Télécharger - Site personnel de Serge Moutou

777 = 111 111 111 permissions maxi = rwx rwx rwx
- 027 = 000 010 111 masque de protection
= 750 = 111 101 000 permissions effectives = rwx r-x ---
La commande umask
umask affiche le masque de l'utilisateur actif
Quelles sont les valeurs des masques par défaut de root et des autres utilisateurs ?
umask -S affiche les permissions correspondantes au masque, sous forme symbolique.
umask masque fixe les permissions ultérieures de création des fichiers de l'utilisateur actif,
conformément à masque, en notation octale.
Attention ! le changement ne s'applique qu'à la présente session.
Pour la rendre permanente, on peut intervenir sur un fichier profile :
Dans le fichier profil général /etc/profile, on peut modifier la règle habituelle :
if [ $UID == 0 ] ; then umask 022 ; else umask 077 ; fi
Pour agir au niveau des utilisateurs, ajouter la ligne umask masque dans le fichier de profil
personnel $HOME/.bash_profile
Les droits étendus
Le droit SUID
Sa présence permet à un fichier exécutable de s'exécuter sous l'identité et donc les droits de son
propriétaire, à la place des droits de l'utilisateur actuel qui l'exécute.
Il s'agit d'un dispositif de sécurité essentiel qui autorise un utilisateur quelconque (par rapport à la commande)
à bénéficier de droits plus étendus que les siens (souvent ceux de root), pour exécuter la commande agir sur
d'autres fichiers indispensables, juste le temps et sous le contrôle de l'exécution de la commande, SANS qu'il
soit nécessaire d'attribuer ces droits en permanence sur les fichiers.
Ce droit est noté symboliquement s et se positionne à la place du x du propriétaire u (mais sans écraser le droit
x)
Sa valeur octale est 4000
Exemple significatif
Examiner les droits du fichier exécutable /usr/bin/passwd, qui permet de (re)définir un mot de passe et le
comparer à ceux du fichier /etc/shadow qui contient les mots de passe cryptés.
Observez :
ll /etc/shadow
-r-------- root root shadow
ll -l /usr/bin/passwd
-r-sr-xr-x root bin passwd
Comme le droit x est accordé à tous, chacun peut donc exécuter la commande passwd, mais personne ne
posséde pas lui-même le droit d'écriture dans le fichier /etc/shadow qui doit le stocker.
Le positionnement du SUID permet d'agir en tant que root lors de la demande d'accès au fichier et comme root
a tous les droits, il est alors possible de mettre à jour ce fichier des mots de passe.
Manipulation
Comment connaitre les commandes comme passwd, qui offre cette permission SUID ? Voici plusieurs façons
cd /usr/bin
# grep filtre les lignes produites par ls en utilisant
# l'expression rationnelle ^...s
ls -l | grep "^...s"
55 /163