Chmod-Rechner: Linux-Rechte berechnen

Was macht chmod?

chmod (change mode) ist der Linux- und Unix-Befehl, der festlegt, wer eine Datei oder einen Ordner lesen, schreiben und ausführen darf. Jede Datei hat drei Rechte-Sätze: einen für ihren Besitzer, einen für ihre Gruppe und einen für alle anderen (others). Der Rechner oben macht aus diesen neun Checkboxen die Zahl oder die Buchstaben, die chmod erwartet, und umgekehrt.

Sie können chmod einen Modus auf zwei Arten übergeben: als Oktalzahl, etwa chmod 755 script.sh, oder in symbolischer Form, etwa chmod u+x script.sh. Nur der Besitzer der Datei oder root kann ihre Rechte ändern.

So funktionieren Linux-Dateirechte

Jedes Recht hat einen Wert: Lesen = 4, Schreiben = 2 und Ausführen = 1. Zählen Sie sie für jede Klasse zusammen, um eine Ziffer von 0 bis 7 zu erhalten, und schreiben Sie die drei Ziffern in der Reihenfolge Besitzer, Gruppe, andere. So ist rwx 4+2+1 = 7, r-x 4+0+1 = 5, und rwxr-xr-x ergibt 755.

Mit ls -l sehen Sie dasselbe als Buchstaben, zum Beispiel -rwxr-xr-x. Das erste Zeichen ist der Dateityp (- für eine normale Datei, d für ein Verzeichnis, l für einen symbolischen Link), danach folgen drei rwx-Gruppen für Besitzer, Gruppe und andere. Ein Bindestrich bedeutet, dass das Recht nicht gesetzt ist.

Bei Dateien und Ordnern bedeuten die Buchstaben leicht unterschiedliche Dinge:

Gängige chmod-Rechte und wann Sie sie verwenden

Diese Modi decken fast jeden Fall aus der Praxis ab. Die meisten gibt es im Rechner auch als Vorlage-Button.

chmod 755 vs 644 vs 777

755 und 644 unterscheiden sich nur im Ausführen-Bit: 755 erlaubt jedem, die Datei auszuführen oder den Ordner zu öffnen, 644 nicht. Deshalb lautet die übliche Regel Ordner 755, Dateien 644: Ordner brauchen Ausführen, damit man hineinkommt, während die meisten Dateien nie ausgeführt werden sollten.

777 gibt jedem Konto auf dem Rechner Schreibzugriff, auch dem Benutzer des Webservers. Wird irgendeine Website oder irgendein Skript auf dem Server kompromittiert, kann der Angreifer Ihre Dateien ändern oder ersetzen, Malware in Ihre Seiten einschleusen oder eine Hintertür einbauen. Scheitert etwas mit „Permission denied“, ist die eigentliche Lösung meist der richtige Besitzer (chown) oder die richtige Gruppe, nicht 777.

Empfohlene Rechte für die häufigsten Fälle:

• Website-Dateien (HTML, PHP, Bilder): 644. Website-Ordner: 755. Das empfehlen WordPress und die meisten Hosting-Panels.

• wp-config.php und andere Dateien mit Datenbank-Passwörtern: WordPress empfiehlt 440 oder 400, damit andere Nutzer auf dem Server sie nicht lesen können. 600 oder 640 halten sie ebenfalls privat und lassen den Besitzer trotzdem bearbeiten.

• Upload- oder Cache-Ordner, in die der Webserver schreiben muss: Geben Sie der Gruppe des Webservers Schreibzugriff (775) oder machen Sie den Webserver-Benutzer zum Besitzer, statt 777 zu verwenden.

• Ordner ~/.ssh: 700. Private Schlüssel (id_ed25519, id_rsa): 600 oder 400. authorized_keys: 600. Öffentliche Schlüssel (.pub): 644.

• Shell-Skripte, die Sie ausführen möchten: 755, oder 700, wenn nur Sie sie ausführen sollen. chmod +x script.sh fügt Ausführen hinzu, ohne die anderen Bits anzutasten.

„Permissions 0644 are too open“ bei SSH-Schlüsseln beheben

SSH ignoriert einen privaten Schlüssel, den andere Nutzer lesen können, und meldet WARNING: UNPROTECTED PRIVATE KEY FILE!, gefolgt von Permissions 0644 for '/home/you/.ssh/id_rsa' are too open. Führen Sie chmod 600 ~/.ssh/id_rsa (oder chmod 400) aus und verbinden Sie sich erneut. Auf der Serverseite ignoriert der SSH-Daemon mit der Standardeinstellung StrictModes yes außerdem authorized_keys, wenn diese Datei, ~/.ssh oder Ihr Home-Ordner für die Gruppe oder andere beschreibbar ist.

Wenn die Rechte stimmen und die Verbindung trotzdem scheitert, prüfen Sie, ob Port 22 auf dem Server offen ist.

Sonderrechte: Setuid, Setgid und Sticky Bit

Eine vierte, vorangestellte Ziffer fügt drei Sonderbits hinzu: 4 = setuid, 2 = setgid und 1 = sticky. Sie werden wie die anderen addiert, 6755 ist also setuid plus setgid. In ls -l ersetzen sie den Buchstaben für Ausführen: s an der Position von Besitzer oder Gruppe, t an der Position der anderen.

Eine Linux-Eigenheit: GNU chmod 755 dir (und chmod 0755 dir) lässt ein vorhandenes setuid- oder setgid-Bit auf einem Verzeichnis bestehen. Um es zu entfernen, geben Sie das ausdrücklich an, mit chmod g-s dir (oder chmod a-s dir für beide Bits), oder Sie verwenden fünf Ziffern: chmod 00755 dir.

Symbolischer Modus: u, g, o, a mit +, - und =

Der symbolische Modus ändert Rechte relativ zum aktuellen Stand, was eine reine Oktalzahl nicht kann. Er besteht aus drei Teilen: wer (u Besitzer, g Gruppe, o andere, a alle), einem Operator (+ hinzufügen, - entfernen, = genau setzen) und den Rechten (r, w, x sowie s und t). Trennen Sie mehrere Änderungen durch Kommas ohne Leerzeichen.

chmod +x file ohne Wer-Buchstaben gilt für alle drei Klassen, abzüglich dessen, was Ihre umask sperrt. Mit der üblichen umask 022 entspricht das a+x.

• chmod u+x deploy.sh: Der Besitzer darf das Skript ausführen, sonst ändert sich nichts.

• chmod go-w report.txt: Gruppe und anderen das Schreibrecht entziehen.

• chmod o= secrets.txt: anderen sämtliche Rechte entziehen.

• chmod a+r index.html: Jeder darf die Datei lesen.

• chmod u=rwx,g=rx,o=rx app: die symbolische Schreibweise von 755. Der Rechner zeigt diese Form für jeden Modus.

• chmod -R u=rwX,go=rX public_html: Das große X fügt Ausführen nur bei Ordnern und bei bereits ausführbaren Dateien hinzu, sodass Ordner 755 und normale Dateien 644 erhalten.

umask: Standardrechte für neue Dateien

Die umask bestimmt, welche Rechte neue Dateien und Ordner erhalten. Die meisten Programme legen Dateien mit 666 (rw-rw-rw-) und Ordner mit 777 an, und jedes in der umask gesetzte Bit wird abgeschaltet. Mit der üblichen umask 022 entstehen neue Dateien als 644 und neue Ordner als 755.

Es ist eine bitweise Maske, keine Subtraktion. Mit umask 027 erhalten Dateien 640; zieht man 027 Ziffer für Ziffer von 666 ab, kommt nicht einmal ein gültiger Modus heraus. Öffnen Sie im Rechner den Tab Umask, um das Ergebnis für jeden Wert zu sehen.

• 022: Dateien 644, Ordner 755. Der übliche Standard.

• 002: Dateien 664, Ordner 775. Ihre Gruppe kann bearbeiten, was Sie anlegen; üblich, wenn jeder Nutzer eine eigene private Gruppe hat.

• 027: Dateien 640, Ordner 750. Nichts für andere, eine gute Wahl auf Servern.

• 077: Dateien 600, Ordner 700. Vollständig privat.

• Mit umask sehen Sie Ihren Wert, mit umask -S sehen Sie ihn als Buchstaben, und umask 027 ändert ihn für die aktuelle Shell. Tragen Sie den Befehl in ~/.bashrc oder ~/.profile ein, damit er erhalten bleibt.

So nutzen Sie den Chmod-Rechner

Beispiele für chmod-Befehle

Führen Sie diese Befehle in einem Linux- oder macOS-Terminal aus. Stellen Sie sudo voran, wenn die Datei einem anderen Nutzer oder root gehört.

Weitere Entwickler-Tools

Weitere kostenlose Tools für Entwickler und Systemadministratoren, alle im Browser. Sie brauchen eindeutige IDs für Dateien oder Datensätze? Probieren Sie den UUID Generator.