1 Dateisystem und Zugriffsrechte

Transkript

1 Dateisystem und Zugriffsrechte 1 Dateisystem und Zugriffsrechte Sie kennen inzwischen die Struktur des UNIX-Dateibaums und die grundlegenden Befehle zur Verwaltung von Dateien und Directories. Dieses Kapitel vermittelt einen etwas tieferen Einblick in das Konzept der Dateiverwaltung unter UNIX. Insbesondere geht es um Dateiattribute, die Befehle, sie zu ändern und um die genauere Wirkungsweise schon bekannter Befehle. In diesem Kapitel lernen Sie den internen Aufbau von Directories. die Wirkungsweise von Befehlen, die Dateien und Directories bearbeiten. das Konzept der Zugriffsrechte unter UNIX. Zugriffsrechte von Dateien zu ändern. Verknüpfungen (Links) zu erstellen. im Dateibaum nach Dateien zu suchen. 10

2 1.1 Attribute einer Datei 1.1 Attribute einer Datei Die Attribute einer Datei beschreiben ihre Größe, die Eigentumsverhältnisse, den Dateityp sowie einige weitere Eigenschaften, die im Folgenden beschrieben werden Dateiattribute im Überblick Z Der Befehl ls-lisa listet die wichtigsten Dateiattribute: rw-r--r-- 1 lustig seminar 920 Mar 19 12:45 obelix rw-r--r-- 1 lustig seminar 367 Mar 20 08:13 idefix Dateiname letzte Modifikation Dateigröße in Bytes Gruppenzugehörigkeit Eigentümer Referenzzähler (Linkcount) Zugriffsrechte Dateityp Größe in Blöcken Inodenummer Hinweis: Die tatsächliche Größe der Blöcke ist abhängig vom Dateisystemtyp und kann im Falle von ext2 1024, 2048 oder 4096 Bytes (auf Alpha-Systemen auch 8192 Bytes) betragen. Die Größe der von ls angezeigte Blöcke ist davon unabhängig und beträgt meist 1024 Bytes. 11

3 Dateisystem und Zugriffsrechte Wichtige Optionen des Befehls ls Option Angezeigte Dateiattribute -l Dateiart, Zugriffsrechte, Referenzzähler, Besitzer, Größe in Bytes, Modifikationsdatum(long) -i Inode-Nummer (Adresse einer Datei auf der Partition) -s Größe in Blöcken(size) -d Bei Directories: Angezeigt werden die Attribute des Directories selbst, nicht dessen Inhalt -a Angezeigt werden auch Dateien, die mit einem Punkt beginnen (versteckte Dateien) -R Angezeigt werden auch Unterverzeichnisse(rekursiv) Gruppe und Eigentümer Jedem Benutzer wird unter UNIX in der Datei/etc/passwd Folgendes zugeordnet: Eine Benutzernummer (UID) Eine primäre Gruppennummer (GID) In einer Gruppe können mehrere Benutzer zusammengefasst werden. Jeder Benutzer kann Mitglied mehrerer Gruppen sein. Der Zugriff auf eine Datei ist wie folgt geregelt: 12

4 1.1 Attribute einer Datei Das Zugriffsverfahren für Datei/Verzeichnisrechte angemeldeter Benutzer gleich Eigentümer? Ja user Rechte Nein angemeldeter Benutzer in Dateigruppe? Ja group Rechte Nein other Rechte (Weltrechte) Derjenige, der auf eine Datei oder ein Verzeichnis zugreift, kann drei verschiedene Arten von Rechten bekommen: die Benutzerrechte (oder Eigentümerrechte), das sind die weitreichendsten Rechte die Gruppenrechte, wie auch immer sie bei der Datei/dem Verzeichnis gesetzt sind die Weltrechte, die für alle gelten, die nicht in eine der beiden obigen Klassen fallen In der Datei /etc/group wird die sekundäre Gruppenzugehörigkeit festgelegt. Dort wird für jede Gruppe eingetragen, welcher Benutzer Mitglied ist. Außerdem wird in dieser Datei für jede Gruppen-ID ein Name definiert. Hier unterscheiden sich die verschiedenen UNIX-Systeme. Während die meisten Derivate wie auch Linux die Mitgliedschaft zu allen Gruppen gleichzeitig erfassen, kann bei HP-UX oder SCO ein Benutzer zu einer bestimmten Zeit nur Mitglied einer Gruppe sein. Ist bei letzteren Systemen ein Benutzer in mehreren Gruppen eingetragen, so kann er alternativ in jeweils einer dieser Gruppen Mitglied sein. Seine aktuelle Gruppenzugehörigkeit, die auch angibt, welcher Gruppe neu angelegte Dateien zugeordnet werden, kann er mit dem Befehl newgrp gruppe 13

5 Dateisystem und Zugriffsrechte ändern. Auf den meisten Derivaten kann nur der Superuser den Eigentümer einer Datei mit dem Befehl chown [-R] user[:gruppe] datei(en) ändern. Auf HP-UX und SCO darf dieser Befehl auch vom Eigentümer einer Datei ausgeführt werden. Die Option -R bewirkt die rekursive Anwendung auf alle Dateien und Subdirectories unter einem angegebenen Directory. Beispiel: Alle Dateien unter lustig s Homedirectory sollen zweifelsfrei ihm gehö- ren: $ chown -R lustig ~lustig Gruppenzugehörigkeit einer Datei ändern Der Eigentümer einer Datei kann diese Datei einer neuen Gruppe zuordnen, falls er Mitglied dieser Gruppe ist. Syntax: chgrp [-R] Gruppe Datei(en) Auch hier existiert die Option -R zur rekursiven Anwendung auf alle Dateien und Subdirectories unter einem angegebenen Directory. Beispiel: Ändern der Gruppenzugehörigkeit einer Datei: # chgrp finanzen testdatei 1.2 Zugriffsrechte Unter UNIX werden beim Zugriff auf Dateien folgende drei Klassen von Benutzern unterschieden: u user: der Eigentümer der Datei g group: Mitglied der Gruppe, der die Datei gehört 14

6 1.2 Zugriffsrechte o others: alle anderen Benutzer, nicht Eigentümer, nicht Gruppenmitglied Für jede dieser drei Benutzerklassen werden drei verschiedene Arten des Zugriffs auf Dateien und Directories unterschieden: r Lesender Zugriff (read) w Schreibender Zugriff (write) x Ausführender Zugriff (execute) Beim Versuch, auf eine Datei zuzugreifen, wird Folgendes überprüft: Wie die Art des Zugriffs ist (lesend, schreibend, ausführend) Welcher Benutzerklasse ein zugreifender Prozess bezüglich der Datei angehört Ob der Zugriff für diese Klasse gestattet ist Entsprechend dieser Auswertung wird der Zugriff entweder gestattet oder die Fehlermeldung permission denied ausgegeben. Die Bedeutung der Zugriffsrechte richtet sich danach, ob es sich um eine Datei, um eindirectory oderum eingeräthandelt. 1 Bedeutung der Zugriffsrechte für verschiedene Dateiarten Dateiart read write execute Normale Datei Lesen und Kopieren Ändern des Dateiinhalts Programmcode ausführen Directory Dateinamen der enthaltenen Dateien sichtbar Gerätedatei Vom Gerät lesen Anlegen und Löschen von Dateien (falls gleichzeitig x gesetzt ist) Auf das Gerät schreiben cd in ein Directory, Pfad durchlaufen. Auf enthaltene Dateien (oder deren Attribute) zugreifen Dateiname1 I-Node-Nr-Datei1 1 Dateiname2 I-Node-Nr-Datei2 ImKernel isteinverzeichnis eine simpletabelle der Gestalt: Dateiname3 I-Node-Nr-Datei Währen das r-recht des Directories die linke Spalte sichtbar macht, macht das x-recht die rechte Spalte sichtbar; letzteres bedeutet also, dass auf die I-Node, die ja alle Dateiattribute außer dem Namen enthält, zugegriffen werden darf. Da bei dem Löschen einer Datei auch die I-Node verändert bzw. gelöscht wird, sind also zum Löschen einer Datei sowohl das w- als auch das x-recht auf das die Datei enthaltende Verzeichnis notwendig. 15

7 Dateisystem und Zugriffsrechte Ändern der Zugriffsrechte chmod Die Zugriffsrechte einer Datei können, wie folgt, geändert werden: Mit symbolischen Werten Mit einer Oktalzahl Zugriffsrechte in symbolischer Notation ändern Der Befehl für die symbolische Schreibweise lautet: Syntax: chmod [-R] Zugriffsrechte Datei(en) Die Option -R bewirkt rekursive Änderung aller Dateien, ab einem angegebenen Directory. Die Zugriffsrechte werden durch drei Parameter spezifiziert: Benutzerklasse: u,g,o,a (all) Art der Veränderung: + Recht hinzufügen - Rechtentziehen = Recht explizit setzen Zugriffsrecht: r,w,x Beispiele: 1. chmod o+r datei Alle erhalten zusätzlich das Recht zum Lesen 2. chmod g=x datei Gruppe erhält nur das Recht zum Ausführen 3. chmod go-wx datei Gruppe und allen anderen wird das Recht zum Schreiben und Ausführen entzogen Zugriffsrechte mit Oktalzahl ändern JedemRecht(r,w,x)isteinoktaler Wert zugeordnet(4,2,1).fürjedeklassewirddie Summe der gewährten Rechte angegeben. Das heißt, für jede der drei Benutzerklassen wird eine Zahl zwischen 0 und 7 angegeben, die definiert, welche Rechte für diese Benutzerklasse gesetzt sind. Der Befehl lautet: 16

8 1.2 Zugriffsrechte Syntax: chmod [-R] Oktalzahl datei(en) Zugriffsmaske in oktaler Schreibweise Benutzerklasse user group others Zugriffsrecht r w x r w x r w x oktaler Wert chmod 750 datei r w x r - x chmod 644 datei r w - r - - r Beispiele: 1. Ändern der Zugriffsrechte des Homedirectories auf Standardwert : $ chmod 755 ~ 2. Ändern der Rechte aller darin befindlichen Dateien(und Verzeichnisse) auf 640: $ chmod 640 ~/* Einstellen der Standard-Schutzmaske umask Jede neue Datei wird mit einer Standard-Schutzmaske versehen. Diese kann mit dem Befehl umask gesetzt werden. Syntax: umask Zugriffsrechte Dabei werden die Zugriffsrechte spezifiziert, die bei der Dateierzeugung ausgeblendet, d.h., nicht gewährt werden sollen. Diese können in symbolischer oder oktaler Notation angegeben werden. Der typische Befehl zur Einstellung der Schutzmaske, wie er oft in /etc/profile vereinbart ist, ist umask

9 Dateisystem und Zugriffsrechte Standard Schutzmaske umask am Beispiel umask 027 Voreinstellung umask 027 Ergebnis Voreinstellung umask 027 Ergebnis Verzeichnisse user group others r w x r w x r w x w r w x r w x r x Dateien user group others r w r w r w w r w x r w r Erläuterung Der Benutzerklasse group wird durch umask der schreibende Zugriff entzogen, others erhalten keinerlei Rechte mehr. Das heißt, einer neu erstellten normalen Datei werden die Zugriffsrechte 640 zugewiesen. Hinweis: Die Zugriffswerte einer neuen Datei bestimmen sich nicht alleine durch den Wert derumask. Es spielt außerdem eine Rolle, wie die Datei erzeugt wird (cp,vi, etc.) Sonderrechte: Die SUID/SGID-Bits In bestimmten Situationen kommt es vor, dass ein ganz normaler Benutzer innerhalb bestimmter Grenzen Sonderrechte braucht. Nehmen wir zum Beispiel die Änderung eines Benutzerpassworts mit dem Befehl passwd. Ein normaler Benutzer darf diesen Befehl ausführen, und doch ändert dieser Befehl einen Eintrag in der Datei /etc/shadow, die etwa mit folgenden Rechten versehen ist: -rw-r root root 1092 Sep 1 17:44 /etc/shadow Das heißt, nur der Systemverwalter als Eigentümer dieser Datei hat die Befugnis in dieser Datei etwas zu verändern; er hat sich zwar kein Schreibrecht eingeräumt, jedoch kann er als Eigentümer jederzeit ein Schreiben erzwingen. Wie ist es nun möglich, dass ein ganz normaler Benutzer in diese offenbar so wichtige und unter Verschluss gehaltene Datei schreiben kann? Genau dadurch, dass ihn das passwd-kommando während seiner Ausführung und im Rahmen der Möglichkeiten 18

10 1.2 Zugriffsrechte dieses Programms in den Systemverwalter verwandelt. Dies wird durch das SUID-Bit veranlasst: -rwsr-xr-x 1 root root Feb /usr/bin/passwd Da dieses Programm nun für alle Benutzer ausführbar ist, und der Eigentümer dieses Programms der Systemverwalter ist, verwandelt sich somit jeder, der dieses Programm ausführt, in den Eigentümer, der ja in unserem Beispiel der Systemverwalter ist. Natürlich birgt ein solches Vorgehen auch Risiken. Nehmen wir einmal an, ein solches SUID-Programm hat einen Programmfehler, mit dem es unter gewissen Umständen etwa mit nicht vorhergesehenen Benutzereingaben möglich wird, mehr zu tun, als ursprünglich geplant. Dann hat dieses Programm ein Sicherheitsloch, dass im Extremfall allen Benutzern root-zugriff auf den Rechner verschaffen kann. Ganz ähnlich wie das Set-User-ID-Bit funktioniert das Set-Group-ID-Bit (SGID- Bit). Anstatt der Benutzeridentität nimmt der Aufrufende zeitweise die entsprechende Gruppenidentität an. Diese Bits setzt man mit folgenden Kommandos: Die SUID und SGID Bits Verleihen dem Aufrufenden eines Programms: die effektive UID des Programmeigentümers (=EU ID): chmod u+s Programm die effektive GID der Programmgruppe (=EGID): chmod g+s Programm Wirken nur während Ausführung des Programms Bedeutung des SGID Bits für Verzeichnisse: Alle neu angelegten Dateien erben GID des Vz. Unterverzeichnisse erben GID und SGID Bit chmod g+s Verzeichnis Anzeige im Longlisting: rwsr sr x SUID SGID Eine besondere Bedeutung hat das SGID-Bit, wenn es bei Verzeichnissen gesetzt ist. Dann erbt jede, in so einem Verzeichnis angelegte Datei, die Gruppenzugehörigkeit eben dieses Verzeichnisses. Wird gar ein Unterverzeichnis angelegt, so erbt dieses sowohl die Gruppenzugehörigkeit als auch das SGID-Bit vom übergeordneten Verzeichnis. 19