LX3 Права и пользователи

Лекция: Пользователи и права

В этой лекции вы узнаете, как устроена система разделения прав доступа в Linux, а также зачем нужен суперпользователь и как отслеживать и изменять права доступа к файлам и папкам.

Презентация

Смотреть слайды к этому занятию.

Тестирование

Пройти тестирование по этой теме.

Дополнительные материалы

Практика: Управление пользователями

В этой работе вы научитесь основным действиям и командам, связанным с управлением пользователями Linux - добавление, удаление пользователя, изменение пароля, добавление в группу. Основные изучаемые команды - adduser, passwd, su, sudo.

Видео занятия

Цель работы

Научиться основным действиям и командам, связанным с управлением пользователями Linux - добавление, удаление пользователя, изменение пароля, добавление в группу. Основные изучаемые команды - adduser, passwd, su, sudo.

Основное задание

Ознакомиться с содержимым файлов:

/etc/passwd
/etc/shadow
/etc/group

Создать следующие группы:

workers
teachers
students

Создать пользователей user_N, где N =1, 2, .., 5, uid учетной записи должен быть равен 2000+N.
Пользователей с N равным 1 и 2 добавить в группу workers вручную внеся изменения в конфигурационный файл.
Пользователей с N равным 3, 4 и 5 добавить в группу students при помощи команд администрирования.
Создать пользователя student. В комментарии к учетной записи должны быть Ваше имя и фамилия. uid учетной записи должен быть равен 3000. Пользователя добавить в группу students.
Для всех пользователей задайте пароли, используя команду passwd.
Создать директорию labs в корневом каталоге. В нем создать каталоги library и tests
Создать файлы book_[фамилия студента]_N и поместить их в library
Создать текстовый файл test_[имя студента], и поместить в tests. Файлы должны содержать скрипт на создание пользователя user[номер варианта] и задание ему пароля pass[номер варианта]. Сделайте эти файлы исполняемыми для пользователей группы students.
В директории labs создать файл list, который должен содержать список файлов директории /etc.
Дать право на изменение файла только пользователю teacher, а на чтение пользователям группы workers.
Настроить права доступа к каталогу library и tests, таким образом, чтобы пользователи группы teachers могли изменять и создавать там файлы, а пользователи группы students имели доступ на чтение

Методические указания

Linux, как и любая unix-подобная система, является не только многозадачной, но и многопользовательской, т.е. эта операционная система позволяет одновременно нескольким пользователям работать с ней. Но система должна как-то узнавать, какой или какие из пользователей работают в данный момент. Именно для этих целей в Linux существует два понятия – учетные записи и аутентификация, которые являются частями одного механизма.

Учетная запись пользователя – это необходимая для системы информация о пользователе, хранящаяся в специальных файлах. Информация используется Linux для аутентификации пользователя и назначения ему прав доступа.

Аутентификация – системная процедура, позволяющая Linux определить, какой именно пользователь осуществляет вход.

Вся информация о пользователе обычно хранится в файлах /etc/passwd и /etc/group.

/etc/passwd – этот файл содержит информацию о пользователях. Запись для каждого пользователя занимает одну строку:

имя пользователя – имя, используемое пользователем на все приглашения типа login при аутентификации в системе.
зашифрованный пароль – обычно хешированный по необратимому алгоритму MD5 пароль пользователя или символ ‘!’, в случаях, когда интерактивный вход пользователя в систему запрещен.
UID – числовой идентификатор пользователя. Система использует его для распределения прав файлам и процессам.
GID – числовой идентификатор группы. Имена групп расположены в файле /etc/group. Система использует его для распределения прав файлам и процессам.
Настоящее имя пользователя – используется в административных целях, а также командами типа finger (получение информации о пользователе через сеть).
Домашний каталог – полный путь к домашнему каталогу пользователя.
Оболочка – командная оболочка, которую использует пользователь при сеансе. Для нормальной работы она должна быть указана в файле регистрации оболочек /etc/shells.

/etc/group – этот файл содержит информацию о группах, к которым принадлежат пользователи:

Имя группы – имя, применяемое для удобства использования таких программ, как newgrp .
Шифрованный пароль – используется при смене группы командой newgrp. Пароль для групп может отсутствовать.
GID – числовой идентификатор группы. Система использует его для распределения прав файлам и процессам.
Пользователи, включенные в несколько групп – В этом поле через запятую отображаются те пользователи, у которых по умолчанию (в файле /etc/passwd ) назначена другая группа.

На сегодняшний день хранение паролей в файлах passwd и group считается ненадежным.

В новых версиях Linux применяются так называемые теневые файлы паролей – shadow и gshаdow. Права на них назначены таким образом, что даже чтение этих файлов без прав суперпользователя невозможно. Нужно учесть, что нормальное функционирование системы при использовании теневых файлов подразумевает одновременно и наличие файлов passwd и group. При использовании теневых паролей в /etc/passwd и /etc/group вместо самого пароля устанавливается символ ‘x’, что и является указанием на хранение пароля в /etc/shadow или /etc/gshadow.

Файл shadow хранит защищенную информацию о пользователях, а также обеспечивает механизмы устаревания паролей и учетных записей. Вот структура файла shadow :

имя пользователя ;
шифрованный пароль – применяются алгоритмы хеширования, как правило MD5 или символ ‘!’, в случаях, когда интерактивный вход пользователя в систему запрещен;
число дней с последнего изменения пароля, начиная с 1 января 1970 года;
число дней, перед тем как пароль может быть изменен;
число дней, после которых пароль должен быть изменен;
число дней, за сколько пользователя начнут предупреждать, что пароль устаревает;
число дней, после устаревания пар

В Linux, кроме обычных пользователей, существует один (и только один) пользователь с неограниченными правами. Идентификаторы UID и GID такого пользователя всегда 0 . Его имя, как правило, root, однако оно может быть изменено (или создано несколько символьных имен с одинаковым GID и UID), так как значение для применения неограниченных прав доступа имеет только GID 0 . Для пользователя root права доступа к файлам и процессам не проверяются системой. При работе с использованием учетной записи root необходимо быть предельно осторожным, т.к. всегда существует возможность уничтожить систему.

В Linux используется развитая система распределения прав пользователям. Но для точного опознания пользователя одного имени недостаточно с точки зрения безопасности. Именно поэтому используется и пароль – произвольный набор символов произвольной длины, обычно ограниченной лишь используемыми методами шифрования.

Сегодня в большинстве версий Linux пароли шифруются по алгоритмам 3DES и MD5 (устарело, теперь SHA512). Когда алгоритм 3DES является обратимым, то есть такой пароль можно расшифровать, MD5 – это необратимое преобразование. Пароли, зашифрованные по алгоритму 3DES не применяются при использовании теневых файлов для хранения паролей.

При аутентификации, пароль, введенный пользователем, шифруется тем же методом, что и исходный, а потом сравниваются уже зашифрованные копии. Если они одинаковые, то аутентификация считается успешной.

Учитывая ежедневно увеличивающиеся требования к безопасности, в Linux есть возможность использовать скрытые пароли. Файлы /etc/passwd и /etc/group доступны для чтения всем пользователям, что является довольно большой брешью в безопасности системы. Именно поэтому в современных версиях Linux предпочтительнее использовать скрытые пароли. Такие пароли располагаются в файлах /etc/shadow и /etc/gshadow, для паролей пользователей и групп соответственно.

Команда login запускает сеанс интерактивной работы в системе. Она проверяет правильность ввода имени и пароля пользователя, меняет каталог на домашний, выстраивает окружение и запускает командный интерпретатор. Команду login как правило не запускают из командной строки — это обычно за пользователя делают менеджеры консоли — например getty или mgetty.

Команда su (switch user) позволяет сменить идентификатор пользователя уже в процессе сеанса. Синтаксис ее прост: su username, где username – имя пользователя, которое будет использоваться. После этого программа запросит пароль. При правильно введенном пароле, su запустит новый командный интерпретатор с правами пользователя, указанного su и присвоит сеансу его идентификаторы. Если имя пользователя опущено, то команда su использует имя root.

su root 
	Password: 
#_ 

При использовании команды su пользователем root она, как правило, не запрашивает пароль.

Команда newgrp аналогична по своим возможностям su с той разницей, что происходит смена группы. Пользователь должен быть включен в группу, которая указывается в командной строке newgrp . При использовании команды newgrp пользователем root она никогда не запрашивает пароль. Синтаксис команды аналогичен синтаксису команды su: newgrp groupname, где groupname – имя группы, на которую пользователь меняет текущую.

Команда passwd является инструментом для смены пароля в Linux. Для смены своего пароля достаточно набрать в командной строке passwd:

passwd 
	Changing password for student 
	(current) UNIX password: 
	New password: 
	Retype new password: 
	passwd: all authentication tokens updated successfully 
$_ 

Для смены пароля группы и управления группой используется команда gpasswd Для смены пароля достаточно набрать в командной строке gpasswd GROUPNAME . Сменить пароль вам удастся только если Вы являетесь администратором группы. Если пароль не пустой,то для членов группы вызов newgrp пароля не требует, а не члены группы должны ввести пароль. Администратор группы может добавлять и удалять пользователей с помощью параметров -a и -d соответственно. Администраторы могут использовать параметр -r для удаления пароля группы. Если пароль не задан, то только члены группы с помощью команды newgrp могут войти в группу. Указав параметр - R можно запретить доступ в группу по паролю с помощью команды newgrp (однако на членов группы это не распространяется). Системный администратор ( root ) может использовать параметр -A, чтобы назначить группе администратора.

Команда change управляет информацией об устаревании пароля и учетной записи. Обычный пользователь (не root ) может использовать команду только для просмотра своих параметров устаревания пароля:

change -l gserg 
	Last password change : Май 03, 2007 
	Password expires : never 
	Password inactive : never 
	Account expires : never 
	Minimum number of days between password change : 0 
	Maximum number of days between password change : 99999 
	Number of days of warning before password expires : 7 

Суперпользователь же может использовать также иные параметры, такие как:

-d дата (в формате системной даты, например ДД.ММ.ГГГГ) – устанавливает дату последней смены пароля пользователем.
-E дата – установить дату устаревания учетной записи пользователя
-I N – установить количество дней неактивности N с момента устаревания пароля перед тем как учетная запись будет заблокирована
-m N – задает минимальное количество дней (N) между сменами пароля
-M N – задает максимальное количество дней (N) между сменами пароля
-W N – задает количество дней, за которые будет выдаваться предупреждение об устаревании пароля.

Задания для самостоятельного выполнения

Определить значение umask, при котором создаваемые файлы будут доступны для исполнения всем.
Создать в домашнем каталоге подкаталог tmp, в котором сможет создавать, удалять и переименовывать файлы любой пользователь, входящий в группу student, но при этом его содержимое не должно быть видимым никому кроме владельца. Проверить правильность настроек доступа.
Создать в домашнем каталоге папку shared, в которой могут создавать файлы любые пользователи, но удалять файлы могут только те, кто их создал. Проверить правильность настроек доступа.

Контрольные вопросы

Какие основные файлы хранят информацию о зарегистрированных в системе пользователях?
Как добавить пользователя в систему?
Зачем операционная система отслеживает дату назначения пароля пользователю?
Для чего служит пароль группы?
Каково назначения файла /etc/shadow?
Как поменять пароль пользователю? Кто может это сделать?
Почему возникает необходимость выполнить команду от имени другого пользователя?

Практика: Права доступа

В этой работе вы получите навыки по управлению правами доступа к файловым ресурсам системы, освоить основные команды - chmod, chown, chgrp.

Видео занятия

Цель работы

Получить навыки по управлению правами доступа к файловым ресурсам системы, освоить основные команды - chmod, chown, chgrp.

Основное задание

Войти в систему с собственной учетной записью
Создать в домашнем каталоге 2-3 файла произвольного содержания (имена файлов - u1, u2, u3).
Получить развернутый список файлов домашнего каталога и сохранить его в файле listing1
Просмотреть файл listing1, обратив внимание на поля прав доступа, владельца и группы
Повторить п. 2 от имени пользователя root в новом сеансе или по команде su (имена файлов - r1, r2, r3). Завершить сеанс root
Повторить п.3, результат дописать в файл listing1
Открыть файл listing1 и сравнить права доступа для файлов, созданных от вашего имени и от имени суперпользователя
Изменить содержимое файлов, созданных вами и суперпользователем. Сохранить изменения
Открыть сеанс root
Перейти в каталог /home/ваша_учетная_запись
Изменить права доступа к файлам u1 и r1 следующим образом:
- u1: запретить запись для владельца и группы
- r1: разрешить запись для всех
Переключиться в сеанс пользователя и изменить содержимое файлов u1 и r1. Сохранить изменения
Перейти в сеанс root и изменить владельца файлов u1 и u2 на root, а группу - на stud
Из tty1 попробовать изменить файл u2
Из tty2 создать каталоги /home/shared, home/shared/pub, /home/shared/upload, /home/shared/temp. Установить на них следующие права:

каталог	владелец	группа	права
pub	root	users	775
upload	nobody	users	130
temp	stud	users	777

Выполнить копирование, чтение, удаление файлов u1, u2, u3, r1, r2, r3 в каталоги, созданные в п. 15 из сеансов root, stud и вашего. Сравнить и проанализировать результаты.

Методические указания

Выполняя предыдущие лабораторные работы вы уже сталкивались с разграничением прав доступа в ОС Линукс. Такое разграничение обусловлено многозадачностью и многопользовательским режимом Линукс и призвано повысить безопасность и надежность системы, а также обеспечить защиту конфиденциальной информации.

Каждый файл в Линукс характеризуется набором атрибутов, определяющих его принадлежность и права доступа. Отношение принадлежности файла определено для:

владельца файла(user) - пользователя, создавшего (что не обязательно) этот файл;
группы (group) - в состав которой входит владелец;
прочих (other) пользователей.

Для каждого объекта в файловой системе Linux существует набор прав доступа, определяющий взаимодействие пользователя с этим объектом. Такими объектами могут быть файлы, каталоги, а также специальные файлы (например, устройства) — то есть по сути любой объект файловой системы. Так как у каждого объекта в Linux имеется владелец, то права доступа применяются относительно владельца файла. Они состоят из набора 3 групп по три атрибута:

чтение( r ), запись( w ), выполнение( x ) для владельца;
чтение, запись, выполнение для группы владельца;
чтение, запись, выполнение для всех остальных.

Атрибуты файла могут быть представлены в символьном или числовом виде. Символьное представление атрибутов - это строка, где последовательно записаны права доступа в следующем виде:

rwxrwxrwx

где каждая тройка символов определяет права на чтение (r), запись (w) и исполнение (x) для соответствующих пользователей (первая тройка - для владельца (user), вторая - для группы (group), третья - для прочих (other).

К правам доступа относятся: чтение (read), изменение (write), исполнение (execute). Понимание этих прав будет различным и зависеть от содержания файла. Наибольшие различия - между обычными (regular) файлами и каталогами. Эти различия приведены в табл. 1.

	Файлы	Каталоги
Чтение	Просмотр содержимого файла (например, текста) в соответствующей программе и возможность его копирования	Обзор списка файлов и возможность копирования каталога (в общем случае, вместе со всем содержимым)
Изменение	Редактирование содержимого файла и его копирование, но не удаление или переименование/перемещение	Обеспечивает возможность записи и удаления файлов
Исполнение	Разрешает запуск программ и сценариев оболочки	Разрешает переход в каталог и перемещение по нему

Таким образом появляется возможность создания так называемых “скрытых” каталогов, когда невозможно получить список файлов, но пользователь точно знающий имя файла может скопировать его из “скрытого” каталога.

Вот пример отображения списка файлов с правами доступа, представленными в символьном виде:

dir -L1 
	итого 2722316 
	-rw-r--r-- 1 aag users 498444757 Ноя 27 16:15 aag.asoiu.tar.gz 
	drwxr-xr-x 2 aag users 4096 Июн 1 2007 bin 
	-rw-r--r-- 1 aag users 26 Фев 20 10:20 description.txt 
	drwxr-xr-x 5 aag users 4096 Мар 2 20:01 Desktop 
	drwx------ 2 aag users 4096 Фев 23 09:50 Documents 
	drwxr-xr-x 4 aag users 4096 Фев 28 00:03 downloads 
	-rwxrwxr-x 1 aag users 7523 Окт 20 2006 Dz19.jpg 
	-rw-r--r-- 1 aag users 8336 Фев 24 01:12 httpd.myconf 
	-rw-r--r-- 1 aag users 20 Фев 25 16:32 index.html 
	-rw-r--r-- 1 aag users 30296 Фев 23 10:05 logofish.xcf 
	drwxr-xr-x 2 aag users 4096 Сен 28 22:53 Music 
	drwxr-xr-x 3 aag users 4096 Дек 3 13:45 Projects 
	drwxr-xr-x 4 aag users 4096 Фев 26 00:05 public_html 
	-rw-r--r-- 1 aag users 1088 Фев 20 10:18 readme.txt 
	drwxr-xr-x 4 aag users 4096 Фев 27 23:41 scrapbook 
	-rw------- 1 root root 0 Июн 2 2007 session_mm_cli0.sem

Обратите внимание на первые символы в записи прав доступа. В приведенном листинге первый символ d указывает, что файл является каталогом. Признаком специального символьного и блочного устройств являются символы с и b, а для каналов (pipes) соответственно p.

Числовое представление прав доступа - это трехзначное число, каждая цифра которого определяет (слева направо) права для владельца, группы и прочих. Права определяются как сумма цифр 4 (чтение), 2 (запись) и 1 (исполнение). Таким образом, например файл f1, создателем которого является user1 и разрешенный для чтения и изменения членам группы users и только для чтения всем прочим, будет иметь следующие атрибуты:

в символьном виде: rw-rw-r–
в числовом виде: 664

Вновь создаваемый файл обычно получает права rw-r–r– (зависит от установок системы и значения umask (см. man umask). Для изменения атрибутов используется команда chmod, которая может принимать как символьное, так и числовое представление атрибутов в качестве параметра. Ниже приведены примеры использования команды:

dir hello.txt 
	**-rw-r--r--** 1 aag users 17 Мар 2 22:32 hello.txt 
chmod **go+w** hello.txt // _разрешить запись для группы и прочих_ 
dir hello.txt 
	**-rw-rw-rw-** 1 aag users 17 Мар 2 22:32 hello.txt  
chmod **ug+x** hello.txt // _разрешить выполнение для владельца и группы_ 
dir hello.txt 
	**-rwxrwxrw-** 1 aag users 17 Мар 2 22:32 hello.txt 
chmod **a-x** hello.txt // _запретить выполнение для всех (**a** == ugo)_ 
dir hello.txt 
	**-rw-rw-rw-** 1 aag users 17 Мар 2 22:32 hello.txt 
chmod **go-w** hello.txt // _запретить запись для группы и прочих_ 
dir hello.txt 
	**-rw-r--r--** 1 aag users 17 Мар 2 22:32 hello.txt 
chmod **755** hello.txt // _разрешить чтение и выполнение всем и запись владельцу_ 
dir hello.txt 
	**-rwxr-xr-x** 1 aag users 17 Мар 2 22:32 hello.txt 
chmod **644** hello.txt // _запретить выполнение всем_ 
dir hello.txt 
	**-rw-r--r--** 1 aag users 17 Мар 2 22:32 hello.txt 
chmod **711** hello.txt // _разрешить только выполнение для группы и прочих_ 
dir hello.txt 
	**-rwx--x--x** 1 aag users 17 Мар 2 22:32 hello.txt

Для распределения прав доступа в Linux существует множество команд. Основные из них – это chmod, chown и chgrp. Для смены владельца файла и группы (опционально) используется команда chown, а для смены группы - команда chgrp (см. man chown, man chgrp).

В символьном виде использование команды chmod будет выглядеть следующим образом:

chmod [ugoa] [+-] [rwx] filename

где: u,g,o,a – установка прав для пользователя, группы, остальных пользователей, всех групп прав доступа соответственно.

+,-,= – добавить, удалить, установить разрешение соответственно.

r,w,x,X,u,g,o – право чтения, записи, выполнения, выполнения если есть такое право еще у какой либо из групп доступа, такие же как у владельца, такие же как у группы, такие же как у остальных пользователей.

filename - Имя файла, у которого изменяются права.

Просмотр разрешений, установленных на файл осуществляется командой ls с ключом -l:

ls -l lesson5.txt
	-rw------- 1 student student 39 Nov 19 15:17 lesson5.txt 
chmod g+rw lesson5.txt 
ls -l lesson5.txt 
	-rw-rw---- 1 student student 39 Nov 19 15:18 lesson5.txt 
chmod o=u lesson5.txt 
ls -l lesson5.txt 
	-rw-rw-rw- 1 student student 39 Nov 19 15:18 lesson5.txt 
chmod o-w lesson5.txt 
ls -l lesson5.txt 
	-rw-rw-r-- 1 student student 39 Nov 19 15:19 lesson5.txt 

Для использования абсолютного режима необходимо представить права доступа к файлу в виде 3-х двоичных групп. Так например:

rwx r-x r– будет выглядеть как: 111 101 100

Теперь каждую двоичную группу перевести в 8-ричное число: 111 – 7, 101 – 5, 100 – 4 .

Чтобы задать файлу такие права необходимо выполнить команду:

ls -l lesson5.txt 
	-rw-rw-r-- 1 student student 39 Nov 19 15:19 lesson5.txt 
chmod 754 lesson5.txt 
ls -l lesson5.txt 
	-rwxr-xr-- 1 student student 39 Nov 19 15:19 lesson5.txt 

Также предложить им проделать то же самое в символьном виде.

Команда chown (CHange OWNer – сменить владельца) – позволяет сменить владельца файла. Для использования этой команды необходимо либо иметь права владельца текущего файла или права root . Синтаксис команды прост:

chown username:groupname filename 

где username – имя пользователя – нового владельца файла; groupname – имя группы – нового владельца файла; filename – имя файла, у которого сменяется владелец.

Имя группы в синтаксисе команды можно не указывать, тогда будет изменен только владелец файла.

Команда chgrp используется для изменения владельца-группы файла. Синтаксис ее таков:

chgrp groupname filename

где: groupname – имя группы, которой будет принадлежать файл filename – имя изменяемого файла

Имейте в виду, что использовать команды chown и chmod может только пользователь-владелец файла и root , а команду chgrp - пользователь-владелец файла, группа-владелец файла и root .

Существуют еще несколько особых прав, которые могут устанавливаться на файлы и каталоги. О некоторых из них мы поговорим при изучении темы “процессы”. Но один рассмотрим сейчас. Это так называемый sticky bit (бит прикрепления).

В первых версиях Юникс этот бит использовался для того, чтобы заставить систему при работе программы оставлять образ ее кода в памяти. Тогда при следующем обращении к программе на ее запуск тратилось намного меньше времени так как чтение кода с устройства более не требовалось. Для файлов и сегодня в Linux осталось прежнее значение этого бита. А вот для каталогов этот атрибут приобрел новое значение. Если sticky bit установлен на каталог, то удалить файлы из такого каталога может только пользователь-владелец файла, и то только если у него есть право на запись в файл. Группа-владелец и остальные пользователи даже при наличии прав на запись в файл не смогут удалить его при установленном на каталог sticky bit. Бит прикрепления устанавливается командой chmod в символьном виде:

chmod +t filename 

Задания для самостоятельного выполнения

В текущей папке создать файл hello следующего содержания

#!/bin/sh \
echo Hello, World! \
echo -n "I'm " \
whoami

Выполнить следующие действия и проанализировать результаты:
- набрать в командной строке имя файла hello и нажать Enter
- набрать в командной строке sh hello и нажать Enter
- установить для файла hello права на исполнение (x), ввести имя файла в командной строке (./hello) и нажать Enter
Разберитесь, как в Linux можно организовать специальные каталоги-файлообменники - такие, что создавать в них файлы могут любые пользователи, а удалять - только владельцы файлов (тот, кто их создал).

Контрольные вопросы

Зачем у файла нужны атрибуты доступа?
Для каких трех категории пользователей задаются права доступа каждого конкретного файла?
Для чего в UNIX-подобных системах используются пользовательские группы?
Какие действия с файлами регламентируются правами доступа?
На какой системе счисления основывается числовое представление прав доступа?
Чем отличается назначение прав доступа к простому файлу и к директории?
Кто может менять права доступа определенного файла?
Каково назначение специальных битов прав доступа?