Права Доступа

Размышления на тему: Права Доступа

........"мир" - число. Пифагор

В Unix каждому файлу соответствует набор прав доступа, представленный в виде 9-ти битов режима,(восьмеричную запись которых можно увидеть в виде 3-х цифр по правилам двоичного кодирования этих восмеричных цифр) Он определяет, какие пользователи имеют право читать файл, записывать в него данные или выполнять его. Вместе с другими тремя битами, влияющими на запуск исполняемых файлов, этот набор образует код режима доступа к файлу. Двенадцать битов режима хранятся в 16-битовом поле индексного дескриптора вместе с 4-мя дополнительными битами, определяющими тип файла. Последние 4 бита устанавливаются при создании файлов и не подлежат изменению. Биты режима (далее права) могут изменяться либо владельцем файла, либо суперпользователем с помощью команды chmod.

Существует "три пути" управления доступом к файлу или каталогу. Было определено, что каждый файл должен иметь:

владельца (owner),
группового владельца (group owner),
остальные пользователи (everyone).

Эти названия обычно приводятся как: пользователь/группа/остальные (user/group/others) или коротко ugo. Реализация управления доступом к файлам и каталогам в Unix позволяет или запрещает доступ по трем флагам:

флаг чтения (Read), 4 (100) r--
флаг записи (Write), 2 (010) -w-
флаг выполнения (eXecute). 1 (001) --x

Стандартные права

Посмотреть права доступа на объекты можно командой ls c ключем -l (или более компактно ls -hog). Также можно добавить ключ -a, для того,чтобы были отображены скрытые объекты:

[root@arch-v]# ~ ls

итого 24

-rw-r--r-- 1 root root 31 окт 28 12:14 crontab

drwxr-xr-x 2 root root 4096 ноя 25 15:03 Desktop/

drwxrwxrwx 2 root root 4096 ноя 30 20:34 Mail/

-rw-r--r-- 1 root root 11 май 30 2014 octave-workspace

-rw------- 1 root root 19 окт 21 21:48

-rw------- 1 root root 195 май 30 2014 text1

В листинге выше используются буквенные обозначения прав (т.н. маска режима доступа), но используютcя, при назначении прав, чаще цифровые обозначения в восьмеричном представлении. Рассмотрим таблицу восьмеричного, бинарного и символьного сопоставлений. Для назначения обычных прав используются три восьмеричных цифры (9 битов).

Первая цифра определяет -права для владельца файла,

Вторая - права для основной группы пользователя,

Третья - для всех остальных пользователей.

Так, например, чтобы задать права на файл всем и вся, нужно установить права : 777 (rwxrwxrwx).

Существуют также специальные биты или флаги что тождественно слову бит, то есть да или нет 0 или 1, такие как SUID, SGID и Sticky-бит. Идея, лежащая в основе применения бита SUID, состоит в том, что пользователь, запустивший программу, для которой владелец установил бит SUID, на время выполнения программы получает все права ее владельца. Если, например, администратор создал сценарий и установил для него бит SUID, а другой пользователь запускает этот сценарий, привилегии администратора на время выполнения сценария переходят к пользователю. Тот же принцип применим и к биту SGID, только в данном случае меняются привилегии группы, владеющей сценарием. При их применении необходимо использовать не три восьмеричных цифры, а 4. Зачастую, в различной технической литературе права обозначаются именно 4-мя цифрами, например 0744, что конечно верно и более полно (во всяком случае) Пример:

Для первой строки:

Первый символ (флаг) пустой: » - » - для файлов.
Следующие три символа (rw-) обозначают права для владельца файла, в данном случае (права на чтение и запись,см таб выше, т.е 110=6)
Следующие три (r - -) - определяют права для группы root, в нашем примере для всех пользователей группы root право на чтение.(т.е 100=4)
Последние три символа (r - -) определяют права для всех остальных пользователей, в нашем случае анологично предыдущему. (т.е 100=4)

Восьмеричное обозначение прав для файла : 0644. — стандартный режим доступа для файлов создаваемых системой по средствам umask (666 - 022 = 644) о чем ниже.

----------------------------------------------------------

-rw-r--r-- 1 root root 31 окт 28 12:14 crontab

drwxr-xr-x 2 root root 4096 ноя 25 15:03 Desktop/

drwxrwxrwx 2 root root 4096 ноя 30 20:34 Mail

----------------------------------------------------------

Для второй строки: (это каталог, о чем свидетельствует флаг «d»), по аналогии:

Для владельца каталога root - полные права (rwx).

Для группы root - права только на листинг каталога (r-x).

Для пользователя «все остальные» - права только на листинг каталога (r-x).

Восьмеричное обозначение в этом примере: 0755

Другое прочтение того-же самого

Права доступа и информация о типе файла в UNIX-системах хранятся в индексных дескрипторах в отдельной структуре, состоящей из двух байтов, т. е. из 16 бит .

Четыре бита из этих 16-ти отведены для кодированной записи о типе файла, определяет тип файла и устанавливаются при создании (более внятно см."индексные дискрипторы") Следующие три бита задают особые свойства исполняемых файлов (suid=4000,sgid=2000,t=1000,) и, наконец, оставшиеся 9 бит определяют права доступа к файлу. Эти 9 бит разделяются на 3 группы по три бита.

первые три бита задают - права пользователя,
следующие три бита - права группы,
последние 3 бита определяют права всех остальных пользователей (т. е. всех пользователей, за исключением владельца файла и группы файла).

При этом, если соответствующий бит имеет значение 1, то право предоставляется, а если он равен Ø, то право не предоставляется. В символьной форме записи прав единица заменяется соответствующим символом (r, w или x), а Ø представляется прочерком. Без понимания устройства и работы файловой системы (подсистемы), не возможно полное понимание прав в UNIX. (подробнее тут и тут , и тут)

Право на чтение (r) файла означает, что пользователь может просматривать содержимое файла с помощью различных команд просмотра, например, командой more или с помощью любого текстового редактора. Но, подредактировав содержимое файла в текстовом редакторе, вы не сможете сохранить изменения в файле на диске, если не имеете права на запись (w) в этот файл. Право на выполнение (x) означает, что вы можете загрузить файл в память и попытаться запустить его на выполнение как исполняемую программу.

Конечно, если в действительности файл не является программой (или скриптом shell), то запустить этот файл на выполнение не удастся, но, с другой стороны, даже если файл действительно является программой, но право на выполнение для него не установлено, то он тоже не запустится.

По отношению к каталогам трактовка понятий "право на чтение", "право на запись" и "право на выполнение" несколько изменяется. Право на чтение по отношению к каталогам легко понять, если вспомнить, что каталог — это просто файл, содержащий список файлов в данном каталоге.Следовательно, если вы имеете право на чтение каталога, то вы можете просматривать его содержимое (этот самый список файлов в каталоге).

Право на запись тоже понятно — имея такое право, вы сможете создавать и удалять файлы в этом каталоге, т. е. просто добавлять в каталог или удалять из него запись, содержащую имя какого-то файла и соответствующие ссылки.

Право на выполнение интуитивно менее понятно. Оно в данном случае означает право переходить в этот каталог. Если вы, как владелец, хотите дать доступ другим пользователям на просмотр какого-то файла в своем каталоге, вы должны дать им право доступа в каталог, т. е. дать им "право на выполнение каталога".

Более того, надо дать пользователю право на выполнение для всех каталогов, стоящих в дереве выше данного каталога. Поэтому в принципе для всех каталогов по умолчанию устанавливается право на выполнение как для владельца и группы, так и для всех остальных пользователей. И, уж если вы хотите закрыть доступ в каталог, то лишите всех пользователей (включая группу) права входить в этот каталог. Только не лишайте и себя такого права, а то придется обращаться к суперпользователю!

После прочтения предыдущего абзаца может показаться, что право на чтение каталога не дает ничего нового по сравнению с правом на выполнение. Однако разница в этих правах все же есть. Если задать только право на выполнение, вы сможете войти в каталог, но не увидите там ни одного файла (этот эффект особенно наглядно проявляется в том случае, если вы пользуетесь каким-то файловым менеджером, например, программой Midnight Commander). Если вы имеете право доступа в каком-то из подкаталогов этого каталога, то вы можете перейти в него (командой cd), но, как говорится "вслепую", по памяти, потому что списка файлов и подкаталогов текущего каталога вы не увидите (тут).

Алгоритм проверки прав пользователя при обращении к файлу.

Система вначале проверяет, совпадает ли имя пользователя с именем владельца файла. Если эти имена совпадают (т. е. владелец обращается к своему файлу), то проверяется, имеет ли владелец соответствующее право доступа: на чтение, на запись или на выполнение . Если право такое есть, то соответствующая операция разрешается. Если же нужного права владелец не имеет, то проверка прав, предоставляемых через группу или через группу атрибутов доступа для остальных пользователей, уже даже не проверяются, а пользователю выдается сообщение о невозможности выполнения затребованного действия (обычно что-то вроде "Permission denied").Если имя пользователя, обращающегося к файлу, не совпадает с именем владельца, то система проверяет, принадлежит ли владелец к группе, которая сопоставлена данному файлу (далее будем просто называть ее группой файла). Если принадлежит, то для определения возможности доступа к файлу используются атрибуты, относящиеся к группе, а на атрибуты для владельца и всех остальных пользователей внимания не обращается. Если же пользователь не является владельцем файла и не входит в группу файла, то его права определяются атрибутами для остальных пользователей. Таким образом, третья группа атрибутов, определяющих права доступа к файлу, относится ко всем пользователям, кроме владельца файла и пользователей, входящих в группу файла.

http://citforum.ru/operating_systems/linux

chmod --->> change mode — программа для изменения прав доступа к файлам и директориям. Название происходит от программы ОС Unix chmod, которая, собственно, изменяет права доступа к файлам, директориям и символическим ссылкам. Опции:

-R рекурсивное изменение прав доступа для каталогов и их содержимого
-f не выдавать сообщения об ошибке для файлов, чьи права не могут быть изменены.
-v подробно описывать действие или отсутствие действия для каждого файла.

chmod- никогда не изменяет права на символьные ссылки. Однако, для каждой символьной ссылки, заданной в командной строке, chmod изменяет права доступа связанного с ней файла. При этом chmod игнорирует символьные ссылки, встречающиеся во время рекурсивной обработки каталогов. Аргумент команды chmod, задающий разрешения, может быть записан в двух форматах: в числовом и в символьном.

stat папка — посмотреть права доступа на папку

Как установить права доступа на запись в папку и на все подпапки и файлы:

chmod -R 755 /home/vasya

chmod 777 -Rv /media/share/

Числовые права доступа

Права доступа к файлу в Unix-подобных операционных системах могут выражаться в цифровой нотации (в восьмеричной системе счисления). Это связано с тем, что на хранение значения "каждого права" отводится бит памяти. Всего надо хранить 9 значений (три для пользователя, три для группы и три для остальных). Если "право" есть, то хранится единица, если нет, то ноль. Права записываются одной строкой сразу для трёх типов пользователей. В числовом виде файлу или каталогу устанавливаются абсолютные права ,в то же время в символьном виде можно установить отдельные права для разных типов пользователей. (тоже подробнее)

Числовая форма для прав доступа цифры - это три отдельных атрибута, запись всегда пишется в формате: RWX-->> read, write, execute, и сумма складывается.

Первая цифра используется для обозначения user владельца файла (u) user ;

Вторая цифра используется для обозначения group других пользователей, входящих в группу владельца (g) group;

Третья цифра используется для обозначения others всех прочих пользователей (o) others ;

r (read, чтение) = 4 (100)

x (execute, выполнение) = 1 (001)

w (write, запись) = 2 (010)

Три любых двоичных разряда (100 001 010) - это цифры от 0 до 7 в восьмеричной системе счисления. Поэтому права доступа трех категорий (владельца, группы, остальных) можно выражать просто как три независимых числа от 0 до 7.

7 (rwx) читать, писать, выполнять (rwx = 4 + 2 + 1 = 7) (111 = 7)

6 (rw-) читать, писать (rw- = 4 + 2 + 0 = 6) (110 = 6)

5 (r-x) читать, выполнять (r-x = 4 + 0 + 1 = 5) (101 =5)

4 (r--) читать (r-- = 4 + 0 + 0 = 4) (100 = 4)

3 (-wx) писать, выполнять (-wx = 0 + 2 + 1 = 3) (011 = 3)

2 (-w-) писать (-w- = 0 + 2 + 0 = 2) (010 =2)

1 (--x) выполнять (--x = 0 + 0 + 1 = 1) (001 = 1)

0 (---) ничего нельзя делать (--- = 0 + 0 + 0 = 0) (000 = 0)

Первая цифра – права владельца файла

Вторая цифра – права группы

Третья цифра – права всех пользователей

Таким образом, получается:

rwx = 4 + 2 + 1 = 7

rw- = 4 + 2 = 6

rwx rwx rwx = (4 + 2 + 1)(4 + 2 + 1)(4 + 2 + 1) = 777

и тд.....

Символьные права доступа

Другой способ назначения прав - это использование маски режима доступа (символьное представление). Помимо прав задается еще кому мы собираемся эти права выставлять. В символьном виде использование команды chmod позволяет более гибко добавлять, устанавливать или убирать права на файл(ы) или каталоги. Сочетание [references][operator][modes] определяют "класс доступа" , если классов доступа несколько их надо разделить запятой. $ chmod [references][operator][modes] file ...

1.References определяют пользователей, которым будут меняться права.

References определяются одной или несколькими буквами:

2.Operator определяет операцию, которую будет выполнять chmod:

3.Modes определяет какие именно права будут установлены, добавлены или удалены:

Использование символьного представления позволяет редактировать права файлов более гибко: chmod u+x,g+w-x koshki.txt

Добавить владельцу файла koshki.txt права на его выполнение, пользователям группы разрешить запись и запретить выполнение и оставить права остальных пользователей без изменений; chmod u=rwx,g+w,go-x sobaki.doc

Установить полные права для владельца файла, разрешить пользователям группы запись и запретить выполнение всем пользователям, кроме владельца файла.

Символьное назначение окажет неоценимую услугу, если требуется добавить права на объект к уже существующим правам. Наглядность символьного назначения прав более чем очевидна например:

chmod u=rwx, g=rx, o=r [файл] ---> символьная

chmod 754 [файл] ---> числовая

Не забывая разделять классы доступа запятыми.

chmod +x [файл] --->сделать файл исполняемым

Биты SUID, SGID, Sticky

Более внятное объяснение дано в "А.Робачевский-Операционная система UNIX " Unix отслеживает не символьные имена владельцев и групп, а их идентификаторы, как писалось выше:

Права доступа и информация о типе файла в UNIX-системах хранятся в индексных дескрипторах в отдельной структуре.Четыре бита из этих 16-ти отведены для кодированной записи о типе файла. Следующие три бита задают особые свойства исполняемых файлов ( suid=4000,sgid=2000,t=1000,) это и есть Биты SUID, SGID и Sticky и, наконец, оставшиеся 9 бит определяют права доступа к файлу (рассмотренные выше) В понимании прав доступа важную часть занимает понятие идентификатор пользователя

Для сопоставления имени пользователя с именем владельца системе потребуется UID - для пользователей и GID - для групп, по скольку манипуляциями с файлами занимается не пользователь, а запущенный им процесс, идентификатор пользователя - обязательное свойство любого процесса. ....подробнее тут!

UID - для пользователей /etc/passwd

GID - для групп /etc/group

реальный и эффективный пользовательский (UID)

реальный и эффективный групповой (GID).

Реальные номера применяются для учета использования системных ресурсов, а эффективные для определения прав доступа к процессам. Как правило, реальные и эффективные идентификаторы совпадают. Владелец процесса может посылать ему сигналы, а также изменять приоритет. Процесс не может явно изменить ни одного из своих четырех идентификаторов, но есть ситуации когда происходит косвенная установка новых эффективных идентификаторов процесса (косвенная, по скольку привилегии будут изменены (обычно расширены) лишь на время выполнения и только в отношении этой программы , ведь речь идет о процессе ), по средствам двух специальных битов:

SUID (Set User ID - бит смены идентификатора пользователя)

SGID (Set Group ID - бит смены идентификатора группы)

t-бит (закрепляющий бит, бит сохранения задачи)

t-бит используется только с директориями, а впервые sticky bit появился в пятой редакции UNIX в 1974 году для использования в исполняемых файлах. Он применялся для уменьшения времени загрузки наиболее часто используемых программ. После закрытия программы код и данные оставались в памяти, а следующий запуск происходил быстрее. Когда t-бит для директории не установлен, файл в данной директории может удалить любой пользователь, имеющий доступ на запись к данному файлу. Устанавливая t-бит на директорию, мы меняем это правило таким образом, что удалить файл может только владелец этого файла и root , из чего следует часто распространенное определение - "закрепляющий бит" .

Когда пользователь или процесс запускает исполняемый файл с установленным одним из этих битов, файлу временно назначаются права его (файла) владельца или группы (в зависимости от того, какой бит задан). Таким образом, пользователь может даже запускать файлы от имени суперпользователя.

Восьмеричные значения: SUID - 4000 SGID - 2000 t-бит - 1000

Как и вслучае когда суммируются значения прав: r (read, чтение) = 4 w (write, запись) = 2 x (execute, выполнение) = 1, так-же суммируются suid=4000,sgid=2000,t=1000, и читаются в первом поле числовой записи (0755 (битовая маска прав доступа к файлам содержит 4 группы по 3 бита в каждой (в данном случае Ø поскольку ни один не установлен)))

Одним словом установка битов SUID или SGID позволит пользователям запускать исполняемые файлы от имени владельца (или группы) запускаемого файла. Например, как говорилось выше, команду chmod по умолчанию может запускать только root. Если мы установим SUID на исполняемый файл/usr/bin/chmod, то обычный пользователь сможет использовать эту команду без использования sudo, так, что она будет выполнятся от имени пользователя root.

В некоторых случаях очень удобное решение. Кстати по такому принципу работает команда passwd, c помощью которой пользователь может изменить свой пароль, хозяин root, группа root, и тем не менее..., процесс, скрипт будет запущен. ****************************** Если установить SGID для каталога, то все файлы созданные в нем при запуске будут принимать идентификатор группы каталога, а не группы владельца, который создал файл в этом каталоге. Аналогично SUID. Одним словом, если пользователь поместил исполняемый файл в такой каталог, запустив его, процесс запустится от имени владельца (группы) каталога, в котором лежит этот файл, то есть опять про реальный и эффективный индефикатор пользователя, .....банальный хакерский фокус подменить идентификатор пользователя.

Установка SGID для директории приведёт к установке принадлежности каждого нового создаваемого файла к той же группе, к которой принадлежит сама директория, а не к основной группе владельца, как это происходит по умолчанию. SUID для директории не имеет смысла

Обозначаются при символьной записи буквой «s» и «t»: «rwsrwxrwx» - для SUID и «rwxrwsrwx» - для SGID и «rwxrwxrwt» - для t-бит, 4777 - 2777 - 1777 соответственно.

Устанавливаются биты SUID, SGID, Sticky стандартно с использованием chmod, по средствам добавления соответствующей цифры (4,2,1):

# chmod 4755 file-example SUID # chmod u+s file-example (-rwsr-xr-x)

# chmod 2755 file-example SGID # chmod g+s file-example (-rwxr-sr-x)

# chmod 1755 file-example Sticky # chmod +t file-example (-rwxr-xr-t)

Пример: chmod 4555 [имяфайла] «r-sr-xr-x» — все имеют право на чтение и выполнение, но запускаться файл на исполнение будет с правами владельца. Обычной практикой является установка бита sticky на каталог, будучи установленным на каталог, позволяет производить удаление файла только владельцу файла,что позволяет предотвратить удаления файлов в публичных каталогах, таких как /tmp, пользователями, не владеющими файлом.

***Примечание: Право на запись (w) даёт пользователю возможность записывать или изменять файл, а право на запись для каталога — возможность создавать новые файлы или удалять файлы из этого каталога. Если на каталоге стоит возможность записи (w), то файл внутри этого каталога можно будет удалить, даже если право на запись для него не установлено.

***Символ «t» может быть как строчная буква (t), так и прописная (T). Строчная буква отображается в том случае, если перед установкой sticky bit произвольный пользователь уже имел право на выполнение (х), а прописная (Т) — если такого права у него не было.

****Символ «s» может быть как строчная буква (s), так и прописная (S), чем предоставляется дополнительная информация об исходных установках, т.е. был ли до установки SGID установлен бит, в данном случае на выполнение (rwxrwsrwx). Если «s» строчная, то права на выполнение у группы этого файла были до установки SGID. Если (S) прописная, то группа для этого файла ранее не имела прав на выполнение до установки SGID.

$ > test; ls -l test