Bei KDE 4.5.1 und 4.5.2 ist defaultmäßig die Möglichkeit zum graphischen Login (kdm) für root abgestellt.

Nun könnte ich mich darüber aufregen – aber ich bin inzwischen zu alt für diese laufenden Aufregungen im Zusammenhang mit einer KDE- und Linux-Philosophie, die sich immer mehr an Windows annähert und aus meiner Sicht einen falschen Weg darstellt. Deshalb nur ein paar Anmerkungen aus dem Bauch raus:

Verfolgt man die Diskussionen in diversen Foren zu dem Login-Thema, so fällt einem auf, dass immer wieder mit dem dummen User argumentiert wird, der durch sein Handeln für sein System ein Sicherheitsrisiko darstellt und dem man deshalb systematisch Möglichkeiten wegnehmen muss. Wo hatten wir diese Argumentation kürzlich auch noch? Ach ja, beim Powermanagment unter KDE. Auch da wurden etablierte Möglichkeiten zur Einstellung des CPU Freq Governors beschnitten, weil der User zu dumm ist, die Folgen seines Tuns zu verstehen. Siehe einen entsprechenden Beitrag von mir in diesem Blog (https://linux-blog.anracom.com/2010/09/09/h/).

Ja, ja, der dumme User …. ob er wohl schlauer wird, wenn man ihn immer mehr einschränkt? Ich glaube nicht. Für wahrscheinlich halte ich es aber, dass immer mehr eingeschränkte User auch mehr Unterstützung durch Profis benötigen werden – cui bono ? Red Hat, Novell ? Wer hat eigentlich wirklich einen Vorteil davon, wenn die Hemmschwellen für User, sich auch in der Systemadministration zu versuchen und dabei etwas zu lernen, defaultmäßig immer höher gesetzt werden ?

Mich ärgert diese Default-Beschneidung von Rechten und Möglichkeiten – weil hier Chancen zum Lernen verbaut werden und das Leben einseitig nur den ausgebildeten Administratoren erleichtert wird. Das hat etwas mit Kommerz zu tun – aber nichts mit “Open”.

Wohlgemerkt, ich verstehe die wachsenden Sicherheitsbedürfnisse in einer Welt mit permanenter Anbindung an das Internet sehr gut. Ich verstehe auch, dass man in professionell genutzten Umgebungen mit hohen Sicherheitsanforderungen die Möglichkeiten des Standard-Users beschränkt – z.T. massiv zum Wohle aller. Dies gilt vor allem dann, wenn ein Administrator die (oft genug schwere) Verantwortung für die Sicherheit der Linux-Arbeitsplatz-PCs und des Netzwerkes übernehmen muss. In diesen Fällen sind Einschränkungen angesagt !

Das ging ja aber alles bisher auch schon!

Der erfahrene Admin wußte/weiss, was er dicht machen musste/muss. Auch ohne Default-Beschneidung durch die KDE-Leute und Distributoren. Dafür ist der Admin ja hoffentlich ausgebildet! Umgekehrt gilt das leider nicht:
Der “dumme” User, der Linux auf seinen Privat-PCs nutzt oder ausprobiert, weiss in der Regel nicht, was er tun muss, um die verlorengegangenen Entfaltungsmöglichkeiten bei Bedarf wiederzuerlangen. Und es ist irgendwie nicht einzusehen, dass User auf privaten PCs, für die sie alleine die Verantwortung tragen, von Haus aus in ihren Möglichkeiten beschnitten werden.

Irgendwann werden wir durch den dauernden Hang zur Begrenzung der Möglichkeiten den Linux-User schließlich so eingeschränkt haben, dass Verhältnisse wie heute bei Microsoft eintreten – der User soll gar nicht mehr wissen, was sein System eigentlich macht und worauf er Einfluss nehmen könnte … Tja, das führt dann irgendwann zu Usern die all ihre Dateien in genau ein Verzeichnis legen, weil sie nichts mehr von Filesystemen wahrnehmen (sollen).

Schöne neue Welt … Verstecken statt aufklären …. Möglichkeiten wegnehmen statt mit verständlichen Erläuterungen vor den Risiken zu warnen ….Mangel statt Entfaltungsmöglichkeiten … Angst vor dem User und zu wenig Entwickler-Kapazität für Hilfetexte …. Angst vor der Dummheit der User und zu wenig Mittel, die eigentlichen Sicherheitslücken zu stopfen ? Aber Klicki-Bunti (statt echter Funktionalität) bis zum Abwinken unter KDE ….

Open Source – quo vadis ?

Leider ist die gesamte Diskussion auch technisch zu eng und ähnlich wie bei der Diskussion um Holger Machts Patch zur Reduktion der Möglichkeiten für Power-Management-Möglichkeiten werden auch hier etliche Szenarien vergessen, in denen auch eine normaler User die Chance bekommen muss, ausnahmsweise (!) mal Einstellungen als root über die graphische Oberfläche vornehmen zu können. Ein Beispiel liefern Laptops. Nicht alle Linux-Systeme befinden sich in einer problematischen Umgebung, für die ein Administrator allein die Verantwortung tragen muss.

Hinzu kommt speziell unter KDE noch folgendes: Empfohlen wird ja vielfach, sich bei Bedarf ein Terminalfenster zu öffnen, sich dort als root einzuloggen und dann die benötigten Programme aufzurufen. Gerade das ist aber im Moment unter KDE in vielen Fällen wenig angenehm.

Ein Beispiel liefert Dolphin. Dophin öffnet sich nach dem Aufruf von root zwar rasch, aber wenn man dann als root einzelne Dateien mit einem graphischen Editor öffnen will, wartet man erstmal bis zu 30 Sekunden während das Terminal mit Fehlermeldungen aus der Soprano-Nepomuk-Ecke überschüttet wird und im Hintergrund die Sicherheitslage gecheckt wird (z.B. von apparmor) weil ein Fremduser-Zugriff auf eine graphische Oberfläche erfolgt.

Und dann stolpert man ggf. über hässliche Schrifteinstellungen ohne Glättung etc. – weil halt die KDE-Einstellungen für root nur sehr rudimentär sind. Aber der dumme User weiß ja sicher, wie er von seinem Desktop aus die Desktop-Einstellungen für root verändern kann …

Ich höre schon das Gegen-Totschlag-Argument: Root braucht keine graphischen Programme, wozu gibt es denn “mc” und selbst das ist für Hartgesottene schon zu grapisch …. Außerdem gibt es ja “sudo” und “kdesudo”. Tja, das wird ja spannend, wenn der dumme User auch damit für etliche Zwecke an Grenzen stößt und dann eigentlich anfangen müsste, die sudo-Konfigurationsdatei abzuändern ….

Alles in allem ist mir dieses elitäre Getue zu blöd. Ich möchte mich manchmal (!) auch als root graphisch einloggen – vor allem wenn es wirklich schnell gehen muss. Ich bin root – ich darf das. Deshalb ein paar Hinweise zur Umgehung der Sperren für Opensuse 11.3 für die, die sich nicht einschränken lassen wollen:

Die “KDM”-Einstellungen erfolgen bei Opensuse 11.3 in 2 (!) Dateien:

/usr/share/kde4/config/kdm/kdmrc

/var/adm/kdm/kdmrc.sysconfig

In diesen Dateien muss mindestens im Abschnitt

[X-:*-Core]

folgender Eintrag erfolgen:

AllowRootLogin=true

Bis vor kurzem war das auch genug. Nun haben aber die Suse-Entwickler ein wenig mehr getan und Änderungen an der letzten der beiden genannten Dateien werden bei KDE-Starts rückgängig gemacht. Ein (längerer) Blick in die SuSE-Scripts zeigt jedoch, dass ein Eintrag in folgender Datei für KDM hilft (das habe nicht ich entdeckt sondern nur nachvollzogen – die Ehre gebührt Carlos E. R. (s. den Link zum Opensuse Forum):

Datei:         /etc/sysconfig/displaymanager

Eintrag:         DISPLAYMANAGER_ROOT_LOGIN_LOCAL=”yes”

Diese Eintragsmöglichkeit ist im Moment leider nicht im Yast-Editor für “/etc/sysconfig” enthalten. Es wäre fair von Suse, das da aufzunehmen.

Links

http://forums.opensuse.org/english/get-help-here/install-boot-login/446249-root-logins-not-allowed-2.html

Abschluss: Sicherheit entsteht
auf Dauer durch Wissen und dessen Verbreitung, aber nicht durch die systematische Beschränkung der User!