Дозволи и права во Linux

 

Колкумина од нас имаа потреба да „ограничат пристап“ до датотеките содржани во одреден директориум / папка или едноставно треба да спречиме некои луѓе да ја гледаат, бришат или модифицираат содржината на одредена датотека? Повеќе од една, нели? Можеме ли да го постигнеме во нашиот сакан пингвин? Одговорот е: Се разбира да : Д.

Вовед

Многумина од нас кои доаѓаат од Виндоус, навикнавме да се справуваме со овој „проблем“ на многу поинаков начин, за да ја постигнеме оваа цел, мораше да прибегнеме кон невообичаени „техники“, како што е криење на датотеката преку нејзините атрибути, преместување на нашите информации до најоддалеченото место на нашиот тим (во рок од 20,000 XNUMX папки) за да се обидеме да го одвратиме нашиот „непријател“ XD, менувајќи или елиминирајќи ја наставката на датотеката или нај „најчестото“ практики, преземете програма што ни овозможува „ затворете го ”нашиот директориум зад убавиот дијалог прозорец што ни бара лозинка за пристап до неа. Имавме многу подобра алтернатива? Не.

Поврзана статија:

Како да монтирате HDD или партиции преку терминал

Sorryал ми е за моите пријатели „Виндолерос“ (го кажувам со голема наклонетост за никој да не се навредува, добро ?;)), но денес мора да се научам малку со Виндоус: П, бидејќи ќе објаснам зошто овој ОС не дозволува мајчин оваа функционалност.

Колкумина од вас забележале дека кога седиме зад компјутер „Виндоус“ (дури и да не е наш) автоматски стануваме сопственици на сè што содржи компјутерот (слики, документи, програми и сл.)? Што мислам? Па, едноставно со преземање на „контрола на Виндоус“, можеме да копираме, преместуваме, бришеме, создаваме, отвораме или модифицираме папки и датотеки лево и десно, без оглед дали сме „сопственици“ на овие информации или не. Ова е одраз на голем безбедносен пропуст во оперативниот систем, нели? Па, сето ова е затоа што оперативните системи на Мајкрософт не беа дизајнирани од почеток за да бидат повеќе корисници. Кога беа објавени верзиите на MS-DOS и некои верзии на Windows, тие целосно веруваа дека крајниот корисник ќе биде одговорен за „чување“ на нивниот компјутер, така што никој друг корисник нема пристап до информациите зачувани во него ... одете наивно ¬. Сега пријатели на WinUsers, веќе знаете зошто ја има оваа „мистерија“: Д.

Од друга страна, GNU / Linux, како систем дизајниран фундаментално за вмрежување, безбедноста на информациите што ги чуваме на нашите компјутери (да не ги спомнуваме серверите) е од фундаментално значење, бидејќи многу корисници ќе имаат или може да имаат пристап до дел од софтверските ресурси (и апликации и информации) и хардвер со кои се управува на овие компјутери.

Сега можеме да видиме зошто е потребно потребата од систем за дозволи? Да се ​​нурнеме во темата;).

Поврзана статија:

ДУ: како да ги видите 10-те директориуми што зафаќаат најмногу простор

Во GNU / Linux, дозволите или правата што корисниците можат да ги имаат над одредени датотеки содржани во него се утврдени во три јасно диференцирани нивоа. Овие три нивоа се како што следува:

<° Дозволи на сопственикот.
<° Групни дозволи.
<° Дозволи за остатокот од корисниците (или исто така наречени „другите“).

Да бидам јасен за овие концепти, во мрежните системи (како што е пингвинот) секогаш постои фигурата на администраторот, суперкорисникот или коренот. Овој администратор е одговорен за создавање и отстранување на корисници, како и за утврдување на привилегиите што секој од нив ќе ги има во системот. Овие привилегии се воспоставени и за директориумот HOME на секој корисник и за директориумите и датотеките до кои администраторот одлучува дека корисникот може да пристапи.

Дозволи за сопственици

Сопственикот е корисник кој генерира или создава датотека / папка во неговиот работен директориум (ДОМ), или во некој друг директориум над кој има права. Секој корисник има моќ да ги креира, по дифолт, датотеките што ги сака во нивниот работен директориум. Во принцип, тој и само тој ќе биде оној кој има пристап до информациите содржани во датотеките и директориумите во неговиот директориум HOME.

Групни дозволи

Најнормално е што секој корисник припаѓа на работна група. На овој начин, кога се управува со група, се управуваат сите корисници кои припаѓаат на неа. Со други зборови, полесно е да се интегрираат неколку корисници во група на кои им се дадени одредени привилегии во системот, отколку да се доделуваат привилегиите независно на секој корисник.

Дозволи за остатокот од корисниците

Конечно, привилегиите на датотеките содржани во кој било директориум, исто така, можат да ги имаат и други корисници кои не припаѓаат на работната група во која е интегрирана предметната датотека. Со други зборови, корисниците кои не припаѓаат на работната група во која се наоѓа датотеката, но кои припаѓаат на други работни групи, се нарекуваат други корисници на системот.

Многу убаво, но како можам да го идентификувам сето ова? Едноставно, отворете терминал и направете го следново:

$ ls -l

Забелешка: тие се мали букви "L"

Appearе се појави нешто како следново:

Како што можете да видите, оваа команда ја прикажува или ја „наведува“ содржината на мојот ДОМ, со што се занимаваме се црвените и зелените линии. Црвеното поле ни покажува кој е сопственик, а зелената кутија означува во која група спаѓаат претходно наведени датотеките и папките. Во овој случај, и сопственикот и групата се нарекуваат „Персеј“, но може да наиделе на друга група како што е „продажба“. За останатото, не грижете се за сега, ќе видиме подоцна: Д.

Видови дозволи во GNU / Linux

Пред да научиме како се поставени дозволите во GNU / Linux, мора да знаеме како може да се разликуваат различните видови датотеки што системот може да ги има.

Секоја датотека во GNU / Linux е идентификувана со 10 карактери, кои се нарекуваат маска. Од овие 10 карактери, првиот (од лево надесно) се однесува на типот на датотека. Следните 9, одлево надесно и во блокови од 3, се однесуваат на дозволите што се доделуваат, соодветно, на сопственикот, групата и останатите или други. Снимка на екранот за демонстрација на сите овие работи:

Првиот знак на датотеките може да биде следниот:

Извини ме	Идентификувајте
-	архива
d	Директориум
b	Специјална блок-датотека (специјални датотеки за уредот)
c	Датотека со специјални карактери (тти уред, печатач ...)
l	Датотека за врска или врска (мека / симболична врска)
p	Канал специјална датотека (цевка или цевка)

 

Следните девет знаци се дозволите доделени на корисниците на системот. Се повикуваат на секои три знаци, сопственикот, групата и другите дозволи на корисникот.

Ликовите што ги дефинираат овие дозволи се следниве:

Извини ме	Идентификувајте
-	Без дозвола
r	Прочитајте ја дозволата
w	Дозвола за пишување
x	Дозвола за извршување

 

Дозволи за датотеки

<° Читање: во основа ви овозможува да ја видите содржината на датотеката.
<° Напиши: ви овозможува да ја менувате содржината на датотеката.
<° Извршување: дозволува датотеката да се изврши како да е извршна програма.

Дозволи за директориум

<° Прочитајте: Ви овозможува да знаете кои датотеки и директориуми ги содржи директориумот што ја има оваа дозвола.
<° Напиши: ви овозможува да креирате датотеки во директориумот, или обични датотеки или нови директориуми. Можете да избришете директориуми, да копирате датотеки во директориумот, да преместувате, да преименувате итн.
<° Извршување: ви овозможува да го прелистувате директориумот за да можете да ја испитате неговата содржина, да копирате датотеки од или во него. Ако имате дозволи за читање и пишување, можете да ги извршите сите можни операции на датотеки и директориуми.

Забелешка: Ако немате дозвола за извршување, нема да можеме да пристапиме до тој директориум (дури и ако ја користиме командата "cd"), бидејќи ова дејство ќе биде одбиено. Исто така, ви овозможува да ја ограничите употребата на директориум како дел од патека (како кога ја пренесуваме патеката на датотеката што е во тој директориум како референца. Да претпоставиме дека сакаме да ја копираме датотеката "X.ogg" што е во папката " / home / perseo / Z ”-за која папката“ Z ”нема дозвола за извршување-, би го сториле следново:

$ cp /home/perseo/Z/X.ogg /home/perseo/Y/

со ова добивање порака за грешка која ни кажува дека немаме доволно дозволи за пристап до датотеката: D). Ако дозволата за извршување на директориумот е деактивирана, ќе можете да ја видите неговата содржина (ако сте прочитале дозвола), но нема да имате пристап до ниту еден од предметите содржани во него, бидејќи овој директориум е дел од потребната патека да ја решите локацијата на вашите предмети.

Управување со дозволи во GNU / Linux

Досега видовме што прават дозволите во GNU / Linux, подолу ќе видиме како да доделуваме или одземаме дозволи или права.

Пред да започнеме, мора да имаме предвид дека кога регистрираме или создаваме корисник во системот, автоматски им даваме привилегии. Овие привилегии, се разбира, нема да бидат тотални, односно корисниците вообичаено нема да ги имаат истите дозволи и права како суперкорисникот. Кога корисникот е креиран, системот генерира стандардно кориснички привилегии за управување со датотеки и управување со директориумот. Очигледно, овие можат да бидат изменети од администраторот, но системот генерира повеќе или помалку валидни привилегии за повеќето од операциите што секој корисник ќе ги изврши на својот директориум, нивните датотеки и на директориумите и датотеките на другите корисници. Овие се генерално следниве дозволи:

<° За датотеки: - rw-r-- r--
<° За директориуми: - RWX RWX RWX

Забелешка: тие не се исти дозволи за сите дистрибуции на GNU / Linux.

Овие привилегии ни овозможуваат да креираме, копираме и бришеме датотеки, да создаваме нови директориуми итн. Да го видиме сето ова во пракса: D:

Да ја земеме датотеката "Advanced CSS.pdf" како пример. Да наб obserудуваме дека се појавува на следниов начин: -rw-r--r-- … Напредно CSS.pdf. Да разгледаме подетално.

Тип	корисникот	Група	Останати корисници (други)	Име на датотека
-	rw-	r--	r--	Напредно CSS.pdf

 

Ова значи дека:

<° Тип: архива
<° Корисникот може: Прочитајте (прегледајте ја содржината) и напишете ја (изменете ја) датотеката.
<° Групата на која припаѓа корисникот може: Прочитајте ја (само) датотеката.
<° Другите корисници можат: Прочитајте ја (само) датотеката.

За оние curубопитни кои во моментот се прашуваат на што се однесуваат другите полиња од списокот добиен од ls -l, еве го одговорот:

Ако сакате да дознаете повеќе за тврдите и меки / симболични врски, овде објаснувањето и нивните разлики.

Па пријатели, дојдовме до најинтересниот и најтешкиот дел од предметната тема ...

Доделување дозвола

Командата chmod („Измени режим“) овозможува менување на маската така што повеќе или помалку операции можат да се вршат на датотеки или директориуми, со други зборови, со chmod може да ги отстраните или отстраните правата за секој вид на корисник. Ако не е наведен типот на корисник на кого сакаме да му ги отстраниме, ставиме или доделиме привилегиите, што ќе се случи при извршување на операцијата е истовремено да влијае на сите корисници.

Основното нешто што треба да се запамети е дека даваме или отстрануваме дозволи на овие нивоа:

Параметар	Ниво	опис
u	сопственик	сопственик на датотеката или директориумот
g	група	група на која и припаѓа датотеката
o	други	сите други корисници кои не се сопственик или група

 

Видови на дозволи:

Извини ме	Идентификувајте
r	Прочитајте ја дозволата
w	Дозвола за пишување
x	Дозвола за извршување

 

 Дајте му на сопственикот дозвола да изврши:

$ chmod u+x komodo.sh

Отстранете ја дозволата за извршување од сите корисници:

$ chmod -x komodo.sh

Дајте дозвола за читање и пишување на други корисници:

$ chmod o+r+w komodo.sh

Оставете дозвола за читање само на групата на која и припаѓа датотеката:

$ chmod g+r-w-x komodo.sh

Дозволи во октален нумерички формат

Постои уште еден начин на користење на командата chmod која, за многу корисници, е „поудобна“, иако априори е нешто посложено да се разбере.

Комбинацијата на вредности на секоја група корисници формира октален број, битот „x“ е 20 што е 1, битот w е 21 што е 2, битот r е 22 што е 4, тогаш имаме:

<° r = 4
<° w = 2
<° x = 1

Комбинацијата на битови вклучена или исклучена во секоја група дава осум можни комбинации на вредности, односно збирот на битовите вклучени:

Извини ме	Октална вредност	опис
- - -	0	немате никаква дозвола
- - x	1	извршете само дозвола
- w -	2	дозвола за пишување само
- wx	3	напишете и извршете дозволи
r - -	4	само за читање дозвола
r - x	5	читајте и извршувајте дозволи
rw -	6	дозволи за читање и пишување
RWX	7	сите дозволи се поставуваат, читаат, пишуваат и извршуваат

 

Кога корисникот, групата и другите дозволи се комбинираат, добивате трицифрен број што ги сочинува дозволите за датотека или директориум. Примери:

Извини ме	Валона	опис
rw- --- --	600	Сопственикот прочитал и пишува дозволи
RWX --x --x	711	Сопственикот чита, пишува и извршува, групата и другите само извршуваат
rwx rx rx	755	Читањето, пишувањето и извршувањето на сопственикот, групата и другите можат да ја читаат и извршуваат датотеката
RWX RWX RWX	777	Датотеката може да ја чита, пишува и извршува секој
r-- --- --	400	Само сопственикот може да ја прочита датотеката, но ниту тој може да ја измени или изврши и секако ниту групата ниту другите не можат да сторат ништо во неа.
rw-r-- ---	640	Корисникот може да чита и пишува, групата може да чита датотека и другите не можат да сторат ништо

 

Специјални дозволи

Сè уште има други видови дозволи што треба да се разгледаат. Ова се битот за дозвола на SUID (Поставете кориснички ID), битот за дозвола на SGID (поставете го ID на групата) и лепливиот бит (леплив бит).

сетјуид

Поставуваниот бит е доделен на извршни датотеки и дозволува кога корисникот ја извршува наведената датотека, процесот ги стекнува дозволите на сопственикот на извршената датотека. Најјасен пример за извршна датотека со подесниот бит е:

$ su

Можеме да видиме дека битот е доделен како „s“ во следното снимање:

Да го доделите овој бит на датотека, тоа ќе биде:

$ chmod u+s /bin/su

И да го отстранам:

$ chmod u-s /bin/su

Забелешка: Овој бит мора да го користиме со исклучително внимание бидејќи може да предизвика ескалација на привилегиите во нашиот систем.

наместен

Седниот бит овозможува да се здобијат со привилегии на групата доделена на датотеката, тој е доделен и на директориумите. Ова ќе биде многу корисно кога неколку корисници од иста група треба да работат со ресурси во истиот директориум.

За да го доделиме овој бит, го правиме следново:

$ chmod g+s /carpeta_compartida

И да го отстранам:

$ chmod g-s /carpeta_compartida

леплива

Овој бит обично е доделен во директориумите до кои имаат пристап сите корисници и овозможува да се спречи корисникот да брише датотеки / директориуми на друг корисник во тој директориум, бидејќи сите имаат дозвола за пишување.
Можеме да видиме дека битот е доделен како „т“ во следното снимање:

За да го доделиме овој бит, го правиме следново:

$ chmod o+t /tmp

И да го отстранам:

$ chmod o-t /tmp

Па пријатели, сега знаете како подобро да ги заштитите вашите информации, со ова се надевам дека ќе престанете да барате алтернативи за Заклучување на папката o Чувар на папки дека во GNU / Linux воопшто не ни требаат XD.

ПД: Овој напис е побаран од соседот на братучед на пријател XD, се надевам дека ги решив вашите сомнежи ...