Rechteverwaltung unter Unix/Linux

Transkript

1 Kurzskript zum Thema: Rechteverwaltung unter Unix/Linux Silvio Chemnitz Lars Oergel 9. November 2012 Inhaltsverzeichnis Zugriffsrechte 2 Grundlagen der Rechteverwaltung Dateien Verzeichnisse Der chmod-befehl

2 EDV 1 Unix Grundlagen: Zugriffsrechte Silvio Chemnitz, Lars Oergel 2 Zugriffsrechte Jede Datei und jedes Verzeichnis in einem Unix Dateisystem ist mit Zugriffsinformationen versehen, die kontrollieren, welche Benutzer bestimmte Aktionen durchführen dürfen und welche nicht. Warum eine solche Maßnahme erforderlich ist, soll im Folgenden kurz erläutert werden. Bei uns am Fachgebiet Numerische Fluidsystemdynamik am Institut für Strömungsmechanik und Technische Akustik ist jeder Arbeitsplatzrechner über ein Netzwerk - dieses besteht aus einer Reihe von Teilnetzen - mit anderen Rechnern verbunden. Speziell der PC-Pool welcher aus 31 Arbeitsplatzrechnern besteht, bildet ein eigenes Subnetz im großen Institutsnetzwerk (derzeit umfasst es etwa 270 Hosts). Die Verbindung der Rechner untereinander und die ausgeprägte multi-user Eigenschaft von Linux, ermöglichen es jedem Benutzer des PC-Pools, sich nach Belieben auf anderen Rechnern des Pools einzuloggen und auf diesen zu arbeiten. Offensichtlich entstehen durch diese Annehmlichkeit auch eine Reihe von Problemen bzgl. der Sicherheit der eigenen Daten. Um zu verhindern, dass die eigenen Daten (z.b. Hausaufgaben) von Fremden gelesen,verändert, oder gar gelöscht werden, ist es unumgänglich Zugriffseinschränkungen vorzunehmen. Diese Problematik wird als Rechteverwaltung bezeichnet. Grundlagen der Rechteverwaltung Grundsätzlich werden bei der Rechtevergabe im Unix Dateisystem immer drei verschiedene Personen bzw. Personengruppen betrachtet: Der Eigentümer der Datei oder des Verzeichnisses (das ist der Erschaffer ), eine bestimmte Benutzergruppe, der die Datei oder das Verzeichnis zugewiesen wurde 1 und der Rest der Welt. Jeder dieser drei Personen/-gruppen können nun bestimmte Rechte gewährt oder entzogen werden. Der ls -l Befehl gibt die sog. r-, w- und x Rechte für jede der drei Gruppen aus. -rw-r--r-- 1 amerkel studi 1756 Aug 27 05:37 bsp.txt \ /\ /\ / Zeitpunkt letzte Änderung Dateigröße Gruppenzugehörigkeit(groups) der Datei Besitzer(user) der Datei "others"-rechte "groups"-rechte "user"-rechte Angabe des Dateityps 1 Wenn der Erschaffer nur Mitglied einer einzigen Benutzergruppe ist, ist die Gruppenzugehörigkeit klar, ansonsten kann sich der Benutzer aussuchen, welcher Benutzergruppe eine Datei oder ein Verzeichnis zugewiesen sein soll.

3 EDV 1 Unix Grundlagen: Zugriffsrechte Silvio Chemnitz, Lars Oergel 3 Exkurs zum Prompt (engl. abfragen, auffordern): Das $ in der ersten Zeile des obigen Beispiels steht für den sogenannten Prompt, der je nach Systemkonfiguration und Benutzer anders aussehen kann. Er markiert den Bereich in einem Eingabefenster, an welchem sich der Cursor befindet. Bei uns sieht der Prompt meist so aus: rechnername:/home/user> und enthält die Angabe des Rechnernamens und den Pfad des aktuellen Arbeitsverzeichnisses. Nachdem der ls -l Befehl auf die Datei bsp.txt 2 im Verzeichnis /home/amerkel/ angewendet wurde, erscheint eine Bildschirmausgabe in Form der zweiten Zeile des obigen Beispiels. Die erste Spalte kennzeichnet den Dateityp. Unter Linux werden insgesamt sieben Dateitypen unterschieden, von denen im Rahmen der Lehrveranstaltung EDV1 nur drei näher betrachtet werden. Die normale Datei - sie wird mit einem Minus gekennzeichnet, Verzeichnisse (engl. directory), welche mit einem d gekennzeichnet sind und sog. Links, welche Verweise auf Dateien repräsentieren - sie sind mit einem l gekennzeichnet. Die folgenden neun Spalten enthalten jeweils ein r, w oder x entsprechend des gewährten Rechtes, ansonsten ein - für ein nicht gesetztes Recht. Im ersten Rechtetripel stehen die Rechte für den Eigentümer, danach folgen die Rechte der zugeordneten Gruppe und zuletzt selbige für den Rest der Welt. Änderungen an den Zugriffsrechten können mit Hilfe des chmod Befehls vorgenommen werden, auf den später eingegangen wird. Zuerst sollen die Auswirkungen der Rechte auf den Benutzer vorgestellt werden. Bei der Betrachtung der einzelnen Rechte ist zu unterscheiden, ob es sich um eine Datei oder ein Verzeichnis handelt. Betrachten wir zunächst die Dateien. Dateien Bei den Dateien bedeuten die r-, w- und x Rechte im einzelnen: 1. Das Read Recht erlaubt es der entsprechenden Person oder Benutzergruppe, die Datei zum Lesen zu öffnen. Dieses Recht ist auch erforderlich um eine Datei zu kopieren und/oder ein sog. Archiv 3 zu entpacken. 2. Das Write Recht erlaubt es der entsprechenden Person oder Benutzergruppe, die Datei zum Schreiben zu öffnen. Dieses Recht ermöglicht folglich das komplette Entfernen des Inhalts einer Datei. Allerdings kann mit diesem Recht nicht festgelegt werden, ob die Datei als solche gelöscht werden darf. Dafür ist ausschließlich das Schreib Recht im entsprechenden Verzeichnis nötig! Vorsicht: Ein fehlendes Leserecht deutet beim Öffnen meist an, dass die geöffnete Datei leer ist. Folglich ist man sehr schnell versucht, selbige Datei mit Inhalt zu füllen, was zum Überschreiben des eigentlichen (unsichtbaren) Inhalts führt. Es wird also dringend geraten, bei Schreiberlaubnis auch die Leseberechtigung auf eine Datei einzuräumen, um Missverständnisse solcher Art auszuschließen. 2 Die Endung.txt lässt darauf schließen, dass es sich um eine simple Textdatei handelt. Gewissheit gibt aber erst der der Befehl file bsp.txt welcher das Dateiformat ausgibt. 3 Ein Archiv stellt ein Dateipaket dar, welches eine oder mehrere Dateien meist in komprimierter Form enthält.

4 EDV 1 Unix Grundlagen: Zugriffsrechte Silvio Chemnitz, Lars Oergel 4 3. Das execute Recht erlaubt es der entsprechenden Person oder Benutzergruppe, das in dieser Datei möglicherweise enthaltene Programm (oder zu interpretierende Skript) auszuführen. Aus dieser Beschreibung heraus wird deutlich, dass dieses Recht ausschließlich bei ausführbaren Dateien sinnvoll einzusetzen ist. Verzeichnisse Bei den Verzeichnissen ist die Rechtslage nicht ganz so offensichtlich wie bei Dateien. So bedeuten die r-, w- und x Rechte im einzelnen: 1. Das Read Recht erlaubt es der entsprechenden Person oder Benutzergruppe, das Verzeichnis zu lesen. Sein Inhalt darf also mit ls <Verzeichnisname> aufgelistet werden 4. Achtung: Fehlt das r-recht, ist bei Kenntnis von Datei- oder Verzeichnisnamen, die sich innerhalb dieses Verzeichnisses befinden das Arbeiten (sofern die erforderlichen Rechte gewährt sind) mit den Dateien oder Verzeichnissen weiterhin möglich. 2. Das Write Recht erlaubt es der entsprechenden Person oder Benutzergruppe, im Verzeichnis zu schreiben. Es dürfen also neue Dateien angelegt und alte Dateien umbenannt oder gelöscht werden! Um diese Aktionen ausführen zu können, sind keinerlei Rechte an den beteiligten Dateien und keine Eigentümerschaft nötig! 3. Das execute Recht erlaubt es der entsprechenden Person oder Benutzergruppe, dieses Verzeichnis mit dem cd Befehl zum aktuellen Verzeichnis zu machen, es also zu betreten und/oder zu durchqueren. Allerdings kann mit diesem Recht nicht festgelegt werden, ob der Verzeichnisinhalt mit ls angezeigt werden kann, dafür ist das Lese Recht des entsprechenden Verzeichnisses erforderlich. Der chmod-befehl Wie bereits angedeutet, können mit dem chmod-befehl Datei- und Verzeichnissrechte geändert werden. Der einfachste Weg dies zu tun ist im Folgenden gezeigt. $ chmod u+rw,g+x,o-rwx /home/amerkel/bsp.txt -rw-r-x--- 1 amerkel studi 1756 Aug 27 05:37 bsp.txt Auf die bereits bekannte Datei bsp.txt wurde nun zuerst der chmod-befehl angewendet, um die Dateirechte zu verändern und gleich im Anschluss der ls -l Befehl, um die Änderungen zu begutachten. Vergleicht man diese Ausgabe mit der Bildschirmausgabe am Anfang des Skripts, werden die Änderungen an der Datei 4 Spaß bzw. Sinn macht das ohne X Recht allerdings nicht: Die Ausgabe des ls Befehls ist mit Fehlermeldungen durchsetzt. sodass auf keine Datei in einem solchen Verzeichnis lesend oder schreibend zugegriffen werden kann, unabhängig von den Dateirechten!

5 EDV 1 Unix Grundlagen: Zugriffsrechte Silvio Chemnitz, Lars Oergel 5 deutlich. Mit Hilfe der Buchstaben u, g oder o kann der Adressat (also derjenige den die Änderung der Rechte betrifft) gewählt werden. r, w oder x stehen für die bereits bekannten Rechte. Ein + fügt das jeweilige Recht hinzu, ein - entfernt es. Wie den obigen Beispiel zu entnehmen ist, können Adressat und Recht beliebig kombiniert werden. Auch folgende Verbindungen sind möglich. $ chmod ugo-rwx /home/amerkel/bsp.txt amerkel studi 1756 Aug 27 05:37 bsp.txt $ chmod ugo+x,u+rw /home/amerkel/bsp.txt -rwx--x--x 1 amerkel studi 1756 Aug 27 05:37 bsp.txt $ chmod u-x,g+r-x /home/amerkel/bsp.txt -rw-r amerkel studi 1756 Aug 27 05:37 bsp.txt Nachdem mit der eben gezeigten Methode nur das schrittweise Ändern der Zugriffsrechte möglich war, soll nun eine Möglichkeit der Rechteverwaltung gezeigt werden, die es ermöglicht übersichtlich beliebig viele Rechte einer Datei zu verändern. Bei Verwendung des Oktalcodes wird jedem Recht (r, w oder x) eine andere Potenz der Zahl 2 zugeordnet und mit den anderen beiden addiert. Die Tabelle 1 zeigt den Zusammenhang zwischen dem Oktalcode und den bereits vorgestellten Benutzerrechten. Recht - r w x 2er Potenz Oktalcode Tabelle 1: Zugriffsrechte in Oktalcode Möchte man also nur das Leserecht setzen, so benutzt man 2 2 = 4. Soll sowohl das Lese- als auch das Schreibrecht gesetzt werden, addiert man beide Oktalzahlen (4+2=6) und bedient sich folglich der 6. Wie der Tabelle zu entnehmen ist, entfernt die null alle Rechte des jeweiligen Adressaten. Das folgende Beispiel zeigt die Anwendung der Oktalzahlmethode unabhängig von den Ausgangsrechten der Datei. $ chmod 750 /home/amerkel/bsp.txt -rwxr-x--- 1 amerkel studi 1756 Aug 27 05:37 bsp.txt Aus dem obigen Beispiel geht hervor, dass dem user durch Verwendung der 7=4+2+1 alle Rechte zum Dateizugriff gewährt werden. Der Gruppe, wird mit der 5=4+1 nur die Lese- und Ausführberechtigung eingeräumt. Ist diese hier sinnvoll? (siehe dazu Abschnitt 1.2 Dateien execute-recht). Die 0 entfernt, wie bereits erwähnt alle Rechte in der Spalte others.

6 EDV 1 Unix Grundlagen: Zugriffsrechte Silvio Chemnitz, Lars Oergel 6 Neben den drei vorgestellten Grundrechten (r, w und x) existieren unter Unix/Linux noch eine Reihe von Spezialrechten, auf die in diesem Rahmen nicht eingegangen werden soll. Mehr dazu in EDV2. Neben der Vergabe von Rechten auf einzelne Dateien und/oder Verzeichnisse, stellt der chmod-befehl auch eine Option zur Verfügung, mit der rekursiv die Rechte von ganzen Verzeichnispfaden geändert werden können. Durch diese Option spart man sich das zeitaufwändige Ändern der Rechte an jeder einzelnen Datei. $ chmod -R 705 /home/amerkel/ $ cd /home/amerkel/hausaufgaben/ $ ls -al drwx---r-x 15 amerkel studi 4,0K 25. Okt 10:18. drwx---r-x 48 amerkel studi 4,0K 9. Nov 14:05.. drwx---r-x 9 amerkel studi 4,0K 10. Mär 2012 Aufgabe01 Wie dem Beispiel zu entnehmen ist, haben alle Dateien und Verzeichnisse im Verzeichnis /home/amerkel/, sowie alle Dateien und Verzeichnisse in Unterverzeichnissen identische Rechte zugeteilt bekommen. Dieses Beispiel ist aber dennoch mit Vorsicht zu genießen, da auch Dateien, die eigentlich nicht ausführbar sind (beispielsweise Textdateien oder Quelltexte), mit einem x-recht versehen werden. Man kann dem durch relativ simple Verkettung von mehreren Befehlen entgegenwirken, darauf soll hier aber nicht weiter eingegangen werden. Mehr zum chmod-befehl erfährt man beim Ausführen des Befehls man chmod, welcher das Handbuch (engl. manual) aufruft.