web-dev-qa-db-ja.com

ユーザーのホームディレクトリ内のファイルのデフォルトの所有者/アクセス許可

問題を修正しようとするユーザーや、どこかでホームディレクトリを再帰的にchownしようとするユーザーや、アクセス許可を再帰的にrwxr-xr-xなどのようにリセットするユーザーをよく見かけます。

そのような所有者/許可の大虐殺を想像してください-need特別な許可が必要な、またはシステムが機能するためにルート所有される重要なファイル/ディレクトリはありますか？

permissionshome-directory
14
Byte Commander

~のファイルは、rootが所有する必要はありません。

ソフトウェアがyour homeディレクトリのファイルを別のユーザーが所有する必要がある場合、それはバグであり、そのように報告する必要があります。

それ以外の一般的なケースには、特定のファイルに対する制限付きアクセス許可を必要とする2つのセキュリティ関連ソフトウェアが含まれます。

  1. SSH
  2. GPG

SSH

man ssh、セクションFILESを参照してください。

 ~/.ssh/config
     This is the per-user configuration file.  The file format and
     configuration options are described in ssh_config(5).  Because of
     the potential for abuse, this file must have strict permissions:
     read/write for the user, and not writable by others.  It may be
     group-writable provided that the group in question contains only
     the user.

 ~/.ssh/identity
 ~/.ssh/id_dsa
 ~/.ssh/id_ecdsa
 ~/.ssh/id_ed25519
 ~/.ssh/id_rsa
     Contains the private key for authentication.  These files contain
     sensitive data and should be readable by the user but not acces‐
     sible by others (read/write/execute).  ssh will simply ignore a
     private key file if it is accessible by others.  It is possible
     to specify a passphrase when generating the key which will be
     used to encrypt the sensitive part of this file using 3DES.

authorized_keys、known_hostsなどの他のファイルは、ユーザーのみが書き込み可能である必要がありますが、誰でも読み取り可能です。

GnuPG

~/.gnupg（およびコンテンツ）は、あなただけがアクセスできるようにする必要があります。他のアクセス許可では、GPGは安全でないアクセス許可について文句を言います。

17
muru

一般的に、あなたの家のファイルとディレクトリはあなたが所有するべきです。
_Sudoコマンドを実行した結果と思われる奇妙なルート所有ファイルがいくつかあります。実際、$HOMEの下に物事を書くプログラムがあります（スーパーユーザー特権を必要とする行儀の良いプログラムはすべきではありません---結果はrootがユーザーに属するべきファイルの所有権を取得することです）。
通常ファイルを削除または再所有しても問題は発生せず、多くの場合、悪名高い.Xauthorityファイルのようにいくつかの問題を解決します---そして時々Sudo dconf-editorを実行した後、あなたはあなたがもう修正できない構成で物事を持っています。

特別なモードについて：

  • もちろん、スクリプトは少なくとも所有者に対して実行可能でなければなりません。
  • したがって、ディレクトリも必要です（xはクロスする権利を意味します）。
  • .sshはdrwx------（0700）およびその中の秘密鍵-rw-------（0600）でなければなりません
  • 共有用のPublicディレクトリがある場合は、おそらくdrwxr-xr-x（すべてのユーザーへの読み取り許可）またはdrwxrwxrwt（書き込み許可とスティッキービット、書き込みを有効にする）である必要があります。

...特別な治療が必要なものはこれ以上ありません。

11
Rmano