☰

추가 읽기

tag-icon • tag-icon permissions filesystems acl
추가 읽기

이 파일파일 ACL에 대해서는 차폐 메커니즘이 이를 해결하는 것이라고 언급되어 있습니다.

...ACL이 지원되면 ACL을 인식하지 못하는 POSIX.1 애플리케이션이 갑자기 추가 권한 부여를 시작하지 않습니다.

이 상황의 예는 무엇입니까?

시스템 관리자가 이러한 의도에 따라 확장 ACL 설정이 포함된 파일을 가지고 있는 경우:

  1. 파일 소유자에게 rwx권한이 있어야 합니다.
  2. 파일 그룹의 사용자는 액세스 권한이 없어야 합니다( ---).
  3. ---다른 사람은 ( ) 에 액세스할 수 없습니다 .
  4. 위 세 가지에 대한 예외는 시스템 그룹이 파일에 대한 audit권한을 가지고 있다는 것입니다.r--

파일에 해당하는 확장 ACL은 다음과 같습니다.

# file: path/to/file
# owner: foo
# group: bar
user::rwx
group::---
group:audit:r--
mask::r--
other::---

이 예에서 mask메커니즘이 적절하지 않고 확장 ACL을 인식하지 못하는 도구가 그룹 권한을 --x(strawman 매개변수) 로 변경하려고 시도하면 항목 에 "실수로"가 group::발생하게 됩니다 . group::--x.. 추가 권한 부여" "?

# file: path/to/file
# owner: foo
# group: bar
user::rwx
group::--x
group:audit:r--
other::---

제가 이해한 바로는 소유 그룹의 사용자가 audit실행 능력을 갖게 되는 것이 아니라 소유 그룹의 사용자가 갖게 되는 것입니다. 이 그룹에는 있지만 자신이 속한 그룹에는 없는 사용자 audit는 그렇지 않습니다. 두 사용자 그룹 모두 실행 기능을 얻게 됩니다. 왜 mask필요한지 이해가 안 돼요 .

제가 뭔가 잘못 이해한 것이 있다면 설명해주세요. 내 밀짚 남자는 인용문이 말하는 상황을 설명하지 못할 수도 있습니다. 이런 경우 상황을 설명해 주세요.

답변1

마스크와 비트에 대한 연결이 그렇지 않은 경우 다양한 표준 작업을 수행 하고 ACL이 아닌 이전 Unix에서 전통적으로 작동할 것으로 예상하는 S_IRWXG응용 프로그램을 사용하면 엄청난 보안 허점이 남거나 다음과 같은 내용을 볼 수 있습니다. 보안 취약점에 대한 그들의 아이디어를 살펴보십시오.chmod()chmod()

  • 전통적인 Unix 애플리케이션은 파일, 명명된 파이프, 장치 또는 디렉터리에 대한 모든 액세스를 거부할 수 있기를 원합니다 chmod(…,000). ACL이 있으면 이 기능은 꺼집니다.모두사용자 및 그룹 권한(이전 S_IRWXG마스크에 매핑된 경우) 이것이 없으면 이전 파일 권한을 설정해도 000특정 사용자/그룹에 대한 ACL 항목에 영향을 미치지 않으며 놀랍게도 다른 사용자/그룹이 여전히 객체에 액세스할 수 있습니다.

    파일의 권한 비트를 액세스 금지로 일시적으로 변경한 chmod 000다음 다시 다시 변경하는 것은 Unix가 권고 잠금 메커니즘을 갖기 전에 사용된 오래된 파일 잠금 메커니즘입니다.- 보시다시피 - 사람들은 오늘날에도 여전히 이를 사용하고 있습니다..

  • 기존 Unix 스크립트는 실행될 것으로 예상되며 chmod go-rwx궁극적으로 개체 소유자만 개체에 액세스할 수 있습니다. 다시- 보시다시피 - 이것은 여전히 ​​받아들여지는 지혜입니다.지금도 Unix ACL이 발명된 지 수십 년이 지났습니다. 다시 말하지만, S_IRWXG이전 매핑이 마스크에 대한 것이 아니면 이 명령은 작동하지 않습니다. 그렇지 않으면 명령이 chmod특정 사용자/그룹에 대한 ACL 항목을 닫지 않아 소유자가 아닌 사용자/그룹이 어떤 액세스 권한에 대한 액세스 권한을 유지하게 되기 때문입니다.기대네요접근하기 쉬운오직소유자에게.
  • 대부분의 경우 and권한 비트가 ACL과 분리되어 편집되는 시스템에는 파일 권한 플래그가 필요합니다 rwxrwxrwx. 이는 세계적으로 쓰기 가능하다고 생각하는 것을 보는 많은 Unix 응용 프로그램을 혼란스럽게 합니다.

    권한 비트가 ACL과 분리되어 ACL과 함께 사용되는 시스템은 앞에서 언급한 문제를 or겪게 됩니다 .chmod(…,000)

추가 읽기

관련 정보