Дозволи та права в Linux

Скільки з нас мали потребу “обмежити доступ” до файлів, що містяться в певному каталозі / папці, або нам просто потрібно перешкодити деяким людям переглядати, видаляти або змінювати вміст певного файлу? Не одне, так? Чи можемо ми досягти цього у своєму улюбленому пінгвіні? Відповідь така: Звичайно так : Д.

Введення

Багато з нас, хто походить з Windows, звикли вирішувати цю "проблему" по-різному, для досягнення цієї мети нам доводилося вдаватися до неортодоксальних "технік", таких як приховування файлу через його атрибути, переміщення інформацію до найвіддаленішого місця нашої команди (в межах 20,000 XNUMX папок), щоб спробувати відмовити наш "ворожий" XD, змінивши або усунувши розширення файлу, або найпоширеніші практики, завантажити програму, яка дозволяє нам " закрити ”наш каталог за приємним діалоговим вікном, яке запитує у нас пароль для доступу до нього. У нас була набагато краща альтернатива? Немає.

Пов'язана стаття:

Як встановити жорсткі диски або розділи через термінал

Мені дуже шкода моїх друзів "Віндолерос" (я кажу це з великою прихильністю, щоб ніхто не образився, добре ?;)), але сьогодні я повинен трохи навчитись Windows: P, оскільки я поясню, чому ця ОС не дозволяє використовувати цю функцію.

Скільки з вас помітили, що, коли ми сидимо за комп’ютером “Windows” (навіть якщо він не наш), ми автоматично стаємо власниками всього, що містить комп’ютер (зображень, документів, програм тощо)? Що я маю на увазі? Ну, просто взявши «контроль над Windows», ми можемо копіювати, переміщувати, видаляти, створювати, відкривати або змінювати папки та файли вліво та вправо, незалежно від того, є ми «власниками» цієї інформації чи ні. Це відображає основний недолік безпеки в операційній системі, так? Ну, це все тому, що операційні системи Microsoft не були розроблені з нуля, щоб бути багатокористувацькими. Коли були випущені версії MS-DOS і деякі версії Windows, вони повністю вірили, що кінцевий користувач буде нести відповідальність за "охорону" свого відповідного комп'ютера, щоб жоден інший користувач не мав доступу до інформації, що зберігається в ньому ... стань наївним ¬ ¬. Тепер друзі WinUsers, ви вже знаєте, чому існує ця "загадка": D.

З іншого боку, GNU / Linux, будучи системою, розробленою в основному для роботи в мережі, безпека інформації, яку ми зберігаємо на своїх комп’ютерах (не кажучи вже про сервери), є фундаментальною, оскільки багато користувачів матимуть або можуть мати доступ до частини програмні ресурси (як програми, так і інформація) та апаратне забезпечення, якими управляють на цих комп’ютерах.

Тепер ми можемо зрозуміти, чому потрібна дозвільна система? Заходимо в тему;).

Пов'язана стаття:

DU: як переглянути 10 каталогів, які займають найбільше місця

У GNU / Linux дозволи або права, які можуть мати користувачі над певними файлами, що містяться в ньому, встановлюються на трьох чітко диференційованих рівнях. Ці три рівні такі:

<° Дозвіл власника.
<° Групові дозволи.
<° Дозволи решти користувачів (або їх також називають "іншими").

Щоб зрозуміти ці поняття, в мережевих системах (таких як пінгвін) завжди є фігура адміністратора, суперкористувача або кореня. Цей адміністратор відповідає за створення та видалення користувачів, а також за встановлення привілеїв, які кожен із них матиме в системі. Ці привілеї встановлюються як для каталогу HOME кожного користувача, так і для каталогів та файлів, до яких адміністратор вирішує, що користувач може отримати до них доступ.

Дозволи власника

Власник - це користувач, який генерує або створює файл / папку у своєму робочому каталозі (HOME) або в іншому каталозі, на який вони мають права. Кожен користувач має можливість створювати файли, які вони хочуть, за замовчуванням у своєму робочому каталозі. В принципі, він і тільки він буде тим, хто матиме доступ до інформації, що міститься у файлах та каталогах у його HOME каталозі.

Групові дозволи

Найбільш нормальним є те, що кожен користувач належить до робочої групи. Таким чином, коли керується групою, керується всіма користувачами, які їй належать. Іншими словами, простіше інтегрувати кількох користувачів у групу, якій надаються певні привілеї в системі, ніж привласнювати привілеї незалежно кожному користувачеві.

Дозволи решти користувачів

Нарешті, привілеї файлів, що містяться в будь-якому каталозі, можуть також мати інші користувачі, які не належать до робочої групи, в яку інтегрований відповідний файл. Тобто користувачів, які не належать до робочої групи, в якій знаходиться файл, але належать до інших робочих груп, називають іншими користувачами системи.

Дуже приємно, але як я можу все це визначити? Просто, відкрийте термінал і виконайте наступне:

$ ls -l

Примітка: це малі літери "L" 😉

З'явиться приблизно таке:

Як бачите, ця команда відображає або "перелічує" вміст мого HOME, маємо справу з червоними та зеленими лініями. Червоне поле показує нам, хто є власником, а зелене вказує, до якої групи належить кожен із перелічених вище файлів і папок. У цьому випадку і власник, і група називаються "Персей", але вони цілком могли зіткнутися з іншою групою, наприклад "продаж". В іншому, поки не хвилюйтеся, ми побачимо пізніше: D.

Типи дозволів у GNU / Linux

Перш ніж дізнатися, як встановлюються дозволи в GNU / Linux, ми повинні знати, як можна диференціювати різні типи файлів, які може мати система.

Кожен файл у GNU / Linux ідентифікується 10 символами, які називаються маска. З цих 10 символів перший (зліва направо) відноситься до типу файлу. Наступні 9, зліва направо та в блоках по 3, посилаються на дозволи, що надаються, відповідно, власнику, групі та іншим або іншим. Знімок екрана, щоб продемонструвати все це:

Перший символ файлів може бути таким:

Перепрошую	Визначте
-	Архів
d	Довідник
b	Файл спеціального блоку (спеціальні файли пристрою)
c	Файл спеціальних символів (пристрій tty, принтер ...)
l	Файл посилання або посилання (м'яке / символічне посилання)
p	Спеціальний файл каналу (труба або труба)

Наступні дев'ять символів - це дозволи, надані користувачам системи. Кожні три символи, власник, група та інші дозволи користувача посилаються.

Символи, що визначають ці дозволи, такі:

Перепрошую	Визначте
-	Без дозволу
r	Дозвіл на читання
w	Напишіть дозвіл
x	Дозвіл на виконання

Файлові дозволи

<° Читання: в основному дозволяє переглядати вміст файлу
<° Запис: дозволяє змінювати вміст файлу.
<° Виконання: дозволяє виконувати файл так, ніби це виконувана програма.

Дозволи каталогу

<° Читати: Дозволяє дізнатися, які файли та каталоги містить каталог, що має цей дозвіл.
<° Запис: дозволяє створювати файли в каталозі або звичайні файли, або нові каталоги. Ви можете видаляти каталоги, копіювати файли в каталозі, переміщувати, перейменовувати тощо.
<° Виконання: дозволяє переглядати каталог, щоб мати можливість перевірити його вміст, скопіювати файли з нього або до нього. Якщо у вас також є дозволи на читання та запис, ви можете виконувати всі можливі операції з файлами та каталогами.

Примітка: Якщо у вас немає дозволу на виконання, ми не зможемо отримати доступ до цього каталогу (навіть якщо ми використовуємо команду "cd"), оскільки ця дія буде відхилена. Це також дозволяє обмежити використання каталогу як частини шляху (як, коли ми передаємо шлях до файлу, що знаходиться в цьому каталозі, як посилання. Припустимо, ми хочемо скопіювати файл "X.ogg", який знаходиться в папці " / home / perseo / Z "-для чого папка" Z "не має дозволу на виконання-, ми зробимо наступне:

$ cp /home/perseo/Z/X.ogg /home/perseo/Y/

з цим отриманням повідомлення про помилку, яке повідомляє нам, що ми не маємо достатніх дозволів для доступу до файлу: D). Якщо дозвіл на виконання каталогу відключено, ви зможете побачити його вміст (якщо ви маєте дозвіл на читання), але ви не зможете отримати доступ до жодного з об’єктів, що містяться в ньому, оскільки цей каталог є частиною необхідного шляху вирішити місце розташування ваших об’єктів.

Управління дозволами в GNU / Linux

Наразі ми бачили, для чого призначені дозволи в GNU / Linux, нижче ми побачимо, як призначити або відняти дозволи чи права.

Перед початком ми повинні мати на увазі, що коли ми реєструємося або створюємо користувача в системі, ми автоматично надаємо йому привілеї. Звичайно, ці привілеї не будуть повними, тобто користувачі зазвичай не матимуть однакових дозволів та прав суперкористувача. Коли користувач створюється, система за замовчуванням генерує права користувача на управління файлами та управління каталогами. Очевидно, що їх може змінити адміністратор, але система генерує більш-менш діючі привілеї для більшості операцій, які кожен користувач буде виконувати в своєму каталозі, своїх файлах, а також в каталогах та файлах інших користувачів. Зазвичай це такі дозволи:

<° Для файлів: - рв-р-- r--
<° Для каталогів: - rwx rwx rwx

Примітка: вони не однакові дозволи для всіх дистрибутивів GNU / Linux.

Ці привілеї дозволяють нам створювати, копіювати та видаляти файли, створювати нові каталоги тощо. Побачимо все це на практиці: D:

Візьмемо для прикладу файл "Advanced CSS.pdf". Зверніть увагу, що це виглядає наступним чином: -рв-р--r-- ... Розширений CSS.pdf. Давайте розглянемо уважніше.

вид	користувач	Група	Інші користувачі (інші)	Ім'я файлу
-	rw-	r--	r--	Розширений CSS.pdf

Це означає що:

<° Тип: Архів
<° Користувач може: Прочитати (переглянути вміст) та записати (змінити) файл.
<° Група, до якої належить користувач, може: Прочитати (лише) файл.
<° Інші користувачі можуть: Прочитати (лише) файл.

Для тих, хто цікавиться, хто на даний момент цікавиться, на що посилаються інші поля списку, отримані за допомогою ls -l, ось відповідь:

Якщо ви хочете дізнатись більше про жорсткі та м’які / символічні посилання, ось пояснення та їх відмінності.

Ну, друзі, ми підійшли до найцікавішої та найважчої частини розглянутої теми ...

Призначення дозволу

Команда CHMOD ("Змінити режим") дозволяє модифікувати маску так, щоб можна було виконувати більшу чи меншу кількість операцій над файлами або каталогами, іншими словами, за допомогою chmod ви можете видаляти або видаляти права для кожного типу користувачів. Якщо тип користувача, якому ми хочемо видалити, встановити або призначити привілеї, не вказаний, то що буде відбуватися при виконанні операції, це впливати на всіх користувачів одночасно.

Основне, що слід пам’ятати, це те, що ми надаємо або видаляємо дозволи на таких рівнях:

Параметр	Рівень	опис
u	власник	власник файлу або каталогу
g	група	група, до якої належить файл
o	інші	всі інші користувачі, які не є власником або групою

Типи дозволів:

Перепрошую	Визначте
r	Дозвіл на читання
w	Напишіть дозвіл
x	Дозвіл на виконання

 Дайте власнику дозвіл на виконання:

$ chmod u+x komodo.sh

Видалити дозвіл на виконання з усіх користувачів:

$ chmod -x komodo.sh

Дайте дозвіл на читання та запис іншим користувачам:

$ chmod o+r+w komodo.sh

Залиште лише дозвіл на читання групі, до якої належить файл:

$ chmod g+r-w-x komodo.sh

Дозволи у вісімковому числовому форматі

Існує ще один спосіб використання команди chmod, який для багатьох користувачів є «більш зручним», хоча апріорі він дещо складніший для розуміння ¬¬.

Поєднання значень кожної групи користувачів утворює вісімкове число, біт “x” дорівнює 20, що дорівнює 1, біт w дорівнює 21, що дорівнює 2, r біт дорівнює 22, тобто 4, маємо тоді:

<° r = 4
<° w = 2
<° x = 1

Поєднання бітів увімкнення або вимкнення в кожній групі дає вісім можливих комбінацій значень, тобто суму бітів на:

Перепрошую	Восьмеричне значення	опис
- - -	0	у вас немає дозволу
- - x	1	виконувати лише дозвіл
- ш -	2	писати лише дозвіл
- wx	3	писати та виконувати дозволи
r - -	4	лише дозвіл на читання
r - x	5	читати та виконувати дозволи
rw -	6	дозволи на читання та запис
rwx	7	всі дозволи встановлюються, читаються, записуються та виконуються

Коли об’єднані дозволи користувача, групи та інших, ви отримуєте тризначне число, яке складає дозволи на файл або каталог. Приклади:

Перепрошую	доблесть	опис
rw- --- --	600	Власник має дозволи на читання та запис
rwx --х --x	711	Власник читає, пише та виконує, група та інші лише виконують
rwx rx rx	755	Власник, група та інші користувачі, які читають, пишуть та виконують, можуть читати та виконувати файл
rwx rwx rwx	777	Файл може прочитати, написати та виконати кожен
r-- --- --	400	Тільки власник може прочитати файл, але ні змінити, ні виконати його, і, звичайно, ні група, ні інші не можуть в ньому нічого зробити.
рв-р-- ---	640	Користувач-власник може читати і писати, група може читати файли, а інші не можуть нічого робити

Спеціальні дозволи

Є ще інші типи дозволів, які слід розглянути. Це біт дозволу SUID (Set User ID), біт дозволу SGID (Set Group ID) та липкий біт (sticky bit).

Сетуїд

Біт setuid можна призначити виконуваним файлам і дозволяє, коли користувач виконує згаданий файл, процес отримує дозволи власника виконаного файлу. Найяскравішим прикладом виконуваного файлу з бітом setuid є:

$ su

Ми бачимо, що біт призначається як "s" у наступному захопленні:

Щоб призначити цей біт файлу, це буде:

$ chmod u+s /bin/su

І видалити його:

$ chmod u-s /bin/su

Примітка: Ми повинні використовувати цей біт з особливою обережністю, оскільки це може спричинити ескалацію привілеїв у нашій системі ¬¬.

setgid

Біт setid дозволяє отримувати привілеї групи, присвоєної файлу, він також може призначатися каталогам. Це буде дуже корисно, коли кільком користувачам однієї групи потрібно працювати з ресурсами в одному каталозі.

Для призначення цього біта ми робимо наступне:

$ chmod g+s /carpeta_compartida

І видалити його:

$ chmod g-s /carpeta_compartida

липкий

Зазвичай цей біт призначається в каталогах, до яких мають доступ усі користувачі, і дозволяє заборонити користувачеві видаляти файли / каталоги іншого користувача в цьому каталозі, оскільки всі мають дозвіл на запис.
Ми бачимо, що біт призначається як "t" у наступному захопленні:

Для призначення цього біта ми робимо наступне:

$ chmod o+t /tmp

І видалити його:

$ chmod o-t /tmp

Ну, друзі, тепер ви знаєте, як краще захистити свою інформацію, завдяки цьому, сподіваюся, ви припините шукати альтернативи Блокування папки o Папка гвардії що в GNU / Linux вони нам зовсім не потрібні XD.

P.S: Цю статтю просив сусід двоюрідного брата друга XD, сподіваюся, я вирішив ваші сумніви ...…