Calculadora de Permissões Linux (chmod)

Todo arquivo tem um dono, um grupo e um modo. O modo dá três permissões a cada uma de três classes — nove bits — e logo depois do caractere do tipo de arquivo, o ls -l imprime exatamente esses nove caracteres.

-rw-r--r-- é um arquivo (-) cujo dono pode ler e escrever, e cujo grupo e demais só podem ler: modo 644. drwxr-xr-x é um diretório (d) em 755. O primeiro caractere é o tipo: - um arquivo, d um diretório, l um link simbólico, e b, c, p ou s para os tipos especiais. Cole qualquer uma dessas linhas na calculadora e ela lê o modo e o tipo.

Em um diretório, as três permissões significam algo diferente do que em um arquivo. Ler permite listar os nomes que há nele. Executar permite entrar nele e chegar aos arquivos cujos nomes você já conhece. Escrever, junto com executar, permite criar e excluir entradas — por isso excluir um arquivo depende das permissões do diretório, não das do arquivo. Um diretório com leitura mas sem execução é um diretório que você consegue listar e não consegue abrir.

644 para arquivos, 755 para diretórios e para tudo que precisa ser executado. A única diferença é o bit de execução.

644 é rw-r--r--: o dono pode alterar, todos podem ler, ninguém pode executar. Isso serve para HTML, CSS, imagens, configuração e arquivos de código-fonte. 755 é rwxr-xr-x: o mesmo, mais o bit de execução para as três classes. Um diretório precisa dele, ou ninguém consegue entrar no diretório, e um script precisa dele, ou o shell se recusa a executá-lo.

O erro a evitar é o chmod -R 755 em um site inteiro, que torna executáveis todas as imagens e todos os arquivos .php. Os dois comandos find que a calculadora escreve dão modos diferentes a diretórios e arquivos de uma só vez, com os modos que você de fato escolheu, em vez de um par tirado de um blog.

O OpenSSH se recusa a usar uma chave privada que qualquer pessoa além do dono consiga ler. Defina a chave como 600 e o diretório .ssh como 700.

A mensagem exata é Permissions 0644 for '<path>' are too open., seguida de It is required that your private key files are NOT accessible by others. O teste por trás dela é direto: se você é o dono do arquivo e qualquer bit de grupo ou de demais está ligado, a chave é recusada. Por isso 640 também falha, e por isso 600 é a resposta, e não “um pouco menos que 644”.

chmod 600 ~/.ssh/id_ed25519 e chmod 700 ~/.ssh resolvem. A chave pública pode ser legível por qualquer pessoa — só a chave privada e o diretório importam aqui. Escolha Chave SSH em modos comuns acima e a calculadora escreve os dois comandos para você.

O quarto dígito. Em um arquivo, setuid e setgid mudam com qual conta um programa executa. Em um diretório, o setgid decide o grupo dos novos arquivos e o bit sticky decide quem pode excluí-los.

O setuid (4000) em um executável faz com que ele execute como o dono do arquivo, e não como você — o passwd é instalado com setuid para poder executar com os direitos do root quando você troca a sua senha. O setgid (2000) faz o mesmo com o grupo. Em um diretório, o setgid faz algo diferente e muito mais útil: os novos arquivos lá dentro herdam o grupo do diretório, e não o de quem os criou, que é como uma pasta de projeto compartilhado continua compartilhada. O Linux não documenta nenhum significado para o bit setuid em um diretório; no macOS e nos BSDs ele pode fazer os novos arquivos ficarem com o dono do diretório, se o sistema de arquivos foi montado com essa opção.

O bit sticky (1000) em um diretório impede que as pessoas excluam os arquivos umas das outras: só o dono do arquivo, o dono do diretório ou o root podem remover ou renomear uma entrada. O /tmp tem o modo 1777 exatamente por isso — todos podem escrever nele, ninguém pode excluir o trabalho de outra pessoa. Em um arquivo comum, o macOS e os BSDs ignoram o bit sticky, e o manual do GNU só lhe dá um significado aí em alguns sistemas mais antigos. Uma armadilha: chmod 755 somedir — ou chmod 0755 somedir — não limpa um bit setgid que já está em um diretório, porque o chmod do GNU os mantém de propósito com qualquer modo numérico de menos de cinco dígitos — o POSIX só exige que a forma octal os limpe em um arquivo comum. Use g-s, ou o chmod 00755 de cinco dígitos, e a calculadora escreve a forma de cinco dígitos para você sempre que for o que você precisa.

O ls -l as mostra como letras e o stat as mostra como um número. Cole qualquer um dos dois na calculadora e ela lê o modo de volta.

ls -l file imprime -rw-r--r-- 1 you staff 4096 25 Oct 09:26 file, e a calculadora aceita a linha inteira — você não precisa tirar o modo de dentro dela. stat -c '%a %n' file imprime 644 file no Linux; no macOS a mesma coisa é stat -f '%Lp %N' file. Para um diretório inteiro de uma vez, o find . -maxdepth 1 -printf '%m %p\n' do GNU lista todos os modos como número (o find do macOS não tem -printf).

Um + no final da string de permissões significa que há mais do que os nove bits: no Linux é uma ACL POSIX, que o getfacl mostra, e essas entradas extras não estão no modo de forma alguma. No macOS, um @ significa atributos estendidos e um + significa informações de segurança estendidas. Com o ls do GNU, um ponto (.) significa um contexto de segurança, como o do SELinux. A calculadora aceita os três marcadores e avisa que o modo é só parte da história.