Autorizzazioni e diritti in Linux

Quanti di noi hanno avuto la necessità di "limitare l'accesso" ai file contenuti in una certa directory / cartella o abbiamo semplicemente bisogno di impedire ad alcune persone di visualizzare, cancellare o modificare il contenuto di un certo file? Più di uno, giusto? Possiamo realizzarlo nel nostro amato pinguino? La risposta è: Certo che si : D.

Introduzione

Molti di noi che proveniamo da Windows, erano abituati ad affrontare questo "problema" in modo molto diverso, per raggiungere questo obiettivo abbiamo dovuto ricorrere a "tecniche" poco ortodosse, come nascondere il file attraverso i suoi attributi, spostare il nostro informazioni al luogo più remoto del nostro team (entro 20,000 cartelle) per cercare di dissuadere il nostro "nemico" XD, modificando o eliminando l'estensione del file, o la più "comune" delle pratiche, scaricare un programma che ci permetta di " chiudi ”la nostra directory dietro una simpatica finestra di dialogo che ci chiede una password per accedervi. Avevamo un'alternativa molto migliore? Non.

Articolo correlato:

Come montare HDD o partizioni tramite terminale

Mi dispiace molto per i miei amici "Windoleros" (lo dico con grande affetto in modo che nessuno si offenda, ok? nativa questa funzionalità.

Quanti di voi hanno notato che quando ci sediamo dietro un computer “Windows” (anche se non è nostro) diventiamo automaticamente proprietari di tutto ciò che contiene il computer (immagini, documenti, programmi, ecc.)? Cosa voglio dire? Bene, semplicemente assumendo il "controllo di Windows", possiamo copiare, spostare, eliminare, creare, aprire o modificare cartelle e file a destra ea sinistra, indipendentemente dal fatto che siamo i "proprietari" di queste informazioni o meno. Ciò riflette un grave difetto di sicurezza nel sistema operativo, giusto? Bene, questo è tutto perché i sistemi operativi di Microsoft non sono stati progettati da zero per essere multiutente. Quando furono rilasciate le versioni di MS-DOS e alcune versioni di Windows, si fidavano pienamente che l'utente finale sarebbe stato responsabile della "protezione" del rispettivo computer in modo che nessun altro utente avesse accesso alle informazioni in esso memorizzate ... diventa ingenuo ¬ ¬. Ora amici di WinUsers, sapete già perché c'è questo "mistero": D.

D'altra parte, GNU / Linux, essendo un sistema progettato fondamentalmente per il networking, la sicurezza delle informazioni che memorizziamo sui nostri computer (per non parlare dei server) è fondamentale, poiché molti utenti avranno o potrebbero avere accesso parte delle risorse software (sia applicazioni che informazioni) e hardware che vengono gestite su questi computer.

Ora possiamo capire perché la necessità di un sistema di permessi? Entriamo nell'argomento;).

Articolo correlato:

DU: come visualizzare le 10 directory che occupano più spazio

In GNU / Linux, le autorizzazioni oi diritti che gli utenti possono avere su determinati file in esso contenuti sono stabiliti in tre livelli chiaramente differenziati. Questi tre livelli sono i seguenti:

<° Permessi del proprietario.
<° Autorizzazioni di gruppo.
<° Permessi del resto degli utenti (o anche chiamati "gli altri").

Per essere chiari su questi concetti, nei sistemi di rete (come il pinguino) c'è sempre la figura dell'amministratore, superuser o root. Questo amministratore è responsabile della creazione e della rimozione degli utenti, oltre a stabilire i privilegi che ciascuno di loro avrà nel sistema. Questi privilegi vengono stabiliti sia per la directory HOME di ogni utente che per le directory e i file a cui l'amministratore decide che l'utente può accedere.

Autorizzazioni del proprietario

Il proprietario è l'utente che genera o crea un file / cartella all'interno della propria directory di lavoro (HOME) o in qualche altra directory su cui ha i diritti. Ogni utente ha il potere di creare, per impostazione predefinita, i file che desidera nella propria directory di lavoro. In linea di principio, lui e solo lui sarà colui che ha accesso alle informazioni contenute nei file e nelle directory nella directory HOME.

Autorizzazioni di gruppo

La cosa più normale è che ogni utente appartenga a un gruppo di lavoro. In questo modo, quando un gruppo viene gestito, vengono gestiti tutti gli utenti che ne fanno parte. In altre parole, è più facile integrare più utenti in un gruppo a cui vengono concessi determinati privilegi nel sistema, piuttosto che assegnare i privilegi in modo indipendente a ciascun utente.

Autorizzazioni del resto degli utenti

Infine, i privilegi dei file contenuti in una qualsiasi directory possono essere detenuti anche da altri utenti che non appartengono al gruppo di lavoro in cui il file in questione è integrato. Ovvero, gli utenti che non appartengono al gruppo di lavoro in cui si trova il file, ma che appartengono ad altri gruppi di lavoro, sono chiamati altri utenti di sistema.

Molto carino, ma come posso identificare tutto questo? Semplice, apri un terminale e procedi come segue:

$ ls -l

Nota: sono lettere minuscole "L" 😉

Apparirà qualcosa di simile al seguente:

Come puoi vedere, questo comando mostra o "elenca" il contenuto della mia HOME, ciò di cui abbiamo a che fare sono le linee rosse e verdi. La casella rossa ci mostra chi è il proprietario e la casella verde indica a quale gruppo appartiene ciascuno dei file e delle cartelle sopra elencati. In questo caso, sia il proprietario che il gruppo si chiamano "Perseus", ma potrebbero aver incontrato un gruppo diverso come "vendite". Per il resto non preoccuparti per ora, vedremo più avanti: D.

Tipi di permessi in GNU / Linux

Prima di apprendere come vengono impostati i permessi in GNU / Linux, dobbiamo sapere come differenziare i diversi tipi di file che il sistema può avere.

Ogni file in GNU / Linux è identificato da 10 caratteri che vengono chiamati maschera. Di questi 10 caratteri, il primo (da sinistra a destra) si riferisce al tipo di file. I seguenti 9, da sinistra a destra e in blocchi di 3, si riferiscono ai permessi che vengono concessi, rispettivamente, al proprietario, al gruppo e al resto o ad altri. Uno screenshot per dimostrare tutto questo:

Il primo carattere dei file può essere il seguente:

Mi scusi	identifica
-	archivio
d	Elenco
b	File blocco speciale (file speciali dispositivo)
c	File di caratteri speciali (dispositivo tty, stampante ...)
l	File di collegamento o collegamento (collegamento soft / simbolico)
p	File speciale del canale (pipe o pipe)

I successivi nove caratteri sono le autorizzazioni concesse agli utenti del sistema. Ogni tre caratteri, viene fatto riferimento al proprietario, al gruppo e ad altre autorizzazioni utente.

I caratteri che definiscono queste autorizzazioni sono i seguenti:

Mi scusi	identifica
-	Senza permesso
r	Leggi l'autorizzazione
w	Scrivere il permesso
x	Autorizzazione all'esecuzione

Autorizzazioni sui file

<° Lettura: in pratica ti permette di visualizzare il contenuto del file.
<° Scrivi: consente di modificare il contenuto del file.
<° Esecuzione: permette di eseguire il file come se fosse un programma eseguibile.

Autorizzazioni della directory

<° Lettura: consente di sapere quali file e directory contiene la directory che dispone di questa autorizzazione.
<° Scrivi: consente di creare file nella directory, file normali o nuove directory. È possibile eliminare directory, copiare file nella directory, spostare, rinominare, ecc.
<° Esecuzione: permette di passare attraverso la directory per poter esaminare il suo contenuto, copiare file da o in essa. Se si dispone anche di autorizzazioni di lettura e scrittura, è possibile eseguire tutte le operazioni possibili su file e directory.

Nota: Se non hai il permesso di esecuzione, non saremo in grado di accedere a quella directory (anche se usiamo il comando "cd"), poiché questa azione verrà negata. Consente inoltre di delimitare l'uso di una directory come parte di un percorso (come quando si passa il percorso di un file che si trova in quella directory come riferimento. Supponiamo di voler copiare il file "X.ogg" che si trova nella cartella " / home / perseo / Z "-per cui la cartella" Z "non ha il permesso di esecuzione-, faremmo quanto segue:

$ cp /home/perseo/Z/X.ogg /home/perseo/Y/

ottenendo con questo un messaggio di errore che ci informa che non abbiamo i permessi sufficienti per accedere al file: D). Se il permesso di esecuzione di una directory è disattivato, sarai in grado di vedere il suo contenuto (se hai il permesso di lettura), ma non sarai in grado di accedere a nessuno degli oggetti in essa contenuti, perché per questo questa directory fa parte del percorso necessario per risolvere la posizione dei tuoi oggetti.

Gestione dei permessi in GNU / Linux

Finora, abbiamo visto a cosa servono i permessi in GNU / Linux, di seguito vedremo come assegnare o sottrarre permessi o diritti.

Prima di iniziare, dobbiamo tenere presente che quando registriamo o creiamo un utente nel sistema, gli concediamo automaticamente i privilegi. Questi privilegi, ovviamente, non saranno totali, ovvero gli utenti normalmente non avranno gli stessi permessi e diritti del superutente. Quando l'utente viene creato, il sistema genera per impostazione predefinita i privilegi utente per la gestione dei file e la gestione delle directory. Ovviamente questi possono essere modificati dall'amministratore, ma il sistema genera privilegi più o meno validi per la maggior parte delle operazioni che ogni utente effettuerà sulla propria directory, sui propri file, e sulle directory e sui file di altri utenti. Queste sono generalmente le seguenti autorizzazioni:

<° Per i file: - rw-r-- r--
<° Per le directory: - rwx rwx rwx

Nota: non sono gli stessi permessi per tutte le distribuzioni GNU / Linux.

Questi privilegi ci consentono di creare, copiare ed eliminare file, creare nuove directory, ecc. Vediamo tutto questo in pratica: D:

Prendiamo come esempio il file "Advanced CSS.pdf". Si noti che appare come segue: -rw-r--r-- ... CSS.pdf avanzato. Diamo uno sguardo più da vicino.

Modello	Utente	Gruppo	Resto degli utenti (altri)	nome del file
-	rw	r--	r--	CSS.pdf avanzato

Ciò significa che:

<° Tipo: archivio
<° L'utente può: Leggere (visualizzare il contenuto) e scrivere (modificare) il file.
<° Il gruppo a cui appartiene l'utente può: Leggi (solo) il file.
<° Gli altri utenti possono: Leggi (solo) il file.

Per i curiosi che in questo momento si stanno chiedendo a cosa si riferiscano gli altri campi della lista ottenuta da ls -l, ecco la risposta:

Se vuoi saperne di più sui link hard e soft / simbolici, ecco la spiegazione e il loro diferencias.

Bene amici, veniamo alla parte più interessante e pesante dell'argomento in questione ...

Assegnazione del permesso

Il comando chmod ("Cambia modalità") permette di modificare la maschera in modo da poter eseguire più o meno operazioni su file o directory, in altre parole, con chmod è possibile rimuovere o rimuovere i diritti per ogni tipo di utente. Se il tipo di utente a cui si desidera rimuovere, mettere o assegnare i privilegi non è specificato, ciò che accadrà durante l'esecuzione dell'operazione interesserà tutti gli utenti contemporaneamente.

La cosa fondamentale da ricordare è che diamo o rimuoviamo le autorizzazioni a questi livelli:

parametro	Livello	Descrizione
u	proprietario	proprietario del file o della directory
g	gruppo	gruppo a cui appartiene il file
o	altri	tutti gli altri utenti che non sono il proprietario o il gruppo

Tipi di autorizzazione:

Mi scusi	identifica
r	Leggi l'autorizzazione
w	Scrivere il permesso
x	Autorizzazione all'esecuzione

 Autorizza il proprietario a eseguire:

$ chmod u+x komodo.sh

Rimuovi l'autorizzazione di esecuzione da tutti gli utenti:

$ chmod -x komodo.sh

Concedi il permesso di lettura e scrittura ad altri utenti:

$ chmod o+r+w komodo.sh

Lascia solo l'autorizzazione di lettura al gruppo a cui appartiene il file:

$ chmod g+r-w-x komodo.sh

Autorizzazioni in formato numerico ottale

C'è un altro modo di usare il comando chmod che, per molti utenti, è “più comodo”, sebbene a priori sia un po 'più complesso da capire ¬¬.

La combinazione dei valori di ogni gruppo di utenti forma un numero ottale, il bit “x” è 20 cioè 1, il bit w è 21 cioè 2, il bit r è 22 cioè 4, quindi abbiamo:

<° r = 4
<° w = 2
<° x = 1

La combinazione di bit on o off in ogni gruppo fornisce otto possibili combinazioni di valori, ovvero la somma dei bit su:

Mi scusi	Valore ottale	Descrizione
- - -	0	non hai alcun permesso
- - x	1	eseguire solo il permesso
- w -	2	solo il permesso di scrittura
- wx	3	scrivere ed eseguire i permessi
r - -	4	solo permesso di lettura
r - x	5	leggere ed eseguire i permessi
rw -	6	permessi di lettura e scrittura
rwx	7	tutti i permessi impostati, leggono, scrivono ed eseguono

Quando si combinano utenti, gruppi e altri permessi, si ottiene un numero di tre cifre che compone i permessi del file o della directory. Esempi:

Mi scusi	valore	Descrizione
rw- --- --	600	Il proprietario dispone delle autorizzazioni di lettura e scrittura
rwx --X --x	711	Il proprietario legge, scrive ed esegue, il gruppo e gli altri eseguono solo
rwx rx rx	755	Il proprietario di lettura, scrittura ed esecuzione, gruppo e altri possono leggere ed eseguire il file
rwx rwx rwx	777	Il file può essere letto, scritto ed eseguito da chiunque
r-- --- --	400	Solo il proprietario può leggere il file, ma nessuno dei due può modificarlo o eseguirlo e ovviamente né il gruppo né gli altri possono fare nulla al suo interno.
rw-r-- ---	640	L'utente proprietario può leggere e scrivere, il gruppo può leggere il file e gli altri non possono fare nulla

Autorizzazioni speciali

Ci sono ancora altri tipi di permessi da considerare. Questi sono il bit di autorizzazione SUID (Set User ID), il bit di autorizzazione SGID (Set Group ID) e lo sticky bit (sticky bit).

setuido

Il bit setuid è assegnabile a file eseguibili e consente che quando un utente esegue detto file, il processo acquisisca i permessi del proprietario del file eseguito. L'esempio più chiaro di un file eseguibile con il bit setuid è:

$ su

Possiamo vedere che il bit è assegnato come "s" nella seguente cattura:

Per assegnare questo bit a un file sarebbe:

$ chmod u+s /bin/su

E per rimuoverlo:

$ chmod u-s /bin/su

Nota: Dobbiamo usare questo bit con estrema cura in quanto può causare un'escalation di privilegi nel nostro sistema ¬¬.

setgid

Il bit setid permette di acquisire i privilegi del gruppo assegnato al file, è inoltre assegnabile alle directory. Ciò sarà molto utile quando più utenti dello stesso gruppo devono lavorare con le risorse all'interno della stessa directory.

Per assegnare questo bit facciamo quanto segue:

$ chmod g+s /carpeta_compartida

E per rimuoverlo:

$ chmod g-s /carpeta_compartida

appiccicoso

Questo bit viene solitamente assegnato nelle directory a cui hanno accesso tutti gli utenti e consente di impedire a un utente di eliminare file / directory di un altro utente all'interno di quella directory, poiché tutti hanno il permesso di scrittura.
Possiamo vedere che il bit è assegnato come "t" nella seguente cattura:

Per assegnare questo bit facciamo quanto segue:

$ chmod o+t /tmp

E per rimuoverlo:

$ chmod o-t /tmp

Bene amici, ora sapete come proteggere meglio le vostre informazioni, con questo spero che smettiate di cercare alternative a Folder Lock o Protezione cartella che in GNU / Linux non ne abbiamo affatto bisogno XD.

P.S: Questo particolare articolo è stato richiesto dalla vicina di casa del cugino di un amico XD, spero di aver risolto i tuoi dubbi ... 😀