14) Защита файлов в ос unix. Владельцы файлов и права доступа. Символьные и числовые обозначения. Права доступа по умолчанию

UNIX - многопользовательская операционная система. Пользователи, занимающиеся общими задачами, могут объединяться в группы. Каждый пользователь обязательно принадлежит к одной или нескольким группам. Все команды выполняются от имени определенного пользователя, принадлежащего в момент выполнения к определенной группе.

В многопользовательских системах необходимо обеспечивать защиту объектов (файлов, процессов), принадлежащих одному пользователю, от всех остальных. ОС UNIX предлагает базовые средства защиты и совместного использования файлов на основе отслеживания пользователя и группы, владеющих файлом, трех уровней доступа (для пользователя-владельца, для пользователей группы-владельца, и для всех остальных пользователей) и трех базовых прав доступа к файлам (на чтение, на запись и на выполнение). Базовые средства защиты процессов основаны на отслеживании принадлежности процессов пользователям.

Для отслеживания владельцев процессов и файлов используются числовые идентификаторы. Идентификатор пользователя и группы - целое число (обычно) в диапазоне от 0 до 65535. Присвоение уникального идентификатора пользователя выполняется при заведении системным администратором нового регистрационного имени. Значения идентификатора пользователя и группы - не просто числа, которые идентифицируют пользователя, - они определяют владельцев файлов и процессов. Среди пользователей системы выделяется один пользователь - системный администратор или суперпользователь, обладающий всей полнотой прав на использование и конфигурирование системы. Это пользователь с идентификатором 0 и регистрационным именем root.

При представлении информации человеку удобнее использовать вместо соответствующих идентификаторов символьные имена - регистрационное имя пользователя и имя группы. Соответствие идентификаторов и символьных имен, а также другая информация о пользователях и группах в системе (учетные записи), как и большинство другой информации о конфигурации системы UNIX, по традиции, представлена в виде текстовых файлов. Эти файлы - /etc/passwd, /etc/group

Права могут быть изменены с помощью команд chown и chgrp

Шкала ограничений в

восьмеричном виде

Описание

04000 Устанавливать идентификатор пользователя-владельца при выполнении файла.

----------------------------------------------------------------------------------------------------------------------------

020n0 При n = 7, 5, 3 или 1 устанавливать идентификатор группы владельца при выполнении файла. При n = 6, 4, 2 или 0 разрешается блокирование диапазонов адресов файла.

----------------------------------------------------------------------------------------------------------------------------

01000Сохранять в области подкачки образ кодового сегмента выполняемого файла после конца его выполнения.

----------------------------------------------------------------------------------------------------------------------------

400Владельцу файла разрешено чтение файла.

----------------------------------------------------------------------------------------------------------------------------

200Владелец файла может дополнять или модифицировать файл.

----------------------------------------------------------------------------------------------------------------------------

100Владелец файла может его исполнять, если файл - исполняемый, или

производить в нем поиск, если это файл-каталог.

----------------------------------------------------------------------------------------------------------------------------

040Все пользователи группы владельца могут читать файл.

----------------------------------------------------------------------------------------------------------------------------

020Все пользователи группы владельца могут дополнять или модифицировать

файл.

----------------------------------------------------------------------------------------------------------------------------

010Все пользователи группы владельца могут исполнять файл, если файл - исполняемый, или производить в нем поиск, если это файл-каталог.

----------------------------------------------------------------------------------------------------------------------------

004Все пользователи могут читать файл.

----------------------------------------------------------------------------------------------------------------------------

002Все пользователи могут дополнять или модифицировать файл.

----------------------------------------------------------------------------------------------------------------------------

001Все пользователи могут исполнять файл, если файл - исполняемый, или производить в нем поиск, если это файл-каталог.

----------------------------------------------------------------------------------------------------------------------------

Билет 15 - 16 - определение прав доступа к файлу и команды

Три вида доступа: чтение, запись и использование.Чтение – доступ к содержащейся в объекте информации (для папки посмотреть список файлов (команда ls), для файла прочитать его содержимое).Запись – возможность менять содержимое + переименование + удаление.

Использование – возможность запустить файл на исполнение из Каждый файл в Unix/Linux может быть доступен (недоступен) для чтения (r - read), записи (w - write) и выполнения (x - execution)

При каждом файле имеется список того, что с ним может делать хозяин (если совпадает UID процесса и файла), член группы (если совпадает GID) и кто угодно (если ничего не совпадает). ls -l - вывести подробный список файлов текущего каталога, в нём также показываются права на файл

Изменить хозяина или группу файла можно командами соответственно chown и chgrp.

chown user file

chgrp group file

Изменить права доступа к файлу можно командой chmod.

chmod {u,g,o,a} {+,-,=} {r,w,x} file

Права записи в каталог организованы так, что из своего каталога пользователь может удалить чей угодно файл.

Если в каталог разрешено писать целой группе или вообще всем, то любой из имеющих право записи может удалить или переименовать чужой файл.

Для решения этой проблемы используются разделяемые каталоги. Их задает t-бит.

Пользователь, которому разрешена запись в каталог, имеющий атрибут t, может изменять только собственные файлы.

Команда umask. Тем же побитовым представлением атрибутов регулируются и права доступа по умолчанию при создании файлов и каталогов.

Параметр umask – восьмеричное число, задающее атрибуты, которые не надо устанавливать новому файлу.

umask 0 приведет к тому, что файлы будут создаваться с атрибутами "rw-rw-rw-", а каталоги – "rwxrwxrwx".

newgrp переводит пользователя в новую группу, изменяя реальный и эффективный идентификатор группы. Пользователь остается зарегистрированным и текущий каталог не изменяется

chgrp изменяет группу каждого заданного файла на группу, которая может быть представлена как именем группы, так и ее числовым идентификатором (GID).