Zugriffsrechte - Versionsgeschichte

Robi: Kontrolle und Korrektur Links

2022-02-24T20:12:25Z

Kontrolle und Korrektur Links

Ceekay: /* Sticky Bit */

2010-01-03T19:50:52Z

‎Sticky Bit

Ceekay: /* Set UserID Bit (SUID) */

2010-01-03T19:43:08Z

‎Set UserID Bit (SUID)

OnkelchenTobi: /* Oktale Zuweisung der Zugriffsrechte */ Jetzt sollte es mit dem Beispiel 764 Stimmen.

2009-12-30T23:57:09Z

‎Oktale Zuweisung der Zugriffsrechte: Jetzt sollte es mit dem Beispiel 764 Stimmen.

TomcatMJ: /* Octale Zuweisung der Zugriffsrechte */ noch mehr Denglisch eingedeutscht ;)

2007-11-30T14:45:06Z

‎Octale Zuweisung der Zugriffsrechte: noch mehr Denglisch eingedeutscht ;)

TomcatMJ: /* Octale Zuweisung der speziellen Zugriffsrechte */ Denglisch eingedeutscht ;)

2007-11-30T14:43:31Z

‎Octale Zuweisung der speziellen Zugriffsrechte: Denglisch eingedeutscht ;)

Sockinger: /* Octale Zuweisung der Zugriffsrechte */

2007-10-10T16:59:42Z

‎Octale Zuweisung der Zugriffsrechte

Robi: intern Verlinkt

2006-11-21T15:23:32Z

intern Verlinkt

Robi: interner Link

2006-10-31T14:56:38Z

interner Link

Robi: Kategorie

2006-10-27T15:20:48Z

Kategorie

@@ Zeile 67: / Zeile 67: @@
 * die '''4''' stammt vom r (4) + 0 + 0 für den Rest der Welt
-Für alle, die noch etwas unsicher sind und gerne mal etwas mit den Zugriffsrechten üben möchten, [http://de.selfhtml.org/helferlein/chmod.htm ein interaktives Helferlein] zum spielen.
+Für alle, die noch etwas unsicher sind und gerne mal etwas mit den Zugriffsrechten üben möchten, [https://wiki.selfhtml.org/wiki/Helferlein#Unix-Dateirechte-Setzer_.28chmod.29 ein interaktives Helferlein] zum spielen.
 == Interpretation der Zugriffsrechte ==
@@ Zeile 320: / Zeile 320: @@
 === mount ===
-Der [http://www.openbsd.org/cgi-bin/man.cgi?query=mount&apropos=0&sektion=8&manpath=OpenBSD+Current&arch=i386&format=html mount] Befehl steht mit den Zugriffsrechten in besonderer Beziehung. Einerseits müssen über das Mounten der Filesysteme auch nicht LINUX-kompatible Zugriffssteuerungen von verschiedenen Filesystemen für Linux kompatibel gemacht werden, andererseits muss über das Mounten verhindert werden, daß zB. Programme und Zugriffsregelungen von den gemounteten Filesystemen ein Sicherheitsrisiko für das System darstellen könnten. Neben den Zugriffsrechten des [[Mountpoint]]es , spielen hier einige Optionen von mount eine besondere Bedeutung.
+Der [https://linux.die.net/man/8/mount mount] Befehl steht mit den Zugriffsrechten in besonderer Beziehung. Einerseits müssen über das Mounten der Filesysteme auch nicht LINUX-kompatible Zugriffssteuerungen von verschiedenen Filesystemen für Linux kompatibel gemacht werden, andererseits muss über das Mounten verhindert werden, daß zB. Programme und Zugriffsregelungen von den gemounteten Filesystemen ein Sicherheitsrisiko für das System darstellen könnten. Neben den Zugriffsrechten des [[Mountpoint]]es , spielen hier einige Optionen von mount eine besondere Bedeutung.
 * einige wichtige Optionen von mount in Verbindung mit Zugriffsrechten: ''selbstverständlich gibt es zu einigen Optionen auch das genaue Gegenteil, die hier allerdings nicht extra aufgeführt werden'':
@@ Zeile 363: / Zeile 363: @@
 Erweiterte Dateiattribute im EXT2-Dateisystem
-Dateien auf ext2/ext3-Dateisystemen besitzen neben den normalem Zugriffsattributen noch weitere. Diese Attribute werden in den zusätzlichem Flag (Wahlschalter der [[Inode|ext2-Inode]]) gespeichert. Die gesetzten Attribute können mit dem Befehl '''[http://www.linux-praxis.de/lpic1/manpages/lsattr.html lsattr]''' angezeigt und mit '''[http://www.linux-praxis.de/lpic1/manpages/chattr.html chattr]''' verändert (gesetzt) werden.
+Dateien auf ext2/ext3-Dateisystemen besitzen neben den normalem Zugriffsattributen noch weitere. Diese Attribute werden in den zusätzlichem Flag (Wahlschalter der [[Inode|ext2-Inode]]) gespeichert. Die gesetzten Attribute können mit dem Befehl '''[https://linux.die.net/man/1/lsattr lsattr]''' angezeigt und mit '''[https://linux.die.net/man/1/chattr chattr]''' verändert (gesetzt) werden.
@@ Zeile 444: / Zeile 444: @@
 == [http://de.wikipedia.org/wiki/Access_Control_List Access Control Lists] unter Linux ==
-Access Control Lists (Zugriffskontrolllisten), werden bei Betriebssystemen zum Kontrollieren der Zugriffsberechtigungen auf diverse Ressourcen wie Dateien und Programme, verwendet. Unter Linux unterstützen folgende Dateisysteme ext2, ext3, [http://de.wikipedia.org/wiki/Journaled_File_System JFS], [http://de.wikipedia.org/wiki/XFS_%28Dateisystem%29 XFS] und [http://de.wikipedia.org/wiki/ReiserFS ReiserFS] ACLs vollständig Posix ACLs
+Access Control Lists (Zugriffskontrolllisten), werden bei Betriebssystemen zum Kontrollieren der Zugriffsberechtigungen auf diverse Ressourcen wie Dateien und Programme, verwendet. Unter Linux unterstützen eine Reihe Dateisysteme ACLs vollständig Posix ACLs.
 === Weiterführende Links zu ACL ===
-* [http://www.suse.de/~agruen/acl/linux-acls/online/ POSIX Access Control Lists on Linux]
+* [https://www.mathematik.hu-berlin.de/~ccafm/teachingBasic/allg/fs_acl-de.pdf POSIX Access Control Lists on Linux]
-* [http://acl.bestbits.at/man/man.shtml ACL Manpages]
+* [https://linux.die.net/man/5/acl ACL Manpages]
-* [http://de.opensuse.org/SDB:POSIX_Access_Control_List_(ACL)_-_Unterst%C3%BCtzung SDB:POSIX Access Control List (ACL) - Unterstützung]
+* [https://dewiki.de/Lexikon/Access_Control_List weitere ACS Links zB dewiki.de]
@@ Zeile 483: / Zeile 484: @@
 # mit jeder Anfrage an den Server wird ein geheimes Datenpaket mitgesendet.
 # Ticketbasierte Authentifikation am Server. Dabei wird vor dem ersten Zugriff z.B. das Passwort benutzt, um von einem speziellen Sicherheitsserver ein Ticket-Datenpaket (Token) zu bekommen. Diese wird bei jedem Zugriff vorgelegt. Dieses Ticket ist nur eine begrenzte Zeit (wenige Stunden) gültig. Nach Ablauf der Zeit, akzeptiert der Server das Ticket nicht mehr, und man muss sich vom Sicherheitsserver ein neues Ticket holen.
 === Links zu Network Filesysteme ===
@@ Zeile 488: / Zeile 490: @@
 * [http://de.wikipedia.org/wiki/Network_File_System Network_File_System]
 * [http://www.openafs.org/ OpenAFS.org]
-* [http://fbo.no-ip.org/cgi-bin/twiki/view/Instantafs/WebHome InstantAFS]
+* [https://de.wikipedia.org/wiki/Network_File_System NFS]
 [[Category:Security]]
 [[Category:Konsole]]
 [[Category:Linux-intern]]

@@ Zeile 132: / Zeile 132: @@
 === Sticky Bit ===
-Das Sticky Bit hat nur noch eine Bedeutung für Verzeichnisse. (In frühen Linuxversionen gab es auch Funktionen für normale Dateien mit Sticky Bit die dann spezielle Behandlung solcher Dateien bewirkte, die aber in heutigen Systemen mehr hinderlich als nützlich wäre).  Weiter oben wurde schon ein Problem erwähnt, daß ein User, mit Schreibrecht auf ein Verzeichnis, auch Datein löschen kann, auf die er sonst keine Rechte hat. Hier setzt jetzt dieses Sticky Bit an und verhindert genau das. In einem Verzeichnis in dem dieses Bit gesetzt ist, kann nur der Besitzer dieser Datei und natürlich Root diese Datei löschen. Auch dieses Bit wirkt rekursiv auf alle Unterverzeichnisse. Das Sticky Bit kann nur von Root gesetzt werden und wird bei ''ls -l'' als '''t''' anstatt des '''x''' beim Rest der Welt angezeigt. Ein logisch unvollständig gesetztes Bit wird als '''T''' angezeigt.
+Das Sticky Bit hat nur noch eine Bedeutung für Verzeichnisse. (In frühen Linuxversionen gab es auch Funktionen für normale Dateien mit Sticky Bit die dann spezielle Behandlung solcher Dateien bewirkte, die aber in heutigen Systemen mehr hinderlich als nützlich wäre).  Weiter oben wurde schon ein Problem erwähnt, daß ein User, mit Schreibrecht auf ein Verzeichnis, auch Dateien löschen kann, auf die er sonst keine Rechte hat. Hier setzt jetzt dieses Sticky Bit an und verhindert genau das. In einem Verzeichnis in dem dieses Bit gesetzt ist, kann nur der Besitzer dieser Datei und natürlich Root diese Datei löschen. Auch dieses Bit wirkt rekursiv auf alle Unterverzeichnisse. Das Sticky Bit kann nur von Root gesetzt werden und wird bei ''ls -l'' als '''t''' anstatt des '''x''' beim Rest der Welt angezeigt. Ein logisch unvollständig gesetztes Bit wird als '''T''' angezeigt.
 === Oktale Zuweisung der speziellen Zugriffsrechte ===

@@ Zeile 114: / Zeile 114: @@
 Das klassische Beispiel: das Programm /usr/bin/passwd hat die Aufgabe, daß auch normale User damit ihr eigenes Passwort ändern können. Dieses Passwort befindet sich jedoch in einer Datei, die nur von root selbst beschrieben werden darf. Nun hat das Programm /usr/bin/passwd , deren Eigentümer root ist, das Set UserID Bit gesetzt. Jeder User, der dieses Programm ausführt tut dies jetzt also unter der effektiven UserID von root und hat daher die Rechte von root mit diesem einem Prozess. Das ermöglicht es dem Prozess, das Passwort auch zu wirklich zu ändern.
-Das ist beim Passwort-Programm nicht problematisch, jedoch können mit diesem Zugriffsrecht richtige Sicherheitslücken entsteht, wenn zB eine Shell mit diesem Bit ausgestattet würde und der Eigentümer root ist, hätte jeder User mit dieser Shell uneingeschränktes Rootrecht. Es gehört zu den Aufgaben des Systemadministrators das System regelmäßig nach derart riskant gesetzten SUID-Bits oder riskanten Kombinationen mit Schreibrechten auf diese Dateien zu durchsuchen.
+Das ist beim Passwort-Programm nicht problematisch, jedoch können mit diesem Zugriffsrecht richtige Sicherheitslücken entstehen, wenn zB eine Shell mit diesem Bit ausgestattet würde und der Eigentümer root ist, hätte jeder User mit dieser Shell uneingeschränktes Rootrecht. Es gehört zu den Aufgaben des Systemadministrators das System regelmäßig nach derart riskant gesetzten SUID-Bits oder riskanten Kombinationen mit Schreibrechten auf diese Dateien zu durchsuchen.
 === Set GroupID Bit (SGID) ===

@@ Zeile 59: / Zeile 59: @@
 | r || w || x || r || w || x || r || w || x
 |-align="center"
-| 4 || 2 || 1 || 4 || 2 || 1 || 4 || 2 || 1
+| 4 || 2 || 1 || 4 || 2 || 0 || 4 || 0 || 0
 |}

@@ Zeile 47: / Zeile 47: @@
-=== Octale Zuweisung der Zugriffsrechte ===
+=== Oktale Zuweisung der Zugriffsrechte ===
-Diese Rechte können numerisch (octal) dargestellt werden. Dazu werden die Rechte wie folgt bezeichnet:
+Diese Rechte können numerisch (oktal) dargestellt werden. Dazu werden die Rechte wie folgt bezeichnet:
 {|style="height:50px" border="1"
-|+ '''Octale Zuordnung der Zugriffsrechte'''
+|+ '''Oktale Zuordnung der Zugriffsrechte'''
 ! style="width:150px" colspan="3" align="center"| User
 ! style="width:150px" colspan="3" align="center"| Gruppe

@@ Zeile 139: / Zeile 139: @@
-=== Octale Zuweisung der speziellen Zugriffsrechte ===
+=== Oktale Zuweisung der speziellen Zugriffsrechte ===
 Um die speziellen Rechte auch numerisch darzustellen, wird vor den oben genannten "normalen" Rechten noch eine vierte Oktalziffer am Anfang angefügt, so daß sich das folgende Logik ergibt:
 {|style="height:50px; background:silver" border="1"
-|+ '''Octale Zuordnung der Zugriffs- und Sonderrechte'''
+|+ '''Oktale Zuordnung der Zugriffs- und Sonderrechte'''
 ! style="width:150px; background:yellow" colspan="3" align="center"| Sonderrechte
 ! style="width:150px" colspan="3" align="center"| User
@@ Zeile 161: / Zeile 161: @@
 Ein Recht von '''4755''' bedeutet demnach, das Set UserID Bit ist gesetzt (4), der Eigentümer hat Lese-, Schreib- und Ausführungsrechte (1+2+4=7), während sowohl Gruppenmitglieder, als auch der Rest der Welt nur Lese- und Ausführungsrecht (1+4=5) besitzen. Wenn ein User dieses Programm ausführt, erhält dieser Prozess während der Laufzeit die Rechte des Besitzers dieser Datei.
 == Befehle rund um die Zugriffsrechte ==

@@ Zeile 485: / Zeile 485: @@
 Wenn man die Clients nicht absichern kann, dann muss man eben eine sichere Authentifizierung am Server gewähleisten. Dazu gibt es mehrere Lösungsansätze, mit unterschiedlichen Stärken und Nachteilen:
-# Die Verbindung zum Server wird in Form ein Sitzung vor dem ersten Zugriff aufgebaut.
+# Die Verbindung zum Server wird in Form ein Sitzung vor dem ersten Zugriff aufgebaut. ''(siehe zB.: [[Zugriffrechte unter Samba]])''
 # mit jeder Anfrage an den Server wird ein geheimes Datenpaket mitgesendet.
 # Ticketbasierte Authentifikation am Server. Dabei wird vor dem ersten Zugriff z.B. das Passwort benutzt, um von einem speziellen Sicherheitsserver ein Ticket-Datenpaket (Token) zu bekommen. Diese wird bei jedem Zugriff vorgelegt. Dieses Ticket ist nur eine begrenzte Zeit (wenige Stunden) gültig. Nach Ablauf der Zeit, akzeptiert der Server das Ticket nicht mehr, und man muss sich vom Sicherheitsserver ein neues Ticket holen.
 === Links zu Network Filesysteme ===

@@ Zeile 4: / Zeile 4: @@
 == Aufbau der Zugriffsrechten für Dateien ==
-Jede einzelne Datei in einem Linux oder UNIX-System - also nicht nur normale Dateien sondern auch Verzeichnisse, Gerätedateien, Pipes und Sockets  besitzen in ihrer [[Inode]] neben der Kennung zum Dateitype und verschiedene [[Zeitstempel]] auch zwingend die Einträge über die [[Eigentumsrechte]] und Zugriffsrechte auf die Datei. Die Eigentumsverhältisse einer Datei sind spezifiziert in genau einem Eigentümer und genau einer Benutzergruppe. Die Zugriffsrechte sind 3 teilig gestaffelt und beziehen sich auf
+Jede einzelne Datei in einem Linux oder UNIX-System - also nicht nur normale Dateien sondern auch Verzeichnisse, Gerätedateien, Pipes und Sockets  besitzen in ihrer [[Inode]] neben der Kennung zum Dateitype und verschiedene [[Zeitstempel von Dateien|Zeitstempel]] auch zwingend die Einträge über die [[Besitzverhältnisse]] und Zugriffsrechte auf die Datei. Die Eigentumsverhältisse einer Datei sind spezifiziert in genau einem Eigentümer und genau einer Benutzergruppe. Die Zugriffsrechte sind 3 teilig gestaffelt und beziehen sich auf
 * Eigentümer (User) genau dieser Datei
 * Gruppenmitglieder (Gruppe) Angehörige der Gruppe genau dieser Datei
@@ Zeile 68: / Zeile 68: @@
 Für alle die noch etwas unsicher sind und gerne mal etwas mit den Zugriffsrechten üben möchten [http://de.selfhtml.org/helferlein/chmod.htm ein interaktives Helferlein] zum spielen.
 == Interpretation der Zugriffsrechte ==

← Nächstältere Version		Version vom 27. Oktober 2006, 15:20 Uhr
Zeile 503:		Zeile 503:
	[[Category:Security]]		[[Category:Security]]
	[[Category:Konsole]]		[[Category:Konsole]]
		+	[[Category:Linux-intern]]