Защита от sudo внутри shell-скриптов, make-файлов и т. Д.

Обычно, когда я запускаюсь sudo, он просит меня ввести пароль в первый раз, и он запоминает, что я аутентифицировался в течение следующих нескольких минут, пока время аутентификации не истекло.

Это оставляет дыру в безопасности системы. В сочетании с небольшой социальной инженерией, вредоносным shell-скриптом / Makefile / и т.д. может запустить sudoвнутри него и получить доступ к root.

Не отказываясь от удобства функции «запомнить аутентификацию», я все же хотел бы иметь более безопасную настройку. Есть ли способ настроить, sudoчтобы помнить только аутентификацию для pid, который аутентифицировался успешно, или что-то подобное? Я знаю, что вы можете настроить sudoзапрос на аутентификацию каждый раз, но я думаю о чем-то, что не лишает удобства безопасности.

Вы можете использовать sudo -Kперед запуском все, что вы не доверяете.

Самое близкое к этому можно было бы переименовать команду sudo в имя, которое злоумышленники не знают. Да, это безопасность по неясности , но если вы можете вызывать sudo, тогда запускается сценарий, который вы можете вызвать (если он знает его имя).