- Техничка разлика између модификовања дозвола за приступ помоћу команде chmod и промене власништва над ресурсима помоћу команде chown.
- Систем представљања дозвола заснован на окталној и симболичкој нотацији за кориснике, групе и друге.
- Имплементација безбедносних стратегија заснованих на принципу најмањих привилегија ради спречавања рањивости на серверима.
Ако сте се упустили у управљање сопственим VPS сервером или наменском машином, схватили сте да је Linux систем дизајниран од темеља за умрежавање. Зато је безбедност најважнија , јер контрола ко може да чита, уређује или извршава датотеку спречава да ваше информације падну у погрешне руке или да злонамерни процес сруши цео систем.
Да бисте се лако снашли у овом окружењу, није довољно само знати како се покрећу команде; потребно је да разумете логику која стоји иза власништва над датотекама. У Линуксу, сваки ресурс припада кориснику и групи , и ту долазе до изражаја алати за подешавање ових привилегија, омогућавајући нам да обезбедимо систем без блокирања рада наших апликација.
Разумевање анатомије дозвола
Када покренете команду ls -l У терминалу ћете видети низ знакова који изгледа као тајни код, нешто попут -rwxr-xr--Не брините, једноставније је него што изгледа. Први лик нам говори Коју врсту елемента имамо испред себе?Цртица означава обичну датотеку, 'd' фасциклу (директоријум), а 'l' симболичку везу. Постоје и мање уобичајени знакови као што су 's' за сокете или 'p' за цеви.
Следећих девет карактера је подељено у три једнака скупа од по три. Први скуп је за власника ( оног ко је креирао датотеку), други за групу власника , а трећи за све остале кориснике на систему. Сваки скуп од три карактера може да садржи слова „r“ (читање), „w“ (писање) и „x“ (извршавање), или цртицу ако та дозвола није дата.
Шта свака дозвола заправо значи?
- Читање (р): У датотеци, то вам омогућава да је отворите и видите шта је унутра. Ако говоримо о фасцикли, то значи да можете наведите датотеке и поддиректоријуме садржи.
- Писање (в): Даје вам моћ да мењате садржај датотеке или чак да је обришете. У случају директоријума, омогућава вам да креирајте, обришите или преименујете елементи унутар њега.
- Извршење (x): За датотеку, то је оно што омогућава покретање скрипте или програма. У фасциклама, ова дозвола је витална јер вам омогућава да... приступ директоријуму користећи команду
cd.
Команда chmod: Подешавање приступа
Команда chmod (промена режима) је наш алат за промену ових дозвола. Постоје два начина коришћења: симболички, који је интуитивнији, и октални, који администратори преферирају јер је бржи.
У симболички режимКористимо слова да означимо на кога се промена односи (u за корисника, g за групу, o за остале, a за све) и симболе попут „+“ за додавање или „-“ за уклањање дозвола. На пример, ако желите да група може да пише у датотеку, користили бисте chmod g+w archivo.txtТо је веома флексибилан начин да прилагодите дозволе по потреби без промене остатка конфигурације.
El октални режим Користи бројеве засноване на бинарном систему. Свака дозвола има вредност: читање је 4, писање је 2, а извршавање је 1. Сабирањем ових вредности добијамо број од 0 до 7. На пример, вредност 7 (4+2+1) значи потпун приступ, док 5 (4+0+1) значи читање и извршавање. Дакле, команда попут chmod 755 carpeta грантови потпуна контрола власника и само приступ за читање/извршавање за групу и остале.
Управљање имовином помоћу chown и chgrp
Понекад, чак и ако су дозволе исправне, датотека неће радити јер власник није права особа. Ту долази до изражаја [одговарајући алат/апликација/уређај]. chown (промена власника). Ова команда омогућава промени корисника и групу који поседују датотеку. Најчешћа синтакса је chown usuario:grupo archivo.
Веома је уобичајено на веб серверима да датотеке припадају кориснику сервера (као што су www-data у Apache-у или Nginx-у) тако да веб локација може да пише у одређене фасцикле. Ако треба да примените ову промену на фасциклу и све у њој, морате да користите рекурзивна опција -R, на пример, трчање chown -R www-data:www-data /var/www/html.
Администрација корисника и група у систему
Да би све горе наведено имало смисла, прво морамо да управљамо ко су ти корисници. У Линуксу, команде попут useradd o adduser да креирате налоге и passwd да им доделите кључ. Све ове информације се чувају у критичним датотекама као што су / етц / пассвд (подаци о рачуну) и / етц / схадов (шифроване лозинке).
Групе су неопходне како би се избегло додељивање дозвола једној по једној. groupadd створили смо групу и са usermod -aG Додајемо кориснике у њега. На овај начин можемо дати колективне дозволе за радни тим на одређеној фасцикли без угрожавања безбедности остатка система.
Знојење и повећане привилегије
Не препоручује се стално радити као root, јер би грешка могла да обрише цео систем. За ово користимо sudoшто нам омогућава да извршавамо команде са привилегијама суперкорисника. Конфигурација ко може шта да ради налази се у датотеци / етц / судоерскоји се увек мора уређивати командом visudo пар Решавање проблема са судо грешкама у Линуксу и избегавајте синтаксичке грешке које би нас избациле из система.
Безбедност и најбоље праксе на серверима
Уобичајена грешка коју многи почетници праве је додељивање 777 дозвола фасцикли када нешто не ради. Ово широм отвара врата сваком нападачу. Идеално би било да следите принцип најмањих привилегија : доделите само минимални приступ неопходан за завршетак задатка.
Као опште правило, датотеке треба да имају дозволе 644 (власник пише, сви остали могу само да читају), а фасцикле 755. За изузетно осетљиве датотеке, као што су SSH кључеви или конфигурационе датотеке заштићене лозинком (.env), дозвола 600 је исправно подешавање, осигуравајући да нико осим власника не може ни да прочита садржај.
Ако наиђете на страшну грешку 403 Forbidden на вашој веб страници, највероватније је то због проблема са власништвом или дозволама. Пре него што направите било какве драстичности измена, проверите да ли веб сервер поседује датотеке и да ли директоријуми имају подешен бит за извршење који омогућава навигацију.
Правилно управљање корисницима, групама и дозволама помоћу алата као што су chmod и chown је прва линија одбране за сваки Linux сервер. Од коришћења umask маске за дефинисање подразумеваних дозвола, до рекурзивног управљања директоријумима и строге контроле sudoer-ова, свако подешавање доприноси стварању стабилног и отпорног окружења против потенцијалних упада, осигуравајући да системски процеси и људски корисници могу коегзистирати без угрожавања интегритета података.
Страствени писац о свету бајтова и технологије уопште. Волим да делим своје знање кроз писање, и то је оно што ћу радити на овом блогу, показивати вам све најзанимљивије ствари о гаџетима, софтверу, хардверу, технолошким трендовима и још много тога. Мој циљ је да вам помогнем да се крећете у дигиталном свету на једноставан и забаван начин.