ServicesFilePermissions
Beschreibung der Zugriffsberechtigungen, die auf den vorhandenen Nuzter-HOMEs eingestellt werden bzw, Beschreibung der Standard-Zugriffsberechtigungen, mit denen Nutzer-HOMEs am Fachbereich angelegt werden (einschließlich der Motivation für die gewählten Einstellungen/Beschränkungen).
Wir setzen für neu angelegte User bzw. Gruppen folgende Permissions:- /home/mi/$USER
rwx------ - /storage/mi/$USER
rwx------ - /group/$GROUP
rwxrws--- - /buffer/$GROUP … (nach Absprache)
Organisatorisches Ziel
Ab 04.12.2015 setzen wir folgende Sicherheitsziele bei den Home-Verzeichnissen und Storage-Verzeichnissen um:
Die Nutzer-Home- bzw. Nutzer-Storage-Verzeichnisse selbst sollen aus Sicherheitsgründen- generell nicht schreibbar für die "Welt" (others) sein
- nicht schreibbar für die Gruppe (group) sein (jedenfalls keinesfalls bei 'unüberschaubar großen' Gruppen wie students oder inf_institut)
- Bei Schreib- oder Durchsuchungsrecht für die Gruppe oder für die Welt ohne gleichzeitiges Leserecht (
-wxoder-w-) gehen wir von einer unbeabsichtigten Fehlkonfiguration aus, die in Richtung sichere Berechtigung (d.h. kein Zugriff für Gruppe bzw. Welt) korrigiert wird - keine Permissions aufweisen, die in Kombination mit ungünstigen untergeordneten Datei-/Verzeichnisrechten vermutlich unbeabsichtigten Lese-Zugriff auf nachgeordnete Dateien/Verzeichnisse ermöglichen könnten, wie es z.B. bei der Kombination "kein Lese-, wohl aber Durchsuchungsrecht" (
--x) für die Gruppe bzw. für die Welt der Fall wäre.
ls -l, chmod und chgrp nachträglich kontrolliert und geändert sowie mittels umask schon beim Anlegen beeinflusst werden (für Details verweisen wir auf die Manual-Seiten zu den Kommandos, also man ls, man chgrp usw.)
Begründung / Motivation
- Schreibzugriff für beliebige Nutzer auf das eigene Heimatverzeichnis ermöglicht beliebige Manipulationen von darin enthaltenen Dokumenten, Daten und Konfigurationsdateien. Das ist weder im Sinne der Integrität und Vertrauenswürdigkeit der eingesetzten Systeme noch der darauf gespeicherten wissenschaftlichen oder dienstlichen Daten und Dokumente tolerabel.
- Schreibzugriff für für sämtliche Gruppenmitglieder großer, unüberschaubarer Gruppen (wie 'studis') auf das eigene Heimatverzeichnis ermöglicht beliebige Manipulationen von darin enthaltenen Dokumenten, Daten und Konfigurationsdateien. Das ist im Sinne der Erhaltung der Integrität und Vertrauenswürdigkeit der eingesetzten Systeme und der darauf gespeicherten wissenschaftlichen oder dienstlichen Daten und Dokumente ebenfalls nicht tolerabel.
- Uns sind keine plausiblen Szenarien bekannt, die auf einem Heimatverzeichnis ein Schreib- oder Durchsuchungsrecht für die Gruppe oder für die Welt ohne gleichzeitiges Leserecht umfassen würden. Entsprechende Berechtigungskombinationen dürften nicht das Ergebnis einer bewussten Entscheidung sein, daher stufen wir sie als Fehler/Fehlkonfiguration ein, die vermieden/behoben werden sollte.
Technische Umsetzung
- Auffinden von Home- bzw. Storage-Verzeichnissen auf der obersten Ebene (auf 'mi-home' bzw. 'mi-storage'), auf die eines oder mehrere der o.g. Kriterien zutreffen (
find /home/mi/ -maxdepth 1 -perm ...). - Entfernen der im Sinne dieser Festlegung unerwünschten/sicherheitskritischen Zugriffsberechtigungen mittels Aufruf von (z.B.)
chmod o-x ...)
Default-Berechtigungen am Fachbereich
Neu erzeugte Heimatverzeichnisse (unter /home/ und auch auf /storage/) werden mit den Zugriffsberechtigungenrwx------ (oktal 0700) angelegt. Das heißt, dass sie für den Inhaber/die Inhaberin les-, schreib- und durchsuchbar sind. Für Mitglieder der Inhabergruppe sind sie weder les- noch schreib- oder durchsuchbar, ebenso wenig für Dritte.
Die Default- umask ist '022' (oktal), es wird also bei neu erzeugten Dateien oder Verzeichnissen der Schreibzugriff für die Gruppe und für die Welt verhindert.
Beispiele
Beispiele 1: Ein Verzeichnis mit Daten (nur) für die eigene Arbeitsgruppe
$ ls -ld $HOME drwxr-x--- 90 bodo sunstaff 4096 Nov 10 17:28 bodoAlso nur Lese- und Durchsuchungs-Berechtigung für die anderen Mitglieder der (Unix-)Gruppe - hier: 'sunstaff', aber keinerlei Zugriffsberechtigungen für Dritte (others). Erreichbar mit
chmod g=rx,o-rwx $HOME .
Solche AG-Daten oder -Dokumente sollten eigentlich sinnvollerweise im entsprechenden Arbeitsgruppenbereich (unter /group/) abgelegt werden. Unser 2. Beispiel für diesen Anwendungsfall bezieht sich daher auf den /group-Server:
$ ls -ld /group/ag_klima drwxrws--- 21 root klima 4096 Mai 6 2015 ag_klimaDas Gruppenverzeichnis der AG Klima gehört dem Nutzer
root (es wurde vom IT-Dienst angelegt) und der Gruppe 'klima'. Es ist für alle Gruppenmitglieder sowohl les- als auch schreib- und durchsuchbar, zusätzlich wird noch - durch das gesetzte Gruppen-'s'-Bit ("set group id bit", setgid bit) sichergestellt, dass darin angelegte Dateien oder Unterverzeichnisse auch wieder der Gruppe 'klima' gehören.
Erreichbar mit
chgrp klima /group/ag_klima chmod g+rwxs,o-rwx /group/ag_klima
Beispiele 2: Ein Verzeichnis mit vertraulichen Daten
$ ls -ld $HOME drwx------ 72 ingmar it 4096 Nov 26 14:53 /home/mi/ingmarAlso keinerlei Zugriffsrechte für die anderen Mitglieder der (Unix-)Gruppe - hier: 'it' - oder für Dritte (others). Erreichbar mit
chmod go-rwx $HOME
Beispiele 3: Ein 'öffentliches' Verzeichnis (nur öffentlicher Lese- Zugriff!)
Gelegentlich ist ein Verzeichnis wünschenswert, dessen Inhalt von jeder/jedem gelesen können werden soll (z.B. für Dokumente, die ohnehin legal aus öffentlich zugänglichen Quellen stammen oder für eigene Dokumente, die für die Allgemeinheit zugänglich sein sollen). Dann muss auch das HOME-Verzeichnis selbst für Dritte les- und durchsuchbar sein.
Achtung! Alle anderen Verzeichnisse und Dateien unterhalb des HOMEs sind dann nicht mehr durch die Berechtigungen des übergeordneten Verzeichnisses geschützt; ihre eigenen Berechtigungen müssen dann so eingestellt sein, dass sie für Unbefugte nicht les-, ausführ- und/oder durchsuchbar sind!
$ ls -ld $HOME drwxr-xr-x 34 demostudi students 4096 Nov 25 17:53 /home/mi/demostudiErreichbar mit
chmod g+rx,o=rx $HOME(und gegebenenfalls weiteren Aufrufen für untergeordnete Verzeichnisse bzw. Dateien).