1

En mi escritorio tengo un directorio que contiene un archivo .ODT. Quiero que nadie pueda entrar a ese directorio, por esto le he dado las siguientes restricciones:

chmod a-rw- DIR

Así nadie podrá ver el contenido de mi directorio ni eliminarlo. Pero me ha surgido la siguiente duda ¿Acaso cada vez que quiera entrar a mi directorio deberé cambiarle los permisos, y al salir retirarlos? Me parece que no es la mejor forma. Por eso necesito saber como ponerle clave a un directorio, o en todo caso que me digan qué es lo mas apropiado para lo que deseo hacer

1
  • Los comentarios no deben usarse para discusiones extendidas; esta conversación ha sido trasladada a un chat.
    – Jorgesys
    Commented el 10 dic. 2018 a las 15:59

1 respuesta 1

9

Usando permisos.

Si quieres que sólo tu usuario, y el usuario root, puedan ver ese archivo, ponle permisos muy restrictivos a tu directorio.

$ chmod 700 directorio
$ chmod go-rwx directorio  # Esto es equivalente a lo de arriba (más no lo mismo). Asumo que el directorio ya tenía permisos rwx en el owner.
$ chmod go= directorio  # Esto también es equivalente pero sigue sin ser lo mismo. Asumo que el directorio ya tenía permisos rwx en el owner.
$ chmod go=,u=rwx directorio  # Es equivalente pero aquí no asumo nada en el owner, le asigno los permisos de rwx
$ chmod a=,u=rwx directorio  # Elimino los permisos de todos los usuarios y luego le añado todos los permisos al owner. Es más equivalente al anterior.
$ chown tu_usuario:tu_grupo directorio # Por si las dudas.

Eso hace que sólo tu usuario (a los que ingresen con tu usuario), y el usuario root, tengan permisos de editar, listar, ejecutar un recurso dentro del directorio.

https://en.wikipedia.org/wiki/Chmod

Esto quiere decir que también puede ver ese archivo cualquier usuario con permisos de superusuario.

Encriptando el directorio.

Si quieres algo que sólo tú lo puedas ver, mejor encripta el directorio. Es decir, lo comprimes con tar y luego lo encriptas con una contraseña usando gpg u openssl.

Si tomas la opción de usar gpg:

$ tar cz n0por | gpg --symmetric --cipher-algo AES256 --output n0por.enc  # Con esto lo comprimes y luego lo encriptas.

Y gpg te va a pedir la contraseña 2 veces. Con esto ya tendrás comprimidos y encriptados tus datos.

Para restaurar el archivo encriptado:

$ gpg --decrypt --cipher-algo AES256 n0por.enc | tar xzf -  # Con esto lo desencriptas y luego lo descomprimes.

Y gpg te pedirá la contraseña con la que lo encriptaste.

De esta manera, sólo con tu contraseña podrás ver el archivo.

Algunas veces la contraseña se guarda durante tu sesión y no te la pedirá para desencriptar el archivo; lo cual es conveniente pero a veces te hace dudar de que alguien más no pueda hacerlo. Tu descuida.

Otra opción es usando openssl:

$ openssl aes-256-cbc -salt  # Para encriptar.
$ openssl aes-256-cbc -d  # Para desencriptar.

Ejemplo:

$ tar cz n0por| openssl aes-256-cbc -salt > n0por.en  # De nuevo se comprime la carpeta y luego se encripta. 
# openssl te va a preguntar la contraseña con la que lo quieres encriptar.

Y para desencriptarlo y descomprimirlo.

$ openssl aes-256-cbc -d < n0por.en | tar xzf -  # desencripta y luego descomprime.

openssl te va a pedir la contraseña para desencriptar.

Aunque recientemente me di cuenta que openssl no es compatible entre versiones o SO, no sé exactamente, pero el punto es que lo que encriptes con una contraseña en una computadora, no siempre va a poder desencriptarse de forma inmediata con la misma contraseña en otra. Así que yo trataría de usar mejor la estrategia de gpg.

Apéndice sobre permisos.

El primer asunto, de los permisos, es en octal. chmod puede hacer operaciones bit por bit de permisos. Y para eso requiere el modo octal.

chmod requiere de 4 dígitos en octal para poner permisos a algún archivo.

Los 4 dígitos son para los:

  1. setuid, setgid y sticky bits.
  2. Propietario del archivo (owner).
  3. Grupo al que pertenece el archivo.
  4. Todos los demás usuarios.

Y cada número está en octal porque opera bajo 2^3 (igual a 8) combinaciones de permisos. 3 tipos de permisos (lectura [r], escritura [w] y ejecución [x]) y 2 posibilidades: o tiene o no tiene permiso, de ahí el 2^3.

Ejemplo:

Binario (permisos bit por bit).
       |
       |               Octal.   
(2^2) (2^1) (2^0)        |
  r     w     x          |
  0     0     0     =    0
  0     0     1     =    1
  0     1     0     =    2
  0     1     1     =    3
  1     0     0     =    4
  1     0     1     =    5
  1     1     0     =    6 
  1     1     1     =    7

Entonces, cada número en octal representa una combinación de permisos y, según la posición de ese número en octal en chmod, es la combinación que se le asignará a la categoría (setuid, owner, group, others).

Entonces, si sólo quieres permisos de lectura, el número octal a elegir es el 4 (100 en binario, o r-- en modo rwx). Si ese permiso lo quieres para la categoría del grupo entonces lo tendrás que poner en la posición 2 o 3 (dependiendo de si vas a utilizar 3 o 4 dígitos para los permisos), es decir.

chmod 0040 archivo  # indicando un setuid o setguid.
#     ||||__others = --- = 000
#     |||___group  = r-- = 100
#     ||____owner  = --- = 000
#     |_____setuid/setgid/Sticky bit = --- = 000

O que es equivalente.

chmod 040 archivo  # sin indicar in setuid/setgid/sticky bit.
#     |||__others = --- = 000
#     ||___group  = r-- = 100
#     |____owner  = --- = 000
#     Aquí, se entiende que el setuid, etc, será 000

Todo número o permiso omitido se le asignará un valor de 0. Por ejemplo, el caso del setuid

Si quieres que tu archivo tenga permisos de lectura y ejecución (octal 5, binario 101) por parte del propietario (posición 2 o 1) y sólo lectura (octal 4, binario 100) para los miembros del grupo al que pertenezca el archivo y los demás (posiciones 3 o 4) el comando sería chmod 0544 archivo y lo podrías verificar con:

$ ls -l archivo
-r-xr--r-- 1  mrc_es grupo_mrc_es 264 Dec  8 15:18 archivo   
# |__|__|_____ Aquí están los permisos agrupados de 3 en 3.
$ stat -c '%a - %n' archivo  # O con esto.
544 - archivo

Si no te interesa el setuid y demás, simplemente ignora ese primer número. Por lo que, por ejemplo, chmod 0777 es igual a chmod 777. Es decir, chmod entiende a la perfección que le quites el primer número dejando sólo tres, entenderá que el setuid/setgid/sticky bit es 0. Este primer número permite asignar permisos de ejecución especiales, es decir, algunos programas sólo pueden ser ejecutados, pero cuando los ejecuta un usuario, los ejecuta con sus permisos. El setuid y setgid, ese primer número, te permite ejecutar con privilegios más elevados. Por ejemplo, algo de caracter chmod 4755 archivo permite ejecutar el archivo "archivo" con los permisos del propietario del archivo (puede ser root). Estos permisos se ven de esta manera.

$ ls -l /usr/bin/passwd
-rwsr-xr-x 1 root root 54256 May 16  2017 /usr/bin/passwd
#  |____ Nota este caracter "s", es la indicación del setuid.
#    Es decir, este archivo se va a ejecutar con los permisos de
#    su propietario, osea root.

En el caso del setgid, te permite ejecutar el archivo con permisos del grupo al que pertenece, el caso es diferente en los directorios. Tiene que ver con herencia de propietario (en caso de setuid) o grupo (en caso de setgid). Y en el caso del sticky bit, es especialmente importante en carpetas, por ejemplo, en /tmp, para restringir el borrado de archivos por alguien que no sea el dueño del archivo.

Por ejemplo, si un directorio1 tiene los permisos 1777, los archivos dentro, aunque cada uno tenga permisos 777, no podrán ser eliminados salvo por el propietario de cada archivo o, como siempre, por el usuario root. Entonces, como otro usuario, y si los permisos te lo permiten, puedes leer, escribir, ejecutar programas de esa carpeta siendo tu usuario, pero sólo el propietario podrá borrar ese archivo.

Los diferentes permisos especiales los puedes ver así.

-rwsr-xr-x 1 usuario usuario 0 Dec  9 02:21 setuid_f
#  |________ setuid
-rw---sr-x 1 usuario usuario 0 Dec  9 02:21 setguid_f
#     |_____ setguid
-rw-r--r-t 1 usuario usuario 0 Dec  9 02:21 sticky_f
#        |__ sticky bit

Pero la cosa es aún más compleja, porque hay casos en donde un archivo no tiene permisos de ejecución para la categoría, pero si tiene un setuid o setguid, y en este caso, al agregarles un permiso especial, se altera la notación a mayúsculas.

-rwSr-xr-x 1 usuario usuario 0 Dec  9 02:21 setuid_f
#  |________ setuid
-rw---Sr-x 1 usuario usuario 0 Dec  9 02:21 setguid_f
#     |_____ setguid
-rw-r--r-T 1 usuario usuario 0 Dec  9 02:21 sticky_f
#        |__ sticky bit

El caso de las minúsculas es que, cuando se les añadió ese permiso especial, además, ya poseían permisos de ejecución para dicho archivo. El caso de las mayúsculas es que estos no tienen permiso de ejecución.

2
  • 1
    Los comentarios no deben usarse para discusiones extendidas; esta conversación ha sido trasladada a un chat.
    – Jorgesys
    Commented el 10 dic. 2018 a las 16:00
  • Gracias por la información.
    – Cuauhtli
    Commented el 10 dic. 2018 a las 16:20

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.