Kirjoittaja Aihe: tiedostojen käyttöoikeuksista [ratkaistu]  (Luettu 1945 kertaa)

ash

  • Käyttäjä
  • Viestejä: 4
    • Profiili
tiedostojen käyttöoikeuksista [ratkaistu]
« : 11.07.08 - klo:08.53 »
Hei!

Otin jokin aika sitten käyttöön Ubuntun, ja keskimäärin hommat sujuvat oikein mukavasti. Seuraaviin haluaisin kumminkin kommenttejanne.

(1) Oletuksena Ubuntu näyttää antavan uusille tiedostoille luku- ja execute-oikeudet muillekin käyttäjille kuin tiedoston omistajalle mutta kirjoitusoikeudet vain omistajalle. Halusin kumminkin kieltää kotihakemistojen selailun tyystin muilta käyttäjiltä, mihin löysinkin avuksi chmod-komennon. Mutta eihän ole mitään järkeä joutua käyttämään chmodia aina tiedoston luotuaan, jos haluaa muuttaa oikeuksia? Siis miten muutan oletuskäyttöoikeudet, eli saan jokaiselle uudellekin tiedostolle rajoitetummat oikeudet oletusarvoisesti? Luulin, että umask auttaisi, mutta se muuttaa oikeuksia vain komentoriviltä luoduille tiedostoille eikä vaikuta graafisesta käyttöliittymästä luotuihin tiedostoihin. Lisäksi umaskin joutuisin ajamaan jokaisella käyttäjällä erikseen. Eli onko mitään komentoa, joka muuttaisi oletuksen kaikilta käyttäjiltä kerralla?

(2) Järjestelmätiedostoihin (Vai miten niitä pitäisi kutsua? Tarkoitan ihan kaikkea, mitä /homen ulkopuolelta löytyy eli /usr/*, /etc/* jne.) on luku- ja execute-oikeudet kaikilla. Onkos tämä järkevää? Entä jos joku roisto pääsee vaikka nettiselaimen kauttaa lukemaan järjestelmän sisältöä. Tai jos ihan vain joku koneen käyttäjistä on yli-innokas. Erityisesti mietityttävät salasanoihin liittyvät tiedostot; ei niitä kannattaisia kaikkien pystyä lukemaan. En kumminkaan uskaltanut chmodata näiden tiedostojen lukuoikeuksia (saati sitten execute-oikeuksia), kun arvelin sen vaikuttavan ohjelmien toimintaan. Siis pitäisikö näiden järjestelmätiedostojen käyttöoikeuksista olla huolissaan? Voinko surutta kieltää niiden lukemisen muilta kuin niiltä, joilla on sudo-oikeudet?

Kiitos avusta!
« Viimeksi muokattu: 11.07.08 - klo:10.46 kirjoittanut ash »

audi

  • Käyttäjä
  • Viestejä: 1124
    • Profiili
Vs: tiedostojen käyttöoikeuksista
« Vastaus #1 : 11.07.08 - klo:10.11 »
(1) Siis miten muutan oletuskäyttöoikeudet, eli saan jokaiselle uudellekin tiedostolle rajoitetummat oikeudet oletusarvoisesti?

Haulla löytyi tällainen umaskiin liittyvä sekä Uuden tiedoston oikeudet.


(2) Siis pitäisikö näiden järjestelmätiedostojen käyttöoikeuksista olla huolissaan?

Ei, kunhan et muuta niitä.
Mozillazine

A1398 ym romua,  macOS 10.13
Linux Mint 18, Mate

janne

  • Käyttäjä
  • Viestejä: 5150
    • Profiili
Vs: tiedostojen käyttöoikeuksista
« Vastaus #2 : 11.07.08 - klo:10.26 »
Otin jokin aika sitten käyttöön Ubuntun, ja keskimäärin hommat sujuvat oikein mukavasti. Seuraaviin haluaisin kumminkin kommenttejanne.

kommentoidaan sitten.

(1) Oletuksena Ubuntu näyttää antavan uusille tiedostoille luku- ja execute-oikeudet muillekin käyttäjille kuin tiedoston omistajalle mutta kirjoitusoikeudet vain omistajalle.

niin se tosiaan näyttää tekevän.

Halusin kumminkin kieltää kotihakemistojen selailun tyystin muilta käyttäjiltä, mihin löysinkin avuksi chmod-komennon. Mutta eihän ole mitään järkeä joutua käyttämään chmodia aina tiedoston luotuaan, jos haluaa muuttaa oikeuksia?

jos otat muiden käyttöoikeudet pois omalta kotihakemistoltasi, eivät he pääse tiedostoihisi käsiksi. jos jätät hakemistolle suoritusoikeudet, mutta poistat lukuoikeudet, pystyvät muut käyttäjät käsittelemään kotihakemistosi tiedostoja, joiden nimet he tietävät, mutta eivät näe hakemistolistausta (kätevää jos henkilökohtaiset kotisivut ovat käytössä ja haluaa niiden olevan saatavilla).

Siis miten muutan oletuskäyttöoikeudet, eli saan jokaiselle uudellekin tiedostolle rajoitetummat oikeudet oletusarvoisesti? Luulin, että umask auttaisi, mutta se muuttaa oikeuksia vain komentoriviltä luoduille tiedostoille eikä vaikuta graafisesta käyttöliittymästä luotuihin tiedostoihin.

kyllä umaskin pitäisi vaikuttaa kaikkiin tiedostoihin, mutta tietty session ollessa jo käynnissä se vaikutta vain siihen shelliin missä se ajetaan. siksi tuo pitäisi ajaa aikaisemmin ja kaikille sessioille. tosin tuo kotihakemiston oikeuksien muuttaminen hoitaa kyllä homman.

Lisäksi umaskin joutuisin ajamaan jokaisella käyttäjällä erikseen. Eli onko mitään komentoa, joka muuttaisi oletuksen kaikilta käyttäjiltä kerralla?

umaskin voi ajaa käyttäjäkohtaisesti jossain käyttäjän omassa kirjautumisen aikana luettavassa tiedostossa ja järjestelmänlaajuisesti se ajetaan tiedostosta /etc/profile. silti luulen, että itse en ainakaan lähtisi tuota oletusta järjestelmänlaajuisesti muuttaaan, vaikka niin voisikin thedä jos haluaisi.

(2) Järjestelmätiedostoihin (Vai miten niitä pitäisi kutsua? Tarkoitan ihan kaikkea, mitä /homen ulkopuolelta löytyy eli /usr/*, /etc/* jne.) on luku- ja execute-oikeudet kaikilla.

höpöhöpö. ei todellakaan ole kaikkiin, ellet ole tehnyt jotain todella erikoista. toki oikeudet tarvitaa aika monen tiedoston ajamiseen ja ajetuille tiedostoille resurssitietojen lukemiseen, mutta kaikki salaamista tarvitseva on kyllä salattuna.

Onkos tämä järkevää?

minusta on järkevää, että käyttäjällä on oikeudet ajaa teidsotoja joita hänen tarvitsee ajaa ja käyttää resursseja joita hänen tarvitsee käyttää.

Entä jos joku roisto pääsee vaikka nettiselaimen kauttaa lukemaan järjestelmän sisältöä.

silloin nettiselaimessa on järkyttävn kokoinen bugi. silti, vaikka se pääsisikin lukemaan sisältöä, niin eipä siitä kamalasti haittaa tietoturvan osalta olisi järjestelmätiedostojen osalta.  ehkä sillä saisi tietoon käyttäjänimiä, jotka kyllä helpottaisivat esim. ssh-aplvelinta kohtaan tehtyjä hyökkäyksiä, mutta oletan että remotena noita juttuja ei saa selville.

Tai jos ihan vain joku koneen käyttäjistä on yli-innokas.

aivan sama tilanne.

quote author=ash link=topic=19818.msg147482#msg147482 date=1215755626]
Erityisesti mietityttävät salasanoihin liittyvät tiedostot; ei niitä kannattaisia kaikkien pystyä lukemaan.[/quote]

ei salasanoihin liittyviä tiedostoja pysty lukemaan. käyttäjätiedot toki löytyvät tiedostosta /etc/passwd joka on kaikkien luettavissa, mutta itse kryptatut salasanat ovat turvassa tiedostossa /etc/shadow jota taviksilla ei ole oikeutta lukea.

En kumminkaan uskaltanut chmodata näiden tiedostojen lukuoikeuksia (saati sitten execute-oikeuksia), kun arvelin sen vaikuttavan ohjelmien toimintaan.

juu, järjestelmätiedostojen oikeuksien muuttamisella saa helposti aikaan järjestelmän joka ei vaan toimi.

Siis pitäisikö näiden järjestelmätiedostojen käyttöoikeuksista olla huolissaan?

ei oikeastaan.

Voinko surutta kieltää niiden lukemisen muilta kuin niiltä, joilla on sudo-oikeudet?

jos haluta, että konetta pystyy käyttämään muutkin kuin ne jolla ei ole sudo-oikeuksia (tai konetta pystyy ylipäätään käyttämään), niin et voi.
Janne

ash

  • Käyttäjä
  • Viestejä: 4
    • Profiili
Vs: tiedostojen käyttöoikeuksista
« Vastaus #3 : 11.07.08 - klo:10.42 »
jos otat muiden käyttöoikeudet pois omalta kotihakemistoltasi, eivät he pääse tiedostoihisi käsiksi.

Hyvä! Tätä en ollut tajunnut testata! Hakemiston käyttöoikeuksien säätäminen riittää siis minun tarpeisiini.

höpöhöpö. ei todellakaan ole kaikkiin, ellet ole tehnyt jotain todella erikoista. toki oikeudet tarvitaa aika monen tiedoston ajamiseen ja ajetuille tiedostoille resurssitietojen lukemiseen, mutta kaikki salaamista tarvitseva on kyllä salattuna.

No, tähän on varmaankin luottaminen. Taisin vain säikähtää sitä, että kotihakemistojen sisällöt ovat oletusarvoisesti muidenkin luettavissa. Se tuntuu lähtökohtaisesti ajatellen aivan järkyttävän huonolta idealta. Mutta ehkä nyt en sitten hahmota kokonaiskuvaa vielä.

Suurkiitos nopeasta avusta vastaajille!

peran

  • Vieras
Vs: tiedostojen käyttöoikeuksista [ratkaistu]
« Vastaus #4 : 12.07.08 - klo:20.11 »
No, tähän on varmaankin luottaminen. Taisin vain säikähtää sitä, että kotihakemistojen sisällöt ovat oletusarvoisesti muidenkin luettavissa. Se tuntuu lähtökohtaisesti ajatellen aivan järkyttävän huonolta idealta. Mutta ehkä nyt en sitten hahmota kokonaiskuvaa vielä.

No liverompulla on kuitenkin mahdollista lukea tiedostosi siitä huolimatta sudoa käyttämällä, joten aivan mahtavaan turvallisuuden tunteeseen ei kannata tuudittautua. Salaaminen taitaa olla ainoa 'varma' tapa suojata tiedostosi ulkopuolisilta silmiltä.