Nhược điểm của ô 077?

Nhược điểm là gì, để có một ô hạn chế 077? Rất nhiều bản phân phối (tôi tin tất cả, ngoại trừ Red Hat?) Có ô mặc định là 022, được định cấu hình trong / etc / profile. Điều này có vẻ quá không an toàn đối với một hệ thống không có máy tính để bàn, nơi nhiều người dùng đang truy cập và bảo mật là điều đáng quan tâm.

Trên một lưu ý liên quan, trên Ubuntu, các thư mục chính của người dùng cũng được tạo với 755 quyền và trình cài đặt nói rằng điều này là để giúp người dùng chia sẻ tệp dễ dàng hơn. Giả sử rằng người dùng thoải mái cài đặt quyền bằng tay để tạo các tệp được chia sẻ, đây không phải là vấn đề.

Những nhược điểm khác là gì?

022 làm cho mọi thứ thuận tiện. 077 làm cho mọi thứ trở nên ít thuận tiện hơn, nhưng tùy thuộc vào hoàn cảnh và hồ sơ sử dụng, nó có thể không tiện lợi hơn việc phải sử dụng sudo.

Tôi sẽ lập luận rằng, giống như sudo, lợi ích bảo mật thực tế, có thể đo lường được mà bạn có được từ việc này là không đáng kể so với mức độ đau đớn mà bạn gây ra cho chính mình và người dùng. Là một chuyên gia tư vấn, tôi đã bị khinh miệt vì quan điểm của mình sudovà thách thức phá vỡ nhiều sudothiết lập, và tôi vẫn chưa mất hơn 15 giây để làm điều đó. Cuộc gọi của bạn.

Biết về điều đó umasklà tốt, nhưng nó chỉ là một Corn Flake duy nhất trong "bữa sáng hoàn chỉnh". Có lẽ bạn nên tự hỏi mình "Trước khi tôi thực hiện các cấu hình mặc định, tính nhất quán của nó sẽ cần được duy trì trên các cài đặt, và sẽ cần phải được ghi lại và chứng minh cho những người không biết gì, điều này sẽ mua tôi?"

Umask cũng là một bash tích hợp có thể cài đặt được bởi người dùng cá nhân trong các tệp khởi tạo shell của họ ( ~/.bash*), vì vậy bạn không thực sự có thể dễ dàng thực thi umask. Nó chỉ là một mặc định. Nói cách khác, nó không mua cho bạn nhiều.

Nhược điểm rõ ràng nhất là khi bạn bắt đầu tạo tập tin / thư mục trong một thư mục dùng chung, mong muốn người dùng khác truy cập chúng.

Tất nhiên, vấn đề không phải là quên cài đặt ô chính xác trước khi thực hiện những thứ cần được chia sẻ bởi tất cả người dùng.

Một cảnh báo khác (không thực sự là nhược điểm, một khi bạn đã biết về nó) là khi bạn bắt đầu thực hiện các công cụ sudo như cài đặt chương trình cục bộ, đá quý ruby, trứng trăn (không phải là quản lý gói rõ ràng), tạo tệp cấu hình, v.v.

Bạn sẽ gặp rắc rối vì umask được kế thừa bởi phiên sudo, vì vậy chỉ root mới có thể truy cập các tệp / thư mục bạn tạo. sudo có thể được cấu hình để tự động đặt ô theo cách bạn muốn: câu hỏi này được đề cập trên superuser.com .

Umask sẽ không phù hợp nếu bạn đang cố kiểm soát những gì người dùng khác có thể nhìn thấy từ nhau. Tuy nhiên, nếu bạn có và làm việc với nhiều tệp nhạy cảm đến mức được yêu cầu cho phép truy cập chúng thì sẽ ít phiền toái / rủi ro hơn là chỉ để mọi người thấy bất cứ điều gì họ muốn, hơn là một câu 077 sẽ là một ý tưởng hay.

Tôi có một số tệp nhạy cảm trên một máy chủ tệp tôi quản lý. Tôi nghĩ rằng việc đặt một ô hạn chế sau đó có một tập lệnh định kỳ, có thể một công việc định kỳ để đặt các quyền cụ thể hơn cho các mục trong các thư mục nhất định sẽ là một giải pháp lý tưởng cho tôi. Khi tôi thiết lập nó, tôi sẽ đăng lại ở đây và cho bạn biết nó hoạt động như thế nào.

@ [The guys bashing sudo] Bắt đầu một chủ đề mới cho nó, nó có thể mất một số chủ đề của riêng nó và chủ đề này là về umask.

Các ứng dụng của bên thứ ba sử dụng các hệ thống cài đặt của riêng họ có thể có các giả định tích hợp về ô mặc định của hệ thống.

Như một ví dụ thực tế, sau khi cập nhật cơ sở dữ liệu Oracle 10 trên một hệ thống được cài đặt thành 077, các ứng dụng trên cùng hệ thống không thể truy cập cơ sở dữ liệu ... vì các thư viện cần thiết cho máy khách cơ sở dữ liệu và thư mục các thư viện đã được đặt tại, hiện đã được bảo vệ để chỉ oraclengười dùng có thể truy cập chúng, đó rõ ràng không phải là cách mọi thứ được cho là hoạt động.

Hóa ra quy trình cập nhật của Oracle không đặc biệt quan tâm rằng các quyền của thư viện khách sẽ cho phép người dùng khác sử dụng chúng, nhưng thay vào đó dựa vào giả định rằng các tệp được thêm bởi trình cập nhật sẽ được tạo bằng umask 022 và do đó có thể sử dụng được theo mặc định Sau một vài chmod -R a+rXlệnh hợp lý cho các thư mục thích hợp, tất cả đã hoạt động tốt trở lại.

Cấp, điều này có thể tránh được bằng cách coi oracletài khoản là tài khoản hệ thống đặc biệt với ô tiêu chuẩn 022 và hạn chế ô 077 chỉ thực sự có tài khoản người dùng có thể đăng nhập ... nhưng tôi nghĩ đây là một ví dụ hay về cách làm cứng chăn "Quyết định có thể có tác dụng phụ không lường trước.

.rpmvà .debcác gói mang thông tin cấp phép rõ ràng cho bất kỳ tệp nào chúng chứa, vì vậy chúng thường không có nguy cơ lỗi loại này.

Tôi có dòng này trong ~/.zshrc

umask 0077

thiết lập nó trên toàn cầu có lẽ không phải là một ý tưởng hay, nhưng đặt nó làm mặc định trong tệp RC của bạn có thể sẽ không gây hại hoặc thậm chí đặt nó làm mặc định trong /etc/skel/.rctệp. hệ thống rộng sẽ gây ra vấn đề mặc dù.

Nó sẽ gây ra vấn đề trên một máy chủ; ví dụ: khi có nhiều ứng dụng chạy như những người dùng khác nhau đang cố truy cập các tệp từ những người dùng khác nhau. Giống như apache đọc tập tin cấu hình hoặc đọc lỗ pi dnsmasq.conf. Chỉ cần chạy nó trên người dùng có thể hưởng lợi từ nó như các thư mục nhà riêng lẻ, không được thiết lập rõ ràng /etc/profile.