Come impostare la password dell'utente root su Ubuntu

Prima cosa: su Ubuntu root è spesso bloccato di proposito

Su Ubuntu, in installazione standard, l’account root esiste ma di solito non ha una password impostata e non viene usato per l’accesso diretto. La scelta è intenzionale: si lavora con un utente normale e si elevano i privilegi con sudo. È una misura pratica, non un capriccio estetico. Riduce gli accessi diretti, semplifica l’audit e limita gli errori operativi legati a sessioni aperte come root.

© TrgtKLS • Tech, Sicurezza e Strumenti & guide per Webmaster — https://trgtkls.it — tutti i diritti riservati.

Se però hai un’esigenza concreta — ad esempio un ambiente di laboratorio, una procedura di recovery, un’applicazione o un flusso legacy che richiede login root — puoi impostare la password dell’utente root. Fallo con cognizione: stai ampliando la superficie operativa del sistema. In produzione, la regola resta usare sudo quando possibile.

Verificare lo stato attuale dell’account root

Prima di cambiare qualcosa, conviene capire se root è già abilitato oppure no. Il controllo più rapido è leggere lo stato dell’account nel database utenti del sistema.

Esegui:

sudo passwd -S root

Il risultato tipico indica se la password è bloccata o impostata. Se vedi uno stato che segnala account bloccato, root non può essere usato per login diretto finché non imposti una password. Se invece risulta già attivo, stai solo cambiando la password esistente.

Un secondo controllo utile è leggere la voce dell’utente in /etc/shadow, senza modificare nulla:

sudo grep '^root:' /etc/shadow

Se il campo della password inizia con un carattere di blocco, root non è autenticabile con password. Non è necessario interpretare ogni simbolo a memoria: l’importante è capire se l’account è attivo o no.

Impostare o cambiare la password di root

Per impostare la password dell’utente root, usa passwd con privilegi amministrativi. È il metodo corretto su Ubuntu perché aggiorna il database password in modo coerente e gestisce automaticamente il formato previsto dal sistema.

Comando:

sudo passwd root

Il sistema chiederà di digitare una nuova password due volte. Durante l’inserimento non vedrai caratteri a schermo: è normale. Alla fine, se tutto è andato a buon fine, comparirà un messaggio del tipo che la password è stata aggiornata con successo.

Se invece vuoi solo cambiare la password già esistente, il comando è lo stesso. Non serve alcuna opzione speciale. La procedura è identica sia che root fosse bloccato sia che fosse già attivo.

Abilitare davvero l’accesso root, se era bloccato

Su Ubuntu, impostare la password di root di fatto sblocca l’account per l’uso con password. Se il tuo obiettivo è consentire il login diretto, questo basta nella maggior parte dei casi. Se vuoi verificare il risultato, ripeti il controllo iniziale:

sudo passwd -S root

Dovresti vedere uno stato coerente con un account attivo. A questo punto puoi testare, solo se serve davvero, un cambio utente verso root da una sessione autorizzata:

su - root

Ti verrà richiesta la password di root. Se l’autenticazione riesce, hai conferma che l’account è operativo. Se fallisce, il problema può essere un errore di digitazione, un layout tastiera diverso da quello atteso, oppure un blocco PAM o policy locali. In quel caso non forzare tentativi ripetuti: verifica prima la configurazione.

Quando conviene usare sudo invece di abilitare root

In un server reale, spesso la domanda giusta non è “come imposto la password di root?”, ma “mi serve davvero?”. Se l’obiettivo è amministrare il sistema, sudo è quasi sempre preferibile. Ti lascia un audit più pulito, consente di limitare i comandi autorizzati e riduce il rischio di accessi diretti non necessari.

Per esempio, se devi eseguire un comando amministrativo singolo, è meglio questo:

sudo systemctl restart nginx

piuttosto che aprire una shell root permanente. La differenza pratica è notevole: con sudo lasci traccia delle operazioni e limiti l’esposizione dell’account amministrativo diretto.

Abilitare root ha senso soprattutto in casi circoscritti: ambienti di recupero, procedure legacy, macchine isolate, integrazioni che non supportano sudo, o scenari in cui devi accedere da console e hai una procedura già validata. Fuori da questi casi, è una scelta che va ponderata.

Se vuoi disabilitare di nuovo root dopo il test

Se hai impostato la password solo per una prova o per una finestra operativa limitata, è buona pratica tornare allo stato bloccato appena finito. In questo modo riduci il rischio che l’account resti attivo più a lungo del necessario.

Per bloccare di nuovo root, usa:

sudo passwd -l root

Questo non cancella l’account, ma ne blocca l’accesso tramite password. È un rollback semplice e reversibile: se in seguito ti serve riattivarlo, puoi reimpostare la password con lo stesso comando usato prima.

Verifica finale:

sudo passwd -S root

Se lo stato indica account bloccato, hai riportato il sistema alla configurazione più prudente.

Accesso root via SSH: attenzione alla differenza tra password e login remoto

Impostare la password di root non significa automaticamente che il login remoto via SSH sia consentito. Sono due piani distinti. Puoi avere root con password valida e, allo stesso tempo, SSH configurato per impedire l’accesso diretto come root.

Il controllo va fatto nel file di configurazione di OpenSSH, in genere /etc/ssh/sshd_config o in uno snippet incluso da lì, a seconda della versione e della distribuzione. La direttiva da cercare è spesso PermitRootLogin. Se è impostata su no o su un valore restrittivo, il login remoto come root resterà bloccato anche con password valida.

Per verificare senza modificare nulla, puoi cercare la direttiva attiva:

sudo grep -Rni '^*PermitRootLogin' /etc/ssh/sshd_config /etc/ssh/sshd_config.d 2>/dev/null

Se devi cambiare la policy SSH, fallo con cautela: è una modifica che può tagliarti fuori da remoto. Prima di toccare la configurazione, assicurati di avere una sessione locale o un accesso alternativo, e prepara sempre un rollback.

Nota operativa: su molti sistemi moderni, la scelta migliore resta lasciare root disabilitato per SSH e usare un utente amministrativo con sudo. Se il tuo caso d’uso impone il contrario, documenta la motivazione e limita l’esposizione con ACL, firewall e autenticazione robusta.

Gestire password forti e ridurre il rischio operativo

Una password di root debole è un problema serio, perché root ha accesso totale al sistema. Non basta “una password un po’ lunga”: serve una stringa robusta, non riutilizzata, non presente in altri servizi e non condivisa in chiaro. Se la devi passare a un collega o a un sistema esterno, usa un canale sicuro e poi ruotala appena possibile.

Dal punto di vista operativo, conviene anche ridurre le occasioni in cui root viene usato manualmente. Alcuni esempi pratici:

• prediligi sudo per i comandi singoli;
• evita sessioni root prolungate se non necessarie;
• documenta chi ha accesso amministrativo e perché;
• ruota la password dopo interventi eccezionali;
• verifica periodicamente i log di autenticazione, ad esempio in /var/log/auth.log o nel journal di sistema.

Se il server è esposto su Internet, questi accorgimenti non sono cosmetici: sono igiene di base. L’account root con password attiva aumenta il valore dell’obiettivo per un attaccante, quindi la protezione deve essere coerente con il rischio reale del sistema.

Controlli rapidi dopo la modifica

Dopo aver impostato o cambiato la password, conviene fare tre verifiche essenziali. La prima è funzionale: l’account risponde come previsto. La seconda è operativa: il metodo di accesso che vuoi usare è effettivamente disponibile. La terza è di sicurezza: non hai aperto più del necessario.

1. Verifica lo stato dell’account con sudo passwd -S root e controlla che il risultato sia coerente con l’obiettivo.
2. Se serve, prova un accesso locale con su - root da una sessione autorizzata e conferma che la password funzioni.
3. Se stai lavorando anche su SSH, controlla la policy in /etc/ssh/sshd_config o negli snippet inclusi e assicurati che l’esposizione remota sia quella voluta.

Se qualcosa non torna, il primo passo non è “rifare tutto”, ma capire dove si spezza il flusso: password, policy PAM, configurazione SSH, oppure semplice errore di digitazione. In amministrazione Linux, la differenza tra un fix rapido e un problema che si allarga sta quasi sempre nella qualità della verifica iniziale.

Scenario pratico: quando ha senso farlo e quando no

Un caso sensato: hai una macchina di test, devi eseguire una procedura di recovery documentata dal vendor, e la procedura richiede login root diretto. In quel contesto, impostare la password è ragionevole, purché tu sappia come tornare indietro subito dopo.

Un caso meno sensato: vuoi “semplificarti la vita” su un server di produzione perché ti sembra più comodo entrare come root. Qui stai scambiando comodità per rischio. La soluzione corretta è quasi sempre migliorare il flusso con sudo, ruoli più chiari, eventuali policy di autorizzazione e logging migliore, non aprire la porta più larga del necessario.

In sintesi operativa: se ti serve davvero, sudo passwd root è il comando giusto. Se non ti serve, lascia root bloccato e lavora con privilegi elevati solo quando necessario. È una scelta semplice, ma in amministrazione sistemi le scelte semplici, quando sono coerenti, valgono più di molte scorciatoie.