Atļaujas un tiesības Linux

Cik daudziem no mums ir bijusi vajadzība “ierobežot piekļuvi” failiem, kas atrodas noteiktā direktorijā / mapē, vai mums vienkārši jāaizliedz dažiem cilvēkiem skatīt, dzēst vai modificēt noteikta faila saturu? Vairāk nekā viens, vai ne? Vai mēs to varam sasniegt savā mīļotajā pingvīnā? Atbilde ir: Protams, jā : D.

Ievads

Daudzi no mums, kas nāk no Windows, bija pieraduši ļoti dažādi risināt šo "problēmu", lai sasniegtu šo mērķi, mums nācās izmantot netradicionālas "metodes", piemēram, slēpt failu caur tā atribūtiem, pārvietot informāciju uz visattālākā mūsu komandas vieta (20,000 XNUMX mapju robežās), lai mēģinātu atrunāt mūsu "ienaidnieka" XD, mainot vai likvidējot faila paplašinājumu, vai visizplatītākā prakse, lejupielādējiet programmu, kas ļauj mums "aizvērt" mūsu direktoriju aiz jauka dialoglodziņa, kas mums prasa paroli, lai tam piekļūtu. Mums bija daudz labāka alternatīva? Nē.

saistīto rakstu:

Kā uzstādīt HDD vai starpsienas, izmantojot termināli

Man ļoti žēl par saviem draugiem "Windolero" (es to saku ar lielu pieķeršanos, lai neviens netiktu aizvainots, labi ?;)), Bet šodien man mazliet jāpamāca ar Windows: P, jo es paskaidrošu, kāpēc šī OS neļauj dzimtā šī funkcionalitāte.

Cik daudzi no jums ir pamanījuši, ka, sēžot aiz “Windows” datora (pat ja tas nav mūsu), mēs automātiski kļūstam par visa datorā esošā (attēlu, dokumentu, programmu utt.) Īpašniekiem? Ko es domāju? Nu, vienkārši pārņemot "Windows kontroli", mēs varam kopēt, pārvietot, dzēst, izveidot, atvērt vai modificēt mapes un failus pa labi un pa kreisi neatkarīgi no tā, vai mēs esam šīs informācijas "īpašnieki" vai nē. Tas atspoguļo lielu operētājsistēmas drošības trūkumu, vai ne? Tas viss notiek tāpēc, ka Microsoft operētājsistēmas jau no paša sākuma nebija paredzētas daudzu lietotāju vajadzībām. Kad tika izlaistas MS-DOS un dažas Windows versijas, viņi pilnībā paļāvās uz to, ka gala lietotājs būs atbildīgs par sava attiecīgā datora "apsargāšanu", lai neviens cits lietotājs nevarētu piekļūt tajā glabātajai informācijai. ¬ ¬. Tagad WinUsers draugi, jūs jau zināt, kāpēc pastāv šī "mistērija": D.

No otras puses, GNU / Linux, kas ir sistēma, kas galvenokārt paredzēta tīkla izveidei, ir būtiska tās informācijas drošībai, kuru mēs glabājam savos datoros (nemaz nerunājot par serveriem), jo daudziem lietotājiem būs vai varētu būt piekļuve daļai programmatūras resursu (gan lietojumprogrammu, gan informācijas) un aparatūras, kas tiek pārvaldīti šajos datoros.

Tagad mēs varam redzēt, kāpēc vajadzīga atļauju sistēma? Iegremdēsimies tēmā;).

saistīto rakstu:

DU: kā apskatīt 10 direktorijus, kas aizņem visvairāk vietas

GNU / Linux sistēmā atļaujas vai tiesības, kas lietotājiem var būt attiecībā uz noteiktiem tajā esošajiem failiem, ir noteiktas trīs skaidri nošķirtos līmeņos. Šie trīs līmeņi ir šādi:

<° Īpašnieka atļaujas.
<° Grupas atļaujas.
<° Pārējo lietotāju atļaujas (vai arī sauktas par “pārējiem”).

Lai būtu skaidrs par šiem jēdzieniem, tīkla sistēmās (piemēram, pingvīnā) vienmēr ir administratora, superlietotāja vai saknes figūra. Šis administrators ir atbildīgs par lietotāju izveidi un noņemšanu, kā arī par privilēģiju noteikšanu, kas katram no viņiem būs sistēmā. Šīs privilēģijas tiek noteiktas gan katra lietotāja HOME direktorijai, gan direktorijiem un failiem, kuriem administrators nolemj, ka lietotājs var piekļūt.

Īpašnieka atļaujas

Īpašnieks ir lietotājs, kurš ģenerē vai izveido failu / mapi savā darba direktorijā (HOME) vai kādā citā direktorijā, uz kuru viņam ir tiesības. Katram lietotājam ir tiesības pēc noklusējuma izveidot vajadzīgos failus savā darba direktorijā. Principā viņš un tikai viņš būs tas, kuram būs piekļuve informācijai, kas atrodas mapē HOME esošajos failos un direktorijos.

Grupas atļaujas

Visparastākais ir tas, ka katrs lietotājs pieder darba grupai. Tādā veidā, kad tiek pārvaldīta grupa, tiek pārvaldīti visi tai piederošie lietotāji. Citiem vārdiem sakot, ir vieglāk integrēt vairākus lietotājus grupā, kuriem sistēmā tiek piešķirtas noteiktas privilēģijas, nekā piešķirt privilēģijas katram lietotājam neatkarīgi.

Pārējo lietotāju atļaujas

Visbeidzot, jebkurā direktorijā esošo failu privilēģijas var būt arī citiem lietotājiem, kuri nepieder pie darba grupas, kurā attiecīgais fails ir integrēts. Citiem vārdiem sakot, lietotājus, kuri nepieder pie darba grupas, kurā atrodas fails, bet kuri pieder citām darba grupām, sauc par citiem sistēmas lietotājiem.

Ļoti jauki, bet kā es to visu varu identificēt? Vienkārši atveriet termināli un rīkojieties šādi:

$ ls -l

Piezīme: tie ir mazie "L" burti 😉

Tas parādīsies apmēram šādi:

Kā redzat, šī komanda parāda vai "uzskaita" manas MĀJAS saturu, ar ko mums ir darīšana, ir sarkanās un zaļās līnijas. Sarkanajā lodziņā ir redzams, kas ir īpašnieks, un zaļā rūtiņa norāda, kurai grupai pieder visi iepriekš uzskaitītie faili un mapes. Šajā gadījumā gan īpašnieku, gan grupu sauc par "Perseus", taču, iespējams, viņi ir saskārušies ar citu grupu, piemēram, "pārdošana". Pārējā gadījumā pagaidām neuztraucieties, mēs redzēsim vēlāk: D.

Atļauju veidi GNU / Linux

Pirms uzzināt, kā atļaujas tiek iestatītas GNU / Linux, mums jāzina, kā var atšķirt dažādus sistēmas failu tipus.

Katru GNU / Linux failu identificē ar 10 izsauktajām rakstzīmēm maska. No šīm 10 rakstzīmēm pirmā (no kreisās uz labo) attiecas uz faila tipu. Šie 9 no kreisās uz labo pusi un blokos pa 3 attiecas uz atļaujām, kas attiecīgi piešķirtas īpašniekam, grupai un pārējiem vai citiem. Ekrānuzņēmums, lai parādītu visu šo lietu:

Failu pirmā rakstzīme var būt šāda:

Atvainojiet	Noteikt
-	Arhīvs
d	Katalogs
b	Īpašais bloķēšanas fails (ierīces īpašie faili)
c	Īpašo rakstzīmju fails (Tty ierīce, printeris ...)
l	Saites fails vai saite (mīksta / simboliska saite)
p	Kanāla īpašais fails (caurule vai caurule)

Nākamās deviņas rakstzīmes ir sistēmas lietotājiem piešķirtās atļaujas. Katras trīs rakstzīmes, īpašnieks, grupa un citas lietotāja atļaujas ir atsauces.

Šīs atļaujas nosaka šādas rakstzīmes:

Atvainojiet	Noteikt
-	Bez atļaujas
r	Lasīšanas atļauja
w	Rakstīšanas atļauja
x	Izpildes atļauja

Failu atļaujas

<° Lasīšana: būtībā ļauj apskatīt faila saturu.
<° Rakstīt: ļauj mainīt faila saturu.
<° Izpilde: ļauj failu izpildīt tā, it kā tā būtu izpildāma programma.

Direktorija atļaujas

<° Lasīt: Tas ļauj zināt, kādos failos un direktorijos ir direktorijs, kuram ir šī atļauja.
<° Rakstīšana: ļauj direktorijā izveidot failus, vai nu parastos failus, vai jaunus direktorijus. Katalogus var izdzēst, failus nokopēt direktorijā, pārvietot, pārdēvēt utt.
<° Izpilde: ļauj pārlūkot direktoriju, lai varētu pārbaudīt tā saturu, kopēt failus no tā vai uz to. Ja jums ir arī lasīšanas un rakstīšanas atļaujas, ar failiem un direktorijiem varat veikt visas iespējamās darbības.

Piezīme: Ja jums nav izpildes atļaujas, mēs nevarēsim piekļūt šai direktorijai (pat ja izmantosim komandu "cd"), jo šī darbība tiks liegta. Tas arī ļauj norobežot direktorija izmantošanu kā ceļa daļu (tāpat kā tad, kad mēs ejam garām faila ceļu, kas atrodams direktorijā kā atsauci. Pieņemsim, ka mēs vēlamies kopēt mapē esošo failu "X.ogg" "/ home / perseo / Z" - kuru mapei "Z" nav izpildes atļaujas - mēs rīkotos šādi:

$ cp /home/perseo/Z/X.ogg /home/perseo/Y/

iegūstot kļūdas ziņojumu, kurā teikts, ka mums nav pietiekamu atļauju piekļūt failam: D). Ja direktorija izpildes atļauja ir deaktivizēta, jūs varēsiet redzēt tā saturu (ja jums ir lasīšanas atļauja), bet nevarēsit piekļūt nevienam tajā esošajam objektam, jo ​​šī direktorija ir daļa no nepieciešamās ceļu, lai atrisinātu objektu atrašanās vietu.

Atļauju pārvaldība GNU / Linux

Līdz šim mēs esam redzējuši, kādas atļaujas dara GNU / Linux, tālāk redzēsim, kā piešķirt vai atņemt atļaujas vai tiesības.

Pirms sākšanas mums jāpatur prātā, ka, reģistrējoties vai izveidojot lietotāju sistēmā, mēs automātiski piešķiram viņam privilēģijas. Šīs privilēģijas, protams, nebūs pilnīgas, tas ir, lietotājiem parasti nebūs vienādas superlietotāja atļaujas un tiesības. Kad lietotājs ir izveidots, sistēma pēc noklusējuma ģenerē lietotāja privilēģijas failu pārvaldībai un direktoriju pārvaldībai. Acīmredzot tos var modificēt administrators, taču sistēma ģenerē vairāk vai mazāk derīgas privilēģijas lielākajai daļai darbību, kuras katrs lietotājs veiks savā direktorijā, failos, kā arī citu lietotāju direktorijos un failos. Parasti tās ir šādas atļaujas:

<° Failiem: - rw-r-- r--
<° direktorijiem: - rwx

Piezīme: tās nav vienādas atļaujas visiem GNU / Linux izplatījumiem.

Šīs privilēģijas ļauj mums izveidot, kopēt un izdzēst failus, izveidot jaunus direktorijus utt. To visu redzēsim praksē: D:

Ņemsim par piemēru failu "Advanced CSS.pdf". Novērosim, ka tas parādās šādi: -rw-r--r-- … Advanced CSS.pdf. Apskatīsim tuvāk.

Tips	Lietotājs	Grupa	Pārējie lietotāji (citi)	Faila nosaukums
-	rw -	r--	r--	Advanced CSS.pdf

Tas nozīmē ka:

<° tips: Arhīvs
<° Lietotājs var: Lasiet (skatiet saturu) un rakstiet (modificējiet) failu.
<° Grupa, kurai pieder lietotājs, var: Lasiet (tikai) failu.
<° Citi lietotāji var: Lasiet (tikai) failu.

Tiem ziņkārīgajiem, kuriem šobrīd rodas jautājums, uz ko attiecas pārējie ls -l iegūtā saraksta lauki, šeit ir atbilde:

Ja vēlaties uzzināt vairāk par cietajām un mīkstajām / simboliskajām saitēm, šeit ir paskaidrojums un to skaidrojums atšķirības.

Labi draugi, mēs nonākam pie attiecīgā temata visinteresantākās un smagākās daļas ...

Atļaujas piešķiršana

Komanda chmod ("Mainīt režīmu") ļauj modificēt masku tā, lai vairāk vai mazāk varētu veikt darbības ar failiem vai direktorijiem, citiem vārdiem sakot, ar chmod jūs varat noņemt vai noņemt tiesības katram lietotāja tipam. Ja nav norādīts lietotāja tips, kuram mēs vēlamies noņemt, ievietot vai piešķirt privilēģijas, tas, kas notiks, veicot darbību, vienlaikus ietekmēs visus lietotājus.

Galvenais, kas jāatceras, ir tas, ka mēs piešķiram vai noņemam atļaujas šajos līmeņos:

Parametrs	Līmenis	apraksts
u	īpašnieks	faila vai direktorija īpašnieks
g	grupa	grupa, kurai pieder fails
o	pārējie	visi citi lietotāji, kas nav īpašnieks vai grupa

Atļauju veidi:

Atvainojiet	Noteikt
r	Lasīšanas atļauja
w	Rakstīšanas atļauja
x	Izpildes atļauja

 Piešķiriet īpašniekam atļauju izpildīt:

$ chmod u+x komodo.sh

Noņemt izpildes atļauju no visiem lietotājiem:

$ chmod -x komodo.sh

Piešķiriet lasīšanas un rakstīšanas atļauju citiem lietotājiem:

$ chmod o+r+w komodo.sh

Atstājiet tikai lasīšanas atļauju tai grupai, kurai pieder fails:

$ chmod g+r-w-x komodo.sh

Atļaujas astoņciparu formātā

Ir vēl viens veids, kā izmantot komandu chmod, kas daudziem lietotājiem ir “ērtāk”, lai gan a priori to ir nedaudz sarežģītāk saprast ¬¬.

Katras lietotāju grupas vērtību kombinācija veido oktālo skaitli, “x” bits ir 20, kas ir 1, w bits ir 21, kas ir 2, r bits ir 22, kas ir 4, mums ir:

<° r = 4
<° w = 2
<° x = 1

Katrā grupā ieslēgtu vai izslēgtu bitu kombinācija dod astoņas iespējamās vērtību kombinācijas, tas ir, bitu summa uz:

Atvainojiet	Astoņu vērtība	apraksts
- - -	0	jums nav nekādas atļaujas
- - x	1	izpildīt tikai atļauju
- w -	2	tikai rakstīšanas atļauja
- wx	3	rakstīt un izpildīt atļaujas
r - -	4	tikai lasīšanas atļauja
r - x	5	lasīt un izpildīt atļaujas
rw -	6	lasīšanas un rakstīšanas atļaujas
rwx	7	visas atļaujas iestatīt, lasīt, rakstīt un izpildīt

Apvienojot lietotāju, grupu un citas atļaujas, tiek iegūts trīsciparu skaitlis, kas veido faila vai direktorija atļaujas. Piemēri:

Atvainojiet	varonība	apraksts
rw- --- -Sākot no	600	Īpašniekam ir lasīšanas un rakstīšanas atļaujas
rwx --x --x	711	Īpašnieks lasa, raksta un izpilda, grupa un citi tikai izpilda
rwx rx rx	755	Lasīt, rakstīt un izpildīt īpašnieks, grupa un citi lietotāji var lasīt un izpildīt failu
rwx	777	Failu var lasīt, rakstīt un izpildīt ikviens
r-- --- -Sākot no	400	Tikai īpašnieks var lasīt failu, taču neviens to nevar modificēt vai izpildīt, un, protams, ne grupa, ne citi tajā neko nevar darīt.
rw-r-- ---	640	Īpašnieks lietotājs var lasīt un rakstīt, grupa var lasīt failu un citi nevar neko darīt

Īpašas atļaujas

Jāņem vērā vēl citi atļauju veidi. Tie ir atļaujas bits SUID (Set User ID), atļaujas bits SGID (Set Group ID) un lipīgais bits (sticky bit).

setuid

Setuid bits ir piešķirams izpildāmajiem failiem un ļauj, kad lietotājs izpilda minēto failu, process iegūst izpildītā faila īpašnieka atļaujas. Visskaidrākais izpildāmā faila piemērs ar setuid bitu ir:

$ su

Mēs varam redzēt, ka bits tiek piešķirts kā "s" šādā uztveršanā:

Lai piešķirtu šo bitu failam, tas būtu:

$ chmod u+s /bin/su

Un, lai to noņemtu:

$ chmod u-s /bin/su

Piezīme: Mums tas ir jāizmanto ļoti piesardzīgi, jo tas var izraisīt privilēģiju eskalāciju mūsu sistēmā ¬¬.

setgid

Iestatītais bits ļauj iegūt failam piešķirtās grupas privilēģijas, to var piešķirt arī direktorijiem. Tas būs ļoti noderīgi, ja vairākiem vienas grupas lietotājiem būs jāstrādā ar resursiem vienā direktorijā.

Lai piešķirtu šo bitu, mēs rīkojamies šādi:

$ chmod g+s /carpeta_compartida

Un, lai to noņemtu:

$ chmod g-s /carpeta_compartida

lipīgs

Šis bits parasti tiek piešķirts direktorijos, kuriem ir piekļuve visiem lietotājiem, un tas ļauj lietotājam neļaut izdzēst cita direktorija lietotāja failus / direktorijus, jo visiem ir rakstīšanas atļauja.
Mēs varam redzēt, ka bits tiek piešķirts kā "t" šādā uztveršanā:

Lai piešķirtu šo bitu, mēs rīkojamies šādi:

$ chmod o+t /tmp

Un, lai to noņemtu:

$ chmod o-t /tmp

Labi draugi, tagad jūs zināt, kā labāk aizsargāt savu informāciju, ar šo es ceru, ka jūs pārtraucat meklēt alternatīvas mape Lock o Mapju sargs ka GNU / Linux mums tie nemaz nav vajadzīgi XD.

P.S: Šo konkrēto rakstu pieprasīja drauga brālēna XD kaimiņš, es ceru, ka esmu atrisinājis jūsu šaubas ... 😀