Sudo w Windows 11: czym różni się od Linuksa?

Wersje Insider systemu Windows 11 wzbogaciły się o narzędzie sudo. Program ten działa znacząco inaczej, niż polecenie "sudo" znane z Linuksów. Powstał w celu łatwego i jednoznacznego uruchamiania procesów z podniesionymi uprawnieniami.

Systemowe narzędzie UAC (User Account Control, Kontrola Konta Użytkownika) było od swojego powstania porównywane z linuksowym sudo, ale porównanie to wynika z zastosowania uproszczeń wobec obu mechanizmów. A także z przyjęcia założeń, które nie zawsze są prawidłowe. Aby poprawnie porównać oba narzędzia, konieczne jest wytłumaczenie tychże.

Zacznijmy od UAC. Rozwiązanie to, wbrew złośliwym opiniom, wcale nie polega na "potwierdzaniu każdego kroku". Służy ono do tego, by domyślnie każdy program, nawet na koncie administracyjnym (poza wbudowanym kontem "Administrator"), nie otrzymywał przywilejów administratora.

Dalsza część artykułu pod materiałem wideo

Miało to wymusić dobre praktyki programowania: popularne aplikacje (Adobe Photoshop), w tym także te z Microsoftu (Visual Studio) potrzebowały uprawnień administracyjnych do zwykłej pracy, nierzadko przez niechlujność. UAC miał zdenerwować programistów (i zmotywować ich do pracy - co osiągnął), ale zdenerwował też użytkowników.

UAC łatwo ominąć na domyślnych ustawieniach - ale tylko wtedy, gdy sami pracujemy na koncie administracyjnym. Jeżeli nasz użytkownik nie należy do administratorów, UAC poprosi o uwierzytelnienie jako któryś z użytkowników, który do nich należy. Przyjmie takie same poświadczenia, jak ekran logowania (odcisk palca, Windows Hello, domena). Wtedy uruchomi proces jako inny użytkownik, a nie "my, tylko bardziej".

Sudo działa trochę inaczej. Domyślnie, polecenia wykonywane przez sudo są uruchamiane jako użytkownik root - jeżeli konto użytkownika jest wymienione jako posiadające uprawnienia do takiej operacji. Wtedy, po podaniu hasła "zwykłego" użytkownika, aplikacja jest uruchamiana na koncie root.

Powodem, dla którego UAC bywa nazywany "sudo dla Windowsa" jest to, że w domyślnych ustawieniach Windows oraz najpopularniejszego użytkowego Linuksa - Ubuntu (i pochodnych), konta użytkownika są "administracyjne": oba proszą o potwierdzenie swoich poświadczeń przed uruchomieniem aplikacji z rozszerzonymi uprawnieniami.

Prawdziwe sudo for Windows działa znacząco inaczej. Co ciekawe, jest bardzo dobrze opisane przez Microsoft - do poziomu komunikacji RPC między procesami. Ale znajomość RPC nie jest potrzebna do tego, by poznać efektywną metodę działania. Aplikacja uruchomiona poprzez "sudo" uruchamia sudo.exe, które następnie woła aplikację.

To ta aplikacja, a nie sudo, prosi o podniesienie uprawnień. Dlatego alert UAC zostanie wywołany przez aplikację, zamiast przedstawiać się jako zwykłe "Microsoft Windows". Jeżeli nie mamy praw administracyjnych - wybierzemy w ekranie UAC konto, które takie prawa ma.

Narzędzie sudo działa nieco inaczej niż standardowy, znany z Windows 2000 program RunAs (działający z wykorzystaniem usługi logowania pomocniczego - Secondary Logon). RunAs potrafi uruchamiać program jako inny użytkownik - w tym administrator - ale wskazanie administratora jako użytkownika uruchomi aplikację bez podniesionych uprawnień.

Innymi słowy, Notatnik uruchomiony z konta "user" przez sudo poprosi o hasło użytkownika "admin" i uruchomi się z uprawnieniami administratora i dostępem np. do C:\Windows\Temp. Ale uruchomiony z konta "user" przez RunAs ze wskazaniem użytkownika "admin" - także poprosi o jego hasło, uruchamiając się jednak bez dodatkowych praw (i bez dostępu do katalogu Temp). Microsoft wyjaśnia tę różnicę w dokumentacji.

Dotychczas nie było łatwej metody na poprawne podniesienie uprawnień z poziomu wiersza poleceń. Działały różne sztuczki, jak ominięcie UAC na domyślnych ustawieniach przy użytkowniku administracyjnym, ale (potocznie nazywając) auto-elewacja była możliwa albo interaktywnie albo z użyciem oprogramowania ciężkiego kalibru, jak PsExec. Sudo for Windows zmienia ten stan rzeczy, dodając nieco nowoczesności.

Jest obecnie w wersji testowej (co widać po wbudowanych tłumaczeniach), napisano go w języku Rust i udostępniono tylko dla Windows 11 Insider Preview, ale… przeniesiony do starszej wersji dalej działa, także w Windows 10, a nawet Windows 7. To zasługa tego, że sudo wykorzystuje tylko UAC, a nie dodatkowe usługi, jak logowanie pomocnicze. A UAC jest w Windowsie już od czasów Visty.

Funkcję sudo można włączyć w Ustawieniach w sekcji Dla deweloperów. Możliwa jest praca w trzech trybach: nowego okna oraz przejęcie dotychczasowego terminala, z włączonym lub wyłączonym stdin. Program będzie dostępny w Windows 11 24H2, ale Microsoft nie wyklucza udostępnienia go także dla Windows 10. Docelowo, program ma umieć zastąpić aplikację RunAs.