O que determina quais comandos do Linux requerem acesso root?

O que determina quais comandos do Linux requerem acesso root? Entendo as razões pelas quais é desejável que, digamos, apt-getexijam rootprivilégios; mas o que distingue esses comandos do resto? É simplesmente uma questão de propriedade e permissões de execução do executável?

No Linux, os privilégios de raiz estavam em um ponto dividido em "capacidades", assim você pode obter uma lista completa de privilégios especiais de raiz, olhando para que a documentação: man 7 capabilities.

Para responder à sua pergunta, um comando exigirá a execução como root quando ele precisar de um desses privilégios, e seu executável sem script não possui a capacidade relevante definida nos metadados do arquivo (por exemplo, se um script python exigir essa capacidade, então a capacidade precisaria estar no interpretador python especificado na linha shebang).

Observe que alguns comandos que precisam de acesso root não precisam de algo parecido sudoporque eles têm o bit SUID definido em seu executável. Esse bit faz com que o executável seja executado como proprietário (normalmente root) quando executado por qualquer pessoa que tenha acesso de execução. Um exemplo é o fato de sudoalterar usuários é uma ação privilegiada que ele precisa executar.

EDIT: Observo da sua pergunta que você pode ter a ideia de que pode determinar se um comando precisará de acesso root antes de executá-lo. Esse não é o caso. Às vezes, um programa pode exigir privilégios de root e outras não, e isso pode ser uma decisão tomada pelo programa devido aos dados fornecidos durante o tempo de execução. Tomemos, por exemplo, chamar vimassim sem argumentos e, em seguida, através de uma série de pressionamentos de tecla e colar, dizendo para gravar algo em um arquivo que não tem permissão para gravar ou talvez executando outro comando que exija privilégios de root. Nada sobre o comando antes da execução poderia indicar que acabaria por exigir acesso root. Isso é algo que só pode ser determinado no momento em que ele tenta fazer algo que exige isso.

De qualquer forma, aqui estão muito poucos exemplos da página de manual referenciada dos privilégios de root:

• Faça manipulações arbitrárias de UIDs de processo (setuid (2), setreuid (2), setresuid (2), setfsuid (2));
• Ignore o arquivo, leia, grave e execute verificações de permissão. (DAC é uma abreviação de "controle de acesso discricionário".)
• Ignore as verificações de permissão para enviar sinais (consulte kill (2)). Isso inclui o uso da operação ioctl (2) KDSIGACCEPT.
• Execute várias operações relacionadas à rede:
  • configuração de interface;
  • administração de firewall IP, mascaramento e contabilidade;
  • modificar tabelas de roteamento;
• Ligue um soquete às portas privilegiadas do domínio da Internet (números de porta menores que 1024).
• Carregar e descarregar módulos do kernel (consulte init_module (2) e delete_module (2));
• Acerte o relógio do sistema (settimeofday (2), stime (2), adjtimex (2)); ajuste o relógio em tempo real (hardware).
• Execute várias operações de administração do sistema, incluindo: quotactl (2), mount (2), umount (2), swapon (2), swapoff (2), sethostname (2) e setdomainname (2);
• Use reboot (2) e kexec_load (2).
• Use chroot (2).
• Aumente o valor agradável do processo (nice (2), setpriority (2)) e altere o valor agradável para processos arbitrários;

É principalmente uma questão do que a ferramenta ou programa faz . Tendo em mente que um não-superusuário pode apenas tocar em arquivos aos quais possui ou tem acesso, qualquer ferramenta que precise ser capaz de entender tudo exigirá acesso do superusuário para fazer o que é necessário. Uma amostra rápida de itens que podem exigir acesso de superusuário inclui, entre outros:

• Abrindo um soquete TCP de escuta em uma porta abaixo de 1024
• Alterando as configurações do sistema (por exemplo, qualquer item /etc)
• Adicionando novas bibliotecas acessíveis globalmente ( /libe /usr/lib) ou binários ( /bin, /usr/bin)
• Tocar em arquivos não pertencentes ao usuário que está tocando, que não possuem um modo suficientemente permissivo
• Alterando a propriedade de outros arquivos de usuários
• Escalando as prioridades do processo (por exemplo renice)
• Iniciando ou Parando a maioria dos Serviços
• Configuração do kernel (por exemplo, ajuste de swappiness)
• Ajustando cotas do sistema de arquivos
• Gravando em discos "completos" (a maioria dos sistemas de arquivos reserva algum espaço para o usuário root)
• Executando ações como outros usuários

Eu acho que está de acordo com a identidade do usuário para verificar as permissões, não de acordo com a ordem para dividir as permissões. Arquivos e usuários são privilegiados e os comandos não devem ser divididos.