindet über die Angaben hinter „@ include“ weitere Module ein.
Am Wichtigsten ist „common-auth“, das die Bibliothek „pam_unix.so“ lädt und die Authentifizierung über die Passwortdatenbanken „/etc/ passwd“ und „/etc/shadow“ durchführt.
Anmeldung ohne Passworteingabe
Bei Ubuntu ist eine Systemanmeldung ohne Passwort nicht vorgesehen, sie lässt sich aber erzwingen. Es genügt dann ein Klick auf den Benutzernamen im Anmeldebildschirm.
sudo und pkexec lassen sich ebenfalls ohne Passwort verwenden. Es gibt aber einen Nachteil: Ohne Passworteingabe ist bei Ubuntu keine Sitzungsauswahl mehr möglich, über die man zwischen unterschiedlichen Desktopoberflächen umschalten kann, wenn mehrere installiert sind.
Vorsicht: Bevor Sie die PAM- oder Polkit-Konfiguration ändern, erstellen Sie ein Backup der relevanten Ordner. Bei Fehlern besteht die Gefahr, dass Sie sich nicht mehr anmelden können.
Ubuntu 22.04/24.04: Installieren Sie im Terminal ein zusätzliches Konfigurationstool für Benutzer und Gruppen:
sudo apt install gnome-system-toolsSuchen Sie über „Aktivitäten“ nach „Benutzer“ und klicken Sie auf „Benutzer und Gruppen“.
Schritt 1: Zur Sicherheit erstellen Sie über „Hinzufügen“ einen neuen Benutzer, für den Sie ein Passwort vergeben und den Kontentyp auf „Administrator“ festlegen. Sollte aufgrund eines Fehlers die Anmeldung nicht funktionieren, können Sie dieses Konto verwenden.
Schritt 2: Klicken Sie auf „Gruppen verwalten“. Erstellen Sie über „Hinzufügen“ die neue Gruppe „nopasswdlogin“. Klicken Sie auf „OK“ und „Schließen“, um die Änderungen zu speichern.
Schritt 3: Wählen Sie den gewünschten Benutzer oder Sie erstellen einen neuen. Klicken Sie hinter „Passwort“ auf „Ändern“. Vergeben Sie ein temporäres Passwort und setzen Sie ein Häkchen vor „Nicht bei der Anmeldung nach einem Kennwort fragen“. Den Kontentyp legen Sie auf „Administrator“ fest.
Schritt 4: Damit die Einstellung funktioniert, ist eine weitere Änderung nötig. Über ein Terminal öffnen Sie die Konfigurationsdatei mit einem beliebigen Editor (im Beispiel Nano):
sudo nano /etc/pam.d/gdm-passwordFügen Sie unter „auth requisite pam_nologin.so“ die Zeile
auth sufficient pam_succeed_if.so user ingroup nopasswdloginein. Speichern Sie die Datei und beenden Sie den Editor.
Schritt 5: Löschen Sie nun das Passwort des Benutzers:
sudo passwd -d [Benutzername]Melden Sie sich ab und klicken Sie im Anmeldebildschirm auf den für das passwortlose Log-in konfigurierten Benutzernamen. Ein Passwort ist nun nicht mehr erforderlich.
Linux Mint: Rufen Sie die Benutzerverwaltung über das Menü „Systemverwaltung –› Benutzer und Gruppen“ auf. Die Gruppe „nopasswdlogin“ ist bereits vorhanden. Klicken Sie auf „Hinzufügen“ und erstellen Sie einen neuen Benutzer mit dem Kontotyp „Systemverwalter“. Ein Passwort wird nicht vergeben und der Benutzer gehört automatisch zur Gruppe „nopasswdlogin“.
Melden Sie sich ab und klicken Sie im Anmeldebildschirm auf den neu erstellten Benutzer und dann auf „Anmelden“. Ein Passwort müssen Sie nicht eingeben.
Auch sudo und pkexec fragen nicht mehr nach einem Passwort.
Kurze PIN statt Passwort verwenden
Anmelden mit PIN: Wie die Benutzeranmeldung erfolgt, legt hier die Datei „inc_pin“ fest. Über „pam_userdb.so“ wird die PIN abgefragt. Alternativ kann man das Passwort verwenden.
IDG
Das bei Ubuntu standardmäßig installierte Paket „libpam-modules“ enthält bereits einige Zusatzmodule, die Sie nutzen können.
Eins davon ist „pam_userdb.so“. Es verwendet eine Datenbank im Berkeley-Format, in der Benutzernamen und Passwörter gespeichert sind. Das Modul lässt sich neben „pam_unix.so“ einrichten, sodass Sie sich weiterhin mit dem Linux-Standardpasswort, aber alternativ auch mit einer kurzen PIN anmelden können.
Schritt 1: Installieren Sie im Terminal zuerst die Tools für die Verwaltung der Datenbank:
sudo apt install db-util whoisWhois enthält ein Tool, mit dem sich verschlüsselte Passwörter erstellen lassen.
Schritt 2: Erstellen Sie die Textdatei „users_ and_passwords.txt“ in Ihrem Home-Verzeichnis. Diese enthält pro Zeile Benutzernamen und Passwort getrennt durch einen Doppelpunkt:
sepp:1234
te:4567Tragen Sie in dieser Form alle gewünschten Benutzernamen und Passwörter ein.
Schritt 3: Laden Sie . Unter „Releases“ finden Sie ein DEB-Paket für Ubuntu und Linux Mint. Trennen Sie den USB-Stick vom PC, wenn er bereits verbunden ist.
Schritt 1: Wechseln Sie im Terminal in das Downloadverzeichnis und installieren das Paket mit
sudo apt install ./libpam-usb_0.8.5_amd64.debDen Dateinamen passen Sie bei Bedarf mit der aktuellen Versionsnummer an.
Schritt 2: Verbinden Sie jetzt den USB-Stick mit dem Computer. Er kann mit jedem beliebigen, von Linux unterstützten Dateisystem formatiert sein. Mit der Befehlszeile
sudo pamusb-conf --add-device [MeinStick]richten Sie den Stick ein. Ersetzen Sie den Platzhalter „[MeinStick]“ durch eine beliebige Bezeichnung, wobei nur die Buchstaben A bis Z erlaubt sind. Bestätigen Sie mit der Eingabetaste, dass die Konfiguration in der Datei „/etc/security/pam_usb.conf“ gespeichert werden soll.
Schritt 3: Mit dem Befehl
sudo pamusb-conf --add-user [Benutzer]fügen Sie einen Benutzer hinzu. Ersetzen Sie den Platzhalter „[Benutzer]“ durch den Namen des Benutzers, der den USB-Stick zur Anmeldung nutzen soll. Bestätigen Sie mit der Eingabetaste.
Schritt 4: Mit dem Befehl
sudo pamusb-check [Benutzer]prüfen Sie, ob die Anmeldung funktioniert.
Bei der Installation hat Pamusb die Zeile
auth sufficient pam_usb.soin die Datei „/etc/pam.d/common-auth“ eingetragen. Alle Module, die diese Datei nutzen, verwenden den USB-Stick zur Authentifizierung.
Ist er mit dem PC verbunden, muss man weder ein Passwort für die Anmeldung noch für sudo oder Polkit eingeben.
Ohne USB-Stick funktioniert weiter das Passwort. Soll der USB-Stick als zweiter Faktor dienen, ersetzen Sie „sufficient“ durch „required“. Dann sind Passwort plus USB-Stick für die Anmeldung erforderlich.
Wenn Sie den USB-Stick in Kombination mit der zuvor eingerichteten PIN verwenden wollen, wirkt der Eintrag in „common-auth“ nicht, weil Sie den Eintrag auskommentiert und durch „inc_pin“ ersetzt haben. Damit PIN und USB-Stick zusammen funktionieren, verwenden Sie die Datei „inc_usb“ (siehe Abbildung oben).
Diese Konfiguration fragt zuerst die PIN ab und danach den USB-Stick. Ist der USBStick nicht verbunden, muss die Anmeldung über das Linux-Passwort erfolgen. Binden Sie die Datei in die gewünschten Module statt „inc_pin“ ein.
Besonderheiten beim Umgang mit sudo
Sudo ermöglicht den Wechsel zu einem anderen Benutzerkonto.
In der Regel verwendet man das Tool, um die Rechte des Systemverwalters zu erhalten, etwa beim typischen Einsatz
sudo apt upgrade
Wer für mehrere Befehle höhere Rechte benötigt, startet im Terminal
sudo -i
Das verschafft so lange administrative Rechte, bis Sie „exit“ eingeben. Seltener benötigt man diesen Aufruf:
sudo -u [Benutzername][Programm]
Damit wechselt man in das Konto „[Benutzername]“ und führt „[Programm]“ unter dessen Kennung aus. Der Befehl
sudo -E [Programm]
kann nützlich sein, wenn man zwar erhöhte Rechte benötigt, aber die Umgebungsvariablen des aktuellen Benutzers erhalten bleiben sollen. „sudo -H“ arbeitet ähnlich, berücksichtigt aber nur die Variable „$HOME“.
SOCIAL SHARE CARD GENERATOR