Dateisystemberechtigungen

Ein Dateisystem verwaltet üblicherweise Berechtigungseinstellungen für jedes gespeicherte Element – ​​in der Regel Dateien und Verzeichnisse –, die die Bearbeitung von Dateisystemelementen entweder erlauben oder verweigern. Oftmals ermöglichen diese Einstellungen die Zugriffskontrolle basierend auf Funktionen wie Lesen, Ändern, Navigieren und Ausführen sowie für verschiedene Benutzer und Benutzergruppen.

Eine etablierte Technologie wurde für Unix entwickelt , später von POSIX kodifiziert und wird in Linux verwendet ^{[ 1 ]} . Eine weitere gängige Technologie ist die Zugriffskontrollliste (ACL), von der verschiedene Varianten in Dateisystemen implementiert sind und eine von POSIX kodifiziert wurde. Da POSIX sowohl die ältere Unix-basierte Technologie als auch ACLs definiert, wird erstere der Einfachheit halber als traditionelle POSIX-Berechtigungen bezeichnet , obwohl dieser Begriff nicht allgemein bekannt ist.

Eine berechtigungsbasierte Benutzeroberfläche passt die dem Benutzer zur Verfügung stehenden Funktionen an die Dateisystemberechtigungen an. Beispielsweise kann die Oberfläche Menüoptionen ausblenden, die aufgrund der für ein Element gespeicherten Berechtigungen nicht zulässig sind.

Ein frühes Time-Sharing- System, das Compatible Time-Sharing System (CTSS), unterstützte mehrere Benutzer; jedes Benutzerkonto hatte eine „Problemnummer“ und eine „Programmierernummer“. ^{[ 2 ]}

Die erste Version des CTSS-Dateisystems unterstützte lediglich zwei „schreibgeschützte“ Dateimodi. Einer davon konnte vom Benutzer, der andere nur mithilfe von Bearbeitungskarten, die an das Rechenzentrum übermittelt wurden, aufgehoben werden. ^{[ 2 ] : 45–46} Dateien konnten zwischen Benutzern desselben Projekts geteilt werden; die geteilten Dateien wurden dem Programmierer mit der Nummer Null zugewiesen. ^{[ 2 ] : 24} Es gab keinen weiteren Schutz als den durch die Schreibschutzbits gewährleisteten.

Die zweite Version des Dateisystems verfügt über separate Berechtigungsbits für „schreibgeschützt“ und „schreibgeschützt“; letzteres erlaubt nur das Anhängen von Dateien. Es gibt außerdem ein „privates“ Bit, das nur dem Autor der Datei den Zugriff erlaubt, und ein „geschütztes“ Bit, das nur dem Autor der Datei erlaubt, die Dateiberechtigungen zu ändern. ^{[ 3 ]}

Benutzer im Multics -Time-Sharing-System besitzen eine „Person_id“, Projekte eine „Project_id“. Ein Benutzer meldet sich mit seiner Person_id und seiner Project_id am System an. Eine Datei enthält eine Zugriffssteuerungsliste (ACL) mit Einträgen, die eine Person_id oder ein „*“, eine Project_id oder ein „*“ und ein „Instanz-Tag“ oder ein „*“ enthalten. Ein Instanz-Tag repräsentiert einen Prozesstyp; ein „a“ steht beispielsweise für einen Prozess aus einer regulären interaktiven Sitzung. Die Einträge in einer ACL werden mit der Person_id, der Project_id und dem Instanz-Tag des Prozesses abgeglichen. Ein „*“ ist ein Platzhalter, der alle Person_ids, Project_ids oder Instanz-Tags abdeckt. Der ACL-Eintrag mit den wenigsten übereinstimmenden Platzhaltern wird verwendet. ^{[ 4 ] : 6–2, 6-46-8}

Eine ACL für eine Datei verfügt über die Zugriffsrechte „Lesen“, „Schreiben“ und „Ausführen“; eine ACL für ein Verzeichnis verfügt über die Zugriffsrechte „Status“ (ermöglicht das Lesen von Attributen von Dateien und Verzeichnissen im Verzeichnis), „Ändern“ (ermöglicht das Ändern von Attributen von Dateien und Verzeichnissen im Verzeichnis sowie das Entfernen von Elementen aus dem Verzeichnis) und „Anhängen“ (ermöglicht das Hinzufügen neuer Elemente zum Verzeichnis). ^{[ 4 ] : 6-3}

Ein Benutzer in TENEX gehört zu einer Gruppe. ^{[ 5 ] : 44}

Eine Datei oder ein Verzeichnis verfügt über eine Reihe von Berechtigungsbits: sechs Bits für die Berechtigungen des Datei- oder Verzeichnisbesitzers, sechs Bits für die Berechtigungen anderer Benutzer in der Datei- oder Verzeichnisgruppe und sechs Bits für sonstige Benutzer. Bei einer Datei lauten die Berechtigungsbits „Lesen“, „Schreiben“, „Ausführen“, „Anhängen“ und „Jede Seite der Datei hat ihre eigenen Berechtigungen“, wobei das sechste Bit nicht verwendet wird. Bei einem Verzeichnis lauten die Berechtigungsbits „Zugriff erlaubt“ (wenn nicht gesetzt, ist kein Zugriff auf das Verzeichnis erlaubt), „Dateien im Verzeichnis können geöffnet werden“ (vorbehaltlich der Dateiberechtigungsbits), „Besitzerähnliche Funktionen können ohne Dateipasswort ausgeführt werden“ und „Dateien können dem Verzeichnis hinzugefügt werden“, wobei das fünfte und sechste Bit nicht verwendet werden. ^{[ 5 ] : 42–44}

Ein Benutzerkonto in TOPS-10 verfügt über eine Programmierernummer und eine Projektnummer.

Eine Datei verfügt über Berechtigungsbits: drei Bits für die Berechtigungen des Dateibesitzers, drei Bits für die Berechtigungen anderer Benutzer mit derselben Projektnummer wie der Besitzer und drei Bits für alle übrigen Benutzer. Das Betriebssystem kann so konfiguriert werden, dass jedes Konto mit einer Programmierernummer, die mit der Programmierernummer des übergeordneten Verzeichnisses übereinstimmt, als Besitzer gilt, oder dass nur ein Konto mit derselben Programmierernummer und Projektnummer wie das übergeordnete Verzeichnis als Besitzer gilt. Die Werte der Berechtigungsbits sind:

• 7 - Keine Zugriffsrechte, außer dass der Eigentümer die Datei aufrufen kann, um ihre Berechtigungen zu ändern;
• 6 - Nur ausführen;
• 5 - lesen und ausführen;
• 4 - anhängen, lesen und ausführen;
• 3 - aktualisieren, anhängen, lesen und ausführen;
• 2 - schreiben, aktualisieren, anhängen, lesen und ausführen;
• 1 - umbenennen, schreiben, aktualisieren, anhängen, lesen und ausführen;
• 0 - Berechtigungen ändern, umbenennen, schreiben, aktualisieren, anhängen, lesen und ausführen.

Der Eigentümer darf die Berechtigungen jederzeit ändern. ^{[ 6 ]}

In der ersten Version von Unix (v1) hatten Dateien fünf Berechtigungsbits:

• schreiben, Nicht-Eigentümer;
• gelesen, Nicht-Eigentümer;
• schreiben, Eigentümer;
• gelesen, Besitzer;
• ausführbar;

und ein Set-UID-Bit . ^{[ 7 ]} Es kannte keine Gruppen. Dies blieb bis zur dritten Auflage (v3) so; ^{[ 8 ]} die vierte Auflage (v4) führte Gruppen ein, und Dateien in v4 hatten neun Berechtigungsbits:

• gelesen, Besitzer;
• schreiben, Eigentümer;
• ausführen, Eigentümer;
• lesen, gruppieren;
• schreiben, gruppieren;
• ausführen, Gruppe;
• lesen, andere;
• schreiben, andere;
• ausführen, andere;

sowie ein Set-UID- und ein Set-GID-Bit ; ^{[ 9 ]} Dies ist derselbe Satz von Berechtigungen, der in POSIX spezifiziert ist und der von aktuellen Unix- und Unix-ähnlichen Systemen bereitgestellt wird .

Dateisystemberechtigungen wurden auf vielfältige Weise implementiert. Einige bemerkenswerte Beispiele werden hier beschrieben.

NTFS, das in vielen Windows- Versionen, einschließlich der aktuellen , enthalten ist, verwendet ACLs zur berechtigungsbasierten Zugriffskontrolle; NTFS-ACLs gelten als leistungsstark, aber auch komplex. ^{[ 10 ]}

Linux- Dateisysteme wie ext2 , ext3 , ext4 und Btrfs unterstützen sowohl POSIX-Berechtigungen als auch POSIX.1e-ACLs. Es gibt experimentelle Unterstützung für NFSv4-ACLs für ext3- ^{[ 11 ]} und ext4-Dateisysteme.

FreeBSD unterstützt POSIX.1e-ACLs auf UFS sowie NFSv4-ACLs auf UFS und ZFS. ^{[ 12 ] [ 13 ]}

HFS und sein Nachfolger HFS+ , wie sie in den Classic Mac OS- Betriebssystemen implementiert wurden, unterstützen keine Berechtigungen.

macOS unterstützt POSIX-konforme Berechtigungen, sowohl in HFS+ als auch in APFS . Ab Version 10.4 („Tiger“) werden zusätzlich zu POSIX-konformen Berechtigungen auch NFSv4-ACLs unterstützt. Das Apple Mac OS X Server-Administrationshandbuch für Dateidienste ab Version 10.4 empfiehlt, nach Möglichkeit ausschließlich traditionelle Unix-Berechtigungen zu verwenden. macOS unterstützt weiterhin das Attribut „Protected“/„Locked“ des klassischen Mac OS als „unveränderliches“ Flag im 4.4BSD-Flagsfeld . ^{[ 14 ]}

Die Dateizuordnungstabelle (Originalversion) verfügt über ein dateispezifisches, schreibgeschütztes Attribut, das für alle Benutzer gilt.

OpenVMS definiert vier Zugriffsfunktionen: Lesen, Schreiben, Ausführen und Löschen sowie Benutzerauswahlen: System, Besitzer, Gruppe und Welt. Die Welt umfasst die Gruppe, welche wiederum den Besitzer einschließt, und das System wählt die Systembenutzer aus. Dieses Design ähnelt dem von Unix, bietet aber folgende bemerkenswerte Erweiterungen: die zusätzliche Funktion „Löschen“ und die zusätzliche Benutzerauswahl „System“. ^{[ 15 ]} Zugriffskontrolllisten (ACLs) werden ab VMS 4.0 unterstützt. ^{[ 16 ]}

Die Solaris -ACL-Unterstützung hängt vom verwendeten Dateisystem ab; das ältere UFS- Dateisystem unterstützt POSIX.1e-ACLs, während ZFS nur NFSv4-ACLs unterstützt. ^{[ 17 ]}

IBM z/OS implementiert Dateisicherheit mittels RACF (Resource Access Control Facility) ^{[ 18 ].}

Das AmigaOS-Dateisystem, AmigaDOS, unterstützt ein für ein Einzelbenutzer-Betriebssystem vergleichsweise fortschrittliches Berechtigungssystem. In AmigaOS 1.x besaßen Dateien die Berechtigungen/Flags Archivieren, Lesen, Schreiben, Ausführen und Löschen (zusammengefasst als ARWED). In AmigaOS 2.x und höher wurden zusätzlich die Berechtigungen/Flags Halten, Skripten und Rein hinzugefügt.

Das OpenHarmony -Betriebssystem nutzt zusammen mit seinem Client-Ökosystem in Oniro OS und HarmonyOS (mit den Versionen HarmonyOS NEXT) sowie dem Linux-basierten Server-Betriebssystem openEuler nativ sein Harmony Distributed File System (HMDFS), das einen Zugriffstoken-Manager ( rollenbasierte Zugriffskontrolle ) und die Core File Kit API mit granularer Berechtigungsverwaltung unterstützt, mit Ausnahme von openEuler, das eine feinere Berechtigungsverwaltung bietet . ^{[ 19 ]}

Traditionell werden Dateiberechtigungen in Unix-basierten Dateisystemen durch POSIX.1 definiert. ^{[ 20 ]} Es spezifiziert drei Klassen (Benutzer, Gruppe und Andere), die die Zuordnung von Berechtigungen zu Benutzern ermöglichen, sowie drei Operationen (Lesen, Schreiben, Ausführen), die für jede Klasse erteilt oder verweigert werden können. Beim Erstellen einer Datei werden standardmäßig die Berechtigungen verwendet, die über den umaskBefehl zugänglich sind.

In einem Unix-basierten Dateisystem ist alles eine Datei, sogar Verzeichnisse und andere spezielle Dateien .

Die Klassen legen fest, wie Berechtigungen einem Benutzer zugeordnet werden. Die Berechtigungen der Benutzerklasse gelten für den Benutzer, dem die Datei gehört. Die Berechtigungen der Gruppenklasse gelten für Benutzer der Gruppe , der die Datei gehört . Die Berechtigungen der Klasse „Andere“ gelten für alle anderen Benutzer.

Die effektiven Berechtigungen sind die Berechtigungen der Klasse, der der Benutzer zuerst angehört , und zwar in der Reihenfolge: Benutzer, Gruppe, dann andere. Beispielsweise besitzt der Besitzerbenutzer die effektiven Berechtigungen der Benutzerklasse, selbst wenn er Mitglied der Besitzergruppe ist.

Die folgenden Berechtigungen gewähren die entsprechenden Operationen an Dateien und Verzeichnissen:

• Für Dateien: Gewährt die Berechtigung, den Inhalt der Datei zu lesen (nicht ihren Namen oder ihre Metadaten, die durch die Berechtigungen des übergeordneten Verzeichnisses bestimmt werden).
• Für Verzeichnisse: Gewährt die Berechtigung, die Verzeichniseintragsnamen der darin enthaltenen Dateien und Verzeichnisse zu lesen, jedoch nicht, auf deren Metadaten ( Inode ) und damit auf deren Inhalt zuzugreifen, der durch die Ausführungsberechtigung des Verzeichnisses bestimmt wird .

• Für Dateien: Gewährt die Möglichkeit, den Inhalt der Datei zu ändern.
• Für Verzeichnisse: Gewährt die Möglichkeit, Einträge im Verzeichnis zu ändern, d. h. Dateien oder Verzeichnisse zu erstellen, zu löschen und umzubenennen.
  • Dazu ist außerdem die Ausführungsberechtigung erforderlich , um auf die Metadaten ( Inodes ) aller darin enthaltenen Dateien und Verzeichnisse zuzugreifen . Ohne Ausführungsberechtigung ist die Schreibberechtigung daher praktisch bedeutungslos.

• Für Dateien: Gewährt die Berechtigung, eine Datei auszuführen. Diese Berechtigung muss für ausführbare Programme festgelegt werden, damit diese ausgeführt werden können.
  • Hierfür ist auch die Leseberechtigung erforderlich .
• Für Verzeichnisse gilt: Die Ausführungsberechtigung gewährt die Möglichkeit, die Metadaten der darin enthaltenen Dateien und Verzeichnisse zu lesen, sofern deren Namen bekannt sind; die Namen selbst können jedoch nicht gelesen werden. Ein Verzeichnis ohne Ausführungsberechtigung blockiert effektiv das Lesen und Schreiben der Inhalte seiner enthaltenen Dateien und Verzeichnisse.
  • Ein Verzeichnis mit Ausführungsberechtigung , aber ohne Leseberechtigung , macht den Zugriff auf die Inhalte seiner Dateien und Verzeichnisse praktisch zu einem Ratespiel.

Um auf den Inhalt einer Datei oder eines Verzeichnisses innerhalb eines Verzeichnisses zuzugreifen, ist Folgendes erforderlich:

1. Wenn man den Namen des Verzeichnisses kennt, der sich ermitteln lässt, wenn die Leseberechtigung für das übergeordnete Verzeichnis gesetzt ist (oder indem man den Namen errät).
2. Das übergeordnete Verzeichnis benötigt die Ausführungsberechtigung für den Zugriff auf den Datei- oder Verzeichnis- Inode .
3. Die entsprechenden Lese- , Schreib- oder Ausführungsberechtigungen .

Zum Lesen einer Datei benötigen Sie:

• Die Leseberechtigung für die Datei .
• Berechtigung für das übergeordnete Verzeichnis ausführen .

Zum Schreiben in eine Datei benötigen Sie:

• Die Schreibberechtigung für die Datei .
• Berechtigung für das übergeordnete Verzeichnis ausführen .

Zum Ausführen einer Datei benötigen Sie:

• Die Lese- und Ausführungsberechtigung für die Datei .
• Berechtigung für das übergeordnete Verzeichnis ausführen .

Um den Namen der benötigten Datei zu erfahren:

• Leseberechtigung für das übergeordnete Verzeichnis.

Zum Hinzufügen, Entfernen oder Umbenennen einer Datei benötigen Sie Folgendes:

• Schreib- und Ausführungsberechtigung für das übergeordnete Verzeichnis.

Die Metadaten einer Datei oder eines Verzeichnisses umfassen typischerweise die Inode-ID , den Dateityp, die Größe, den Eigentümer (GUI und UID) sowie die Berechtigungsbits.

Die Auswirkungen der Festlegung von Berechtigungen für ein Verzeichnis anstatt für eine Datei gehören zu den am häufigsten missverstandenen Problemen im Bereich der Dateiberechtigungen. ^{[ 21 ]}

Anders als bei ACL-basierten Systemen werden diese Berechtigungen nicht vererbt. Dateien, die in einem Verzeichnis erstellt werden, haben nicht unbedingt dieselben Berechtigungen wie das übergeordnete Verzeichnis.

Drei zusätzliche Einzelbit-Attribute gelten für jede Datei, die mit Berechtigungen zusammenhängen und zusammen mit den Berechtigungen im Dateimodus gespeichert werden.

• Der Set-User-ID- , Setuid- oder SUID-Modus. Wird eine Datei mit diesem Bit ausgeführt, wird ein Prozess gestartet, dessen Benutzer-ID auf den Benutzer des Dateibesitzers gesetzt ist. Dadurch können Benutzer temporär als Root (oder ein anderer Benutzer) behandelt werden.
• The set group ID, setgid, or SGID permission. Executing a file with this bit set results in a process with group ID set to the file's owning group. When applied to a directory, new files and directories created under that directory inherit their group from that directory. (Default behavior is to use the primary group of the effective user when setting the group of new files and directories, except on BSD-derived systems which behave as though the setgid bit is always set on all directories (see Setuid).)
• The sticky mode (also known as the Text mode). The classical behavior of the sticky bit on executable files has been to encourage the kernel to retain the resulting process image in memory beyond termination; however, such use of the sticky bit is now restricted to only a minority of Unix-like operating systems (HP-UX and UnixWare). On a directory, the sticky permission prevents users from renaming, moving or deleting contained files owned by users other than themselves, even if they have write permission to the directory. Only the directory owner and superuser are exempt from this.

Permissions are commonly represented in symbolic or octal notation.

Symbolic notation is used in the long output format of command ls -l.

The first character of the output indicates the Unix file type, which is not a permission even though it is next to the permissions information. The remaining nine characters represent the grants for the user, group and others classes as groups of operation grants for read, write and execute. An operation is denied when shown as a dash or granted when shown as r for read, w for write or x for execute.

Examples:

• -rwxr-xr-x: initial - indicates a regular file, next three rwx indicate that user class has all permissions and group and others classes (both r-x) have only read and execute
• crw-rw-r--: initial c indicates a character special file, user and group classes (both rw-) have read and write permissions and others class (r--) has only read permission
• dr-x------: initial d indicates a directory, user class (r-x) has read and execute permissions and group and others classes (both ---) have no permissions

Um die Attribute `setuid` , `setgid` und `sticky`/`text` darzustellen , wird das Zeichen an der dritten Position einer Klasse geändert, obwohl diese Position normalerweise nur für die Ausführung vorgesehen ist und diese Attribute die Datei unabhängig von der Klasse beeinflussen. Das Attribut `setuid` ändert das Ausführungszeichen für die Benutzerklasse, das Attribut `setgid` für die Gruppenklasse und das Attribut `sticky` oder `text` für die Klasse „Andere“. Für `setuid` oder `setgid` xwird `<setuid>` szu `<setgid>` und für das Attribut `sticky` oder `text` zu `<setgid> `. Beispielsweise -steht ` <setuid> ` für eine reguläre Datei, in der die Benutzerklasse Lese-, Schreib- und Ausführungsrechte besitzt, die Gruppenklasse Leserechte hat und die Klasse „Andere“ Lese- und Ausführungsrechte besitzt. Die Attribute `setuid` , `setgid` und `sticky` sind gesetzt. Sxt-T-rwsr-Sr-t

Einige Systeme zeigen zusätzliche Berechtigungsfunktionen an:

• +Das Suffix kennzeichnet eine Zugriffssteuerungsliste, die zusätzliche Berechtigungen steuern kann.
• .Das Suffix weist auf einen vorhandenen SELinux- Kontext hin. Details können mit dem Befehl aufgelistet werden.ls -Z
• @Das Suffix weist auf erweiterte Dateiattribute hin.

Berechtigungen werden häufig in Oktalschreibweise angezeigt , beispielsweise mit dem Befehl ` octal` stat -c %a. Die Notation besteht aus mindestens drei Ziffern. Die letzten drei Ziffern geben die Berechtigungsklasse an: Benutzer, Gruppe und Andere. Ist eine vierte Ziffer vorhanden, steht die erste für die drei speziellen Attribute: setuid , setgid und sticky .

Jeder Operationsberechtigung wird eine Bitposition zugewiesen, die für eine Oktalziffer Folgendes darstellt:

• Lesen: links, binär 100, oktal 4
• Schreiben Sie: Mitte, Binär 010, Oktal 2
• Ausführen: rechts, binär 001, oktal 1

Der Wert einer Klassenberechtigung ist die Summe oder alternativ die logische ODER- Verknüpfung der Berechtigungen.

Beispiele:

Einige Systeme weichen vom traditionellen POSIX-Modell von Benutzern und Gruppen ab, indem sie für jeden Benutzer eine neue Gruppe – eine „benutzerprivate Gruppe“ – erstellen. Unter der Annahme, dass jeder Benutzer das einzige Mitglied seiner benutzerprivaten Gruppe ist, ermöglicht dieses Schema die Verwendung einer umask von 002, ohne dass andere Benutzer in neu erstellte Dateien in normalen Verzeichnissen schreiben können, da diese Dateien der privaten Gruppe des erstellenden Benutzers zugewiesen werden. Wenn jedoch die gemeinsame Nutzung von Dateien erwünscht ist, kann der Administrator eine Gruppe mit den gewünschten Benutzern erstellen, ein für die Gruppe beschreibbares Verzeichnis erstellen, das dieser neuen Gruppe zugewiesen wird, und – was am wichtigsten ist – das Verzeichnis mit setgid versehen. Dadurch werden die darin erstellten Dateien derselben Gruppe wie das Verzeichnis zugewiesen, und die umask 002 (ermöglicht durch die Verwendung benutzerprivater Gruppen) stellt sicher, dass andere Mitglieder der Gruppe in diese Dateien schreiben können. ^{[ 22 ] [ 23 ]}

• chattr oder chflags – Attribute oder Flags ändern, einschließlich solcher, die den Zugriff einschränken
• chmod  – Shell-Befehl zum Ändern der Zugriffsrechte einer Datei
• lsattr – Listenattribute
• Vergleich von Dateisystemen § Metadaten

• Das Linux-Kochbuch: Gruppen und wie man in ihnen arbeitet von Michael Stutz 2004