Chmod-Rechner

Jede Datei hat einen Eigentümer, eine Gruppe und einen Modus. Der Modus gibt jeder von drei Klassen drei Rechte – neun Bits –, und gleich nach dem Dateityp-Zeichen gibt ls -l genau diese neun Zeichen aus.

-rw-r--r-- ist eine Datei (-), die ihr Eigentümer lesen und schreiben darf und die ihre Gruppe und alle anderen nur lesen dürfen: Modus 644. drwxr-xr-x ist ein Verzeichnis (d) mit 755. Das erste Zeichen ist der Typ: - eine Datei, d ein Verzeichnis, l ein symbolischer Link und b, c, p oder s für die Sonderarten. Fügen Sie eine solche Zeile in den Rechner ein, und er liest Modus und Typ daraus ab.

Bei einem Verzeichnis bedeuten die drei Rechte etwas anderes als bei einer Datei. Lesen erlaubt, die Namen darin aufzulisten. Ausführen erlaubt, es zu betreten und die Dateien zu erreichen, deren Namen Sie schon kennen. Schreiben erlaubt zusammen mit Ausführen, Einträge anzulegen und zu löschen – deshalb hängt das Löschen einer Datei von den Rechten des Verzeichnisses ab, nicht von denen der Datei. Ein Verzeichnis mit Lesen, aber ohne Ausführen können Sie auflisten, aber nicht öffnen.

644 für Dateien, 755 für Verzeichnisse und für alles, was ausgeführt werden muss. Der einzige Unterschied ist das Ausführen-Bit.

644 ist rw-r--r--: Der Eigentümer kann es ändern, alle können es lesen, niemand kann es ausführen. Das passt für HTML, CSS, Bilder, Konfigurations- und Quelldateien. 755 ist rwxr-xr-x: dasselbe, dazu das Ausführen-Bit für alle drei Klassen. Ein Verzeichnis braucht es, sonst kann niemand es betreten, und ein Skript braucht es, sonst verweigert die Shell die Ausführung.

Der Fehler, den Sie vermeiden sollten, ist chmod -R 755 über eine ganze Website, das jedes Bild und jede .php-Datei ausführbar macht. Die zwei find-Befehle, die der Rechner schreibt, geben Verzeichnissen und Dateien in einem Durchgang verschiedene Modi, und zwar die, die Sie tatsächlich gewählt haben, nicht ein Paar aus einem Blogbeitrag.

OpenSSH weigert sich, einen privaten Schlüssel zu benutzen, den jemand außer seinem Eigentümer lesen kann. Setzen Sie den Schlüssel auf 600 und das Verzeichnis .ssh auf 700.

Die genaue Meldung lautet Permissions 0644 for '<path>' are too open., gefolgt von It is required that your private key files are NOT accessible by others. Der Test dahinter ist schroff: Gehört Ihnen die Datei und ist irgendein Gruppen- oder Others-Bit gesetzt, wird der Schlüssel abgelehnt. Deshalb scheitert auch 640, und deshalb ist 600 die Antwort und nicht „etwas weniger als 644“.

chmod 600 ~/.ssh/id_ed25519 und chmod 700 ~/.ssh beheben es. Der öffentliche Schlüssel darf für alle lesbar sein – nur der private Schlüssel und das Verzeichnis zählen hier. Wählen Sie oben unter den häufigen Modi SSH-Schlüssel, und der Rechner schreibt beide Befehle für Sie.

Die vierte Ziffer. Bei einer Datei ändern Setuid und Setgid, als welches Konto ein Programm läuft. Bei einem Verzeichnis bestimmt Setgid die Gruppe neuer Dateien und das Sticky-Bit, wer sie löschen darf.

Setuid (4000) bei einer ausführbaren Datei lässt sie als ihr Eigentümer laufen statt als Sie – passwd ist mit Setuid installiert, damit es mit den Rechten von root läuft, wenn Sie Ihr Passwort ändern. Setgid (2000) tut dasselbe für die Gruppe. Bei einem Verzeichnis tut Setgid etwas anderes und viel Nützlicheres: Neue Dateien darin erben die Gruppe des Verzeichnisses statt der des Erstellers, so bleibt ein gemeinsamer Projektordner gemeinsam. Linux dokumentiert für das Setuid-Bit bei einem Verzeichnis keine Bedeutung; unter macOS und den BSDs kann es neue Dateien den Eigentümer des Verzeichnisses erben lassen, wenn das Dateisystem mit dieser Option eingehängt wurde.

Das Sticky-Bit (1000) bei einem Verzeichnis verhindert, dass man gegenseitig Dateien löscht: Nur der Eigentümer der Datei, der Eigentümer des Verzeichnisses oder root dürfen einen Eintrag entfernen oder umbenennen. /tmp hat genau deshalb den Modus 1777 – alle dürfen darin schreiben, niemand darf die Arbeit eines anderen löschen. Bei einer normalen Datei ignorieren macOS und die BSDs das Sticky-Bit, und laut GNU-Handbuch hat es dort nur auf manchen älteren Systemen eine Bedeutung. Eine Falle: chmod 755 somedir – oder chmod 0755 somedir – löscht ein Setgid-Bit, das bei einem Verzeichnis schon gesetzt ist, nicht, weil GNU chmod es bei jedem numerischen Modus mit weniger als fünf Ziffern absichtlich behält – POSIX verlangt das Löschen nur bei einer regulären Datei. Nehmen Sie g-s oder das fünfstellige chmod 00755; der Rechner schreibt die fünfstellige Form für Sie, wann immer Sie sie brauchen.

ls -l zeigt sie als Buchstaben und stat als Zahl. Fügen Sie eines von beiden in den Rechner ein, und er liest den Modus zurück.

ls -l file gibt -rw-r--r-- 1 you staff 4096 25 Oct 09:26 file aus, und der Rechner nimmt die ganze Zeile – Sie müssen den Modus nicht selbst herauspicken. stat -c '%a %n' file gibt unter Linux 644 file aus; unter macOS lautet dasselbe stat -f '%Lp %N' file. Für ein ganzes Verzeichnis auf einmal listet GNU find . -maxdepth 1 -printf '%m %p\n' jeden Modus als Zahl (das find von macOS kennt kein -printf).

Ein + am Ende der Rechte-Zeichenfolge bedeutet, dass es mehr gibt als die neun Bits: Unter Linux ist es eine POSIX-ACL, die getfacl zeigt, und diese zusätzlichen Einträge stehen gar nicht im Modus. Unter macOS bedeutet ein @ erweiterte Attribute und ein + erweiterte Sicherheitsinformationen. Bei GNU ls bedeutet ein Punkt (.) einen Sicherheitskontext, etwa den von SELinux. Der Rechner akzeptiert alle drei Markierungen und sagt Ihnen, dass der Modus nur ein Teil der Geschichte ist.