Utilisation des autorisations UNIX pour protéger les fichiers

Les fichiers peuvent être sécurisés à l'aide des autorisations de fichiers UNIX et par l'intermédiaire des ACL. Les fichiers avec sticky bit et les fichiers exécutables nécessitent des mesures de sécurité spéciales.

Commandes d'affichage et de sécurisation des fichiers

Ce tableau décrit les commandes pour la surveillance et la sécurisation des fichiers et répertoires.

Tableau 6-1 Commandes de sécurisation des fichiers et répertoires

Propriété des fichiers et des répertoires

Les autorisations de fichiers UNIX classiques peuvent attribuer la propriété à trois catégories d'utilisateurs :

• user – : le propriétaire du fichier ou du répertoire, qui est généralement l'utilisateur qui a créé le fichier. Le propriétaire d'un fichier peut décider qui a le droit de lire le fichier, d'écrire dans le fichier (pour y effectuer des modifications) ou, si le fichier est une commande, d'exécuter le fichier.

• group – : les membres d'un groupe d'utilisateurs.

• others – : tous les autres utilisateurs qui ne sont ni le propriétaire du fichier, ni membres du groupe.

Le propriétaire du fichier peut généralement affecter ou modifier les autorisations de fichier. En outre, les utilisateurs ou les rôles avec des capacités d'administration, par exemple le superutilisateur ou le rôle d'administrateur principal, peuvent modifier la propriété d'un fichier. Pour remplacer la stratégie du système, reportez-vous à l'Exemple 6-2.

Il existe sept types de fichier. Chaque type est indiqué par un symbole :

- (signe moins)

Texte ou programme

b

Fichier spécial en mode bloc

c

Fichier spécial en mode caractère

d

Répertoire

l

Lien symbolique

s

Socket

D

Porte

P

Tube nommé (FIFO)

Autorisations des fichiers UNIX

Le tableau ci-dessous répertorie et décrit les autorisations que vous pouvez attribuer à chaque classe d'utilisateur pour un fichier ou un répertoire.

Tableau 6-2 Autorisations des fichiers et répertoires

Les autorisations des fichiers s'appliquent aux fichiers classiques et aux fichiers spéciaux tels que les périphériques, les sockets et les tubes nommés (FIFO).

Pour un lien symbolique, les autorisations qui s'appliquent sont celles du fichier vers lesquels pointe le lien.

Vous pouvez protéger les fichiers dans un répertoire et ses sous-répertoires en définissant des autorisations de fichiers restrictives sur ce répertoire. Notez, cependant, que le superutilisateur a accès à tous les fichiers et répertoires sur le système.

Autorisations de fichiers spéciales (setuid, setgid et sticky bit)

Il existe trois types d'autorisations pour les fichiers exécutables et les répertoires publics : setuid, setgid et sticky bit. Lorsqu'elles sont définies, n'importe quel utilisateur qui exécute ce fichier exécutable prend l'ID du propriétaire (ou du groupe) du fichier exécutable.

Vous devez être très prudent lorsque vous définissez des autorisations spéciales, car elles constituent un risque de sécurité. Par exemple, un utilisateur peut obtenir des capacités de superutilisateur en exécutant un programme qui définit l'ID utilisateur (UID) sur 0, qui est l'UID de root. En outre, tous les utilisateurs peuvent définir des autorisations spéciales pour les fichiers qu'ils détiennent, ce qui constitue un autre problème de sécurité.

Il est recommandé de surveiller votre système pour toute utilisation non autorisée des autorisations setuid et setgid pour obtenir les capacités de superutilisateur. Une autorisation suspecte accorde la propriété d'un programme d'administration à un utilisateur plutôt qu'à root ou bin. Pour rechercher et afficher la liste de tous les fichiers qui utilisent ces autorisations spéciales, reportez-vous à la section Recherche de fichiers avec des autorisations de fichier spéciales.

Autorisation setuid

Quand l'autorisation setuid est définie sur un fichier exécutable, un processus qui exécute ce fichier se voit accorder l'accès sur la base du propriétaire du fichier. L'accès n'est pas basé sur l'utilisateur qui exécute le fichier exécutable. Ces autorisations spéciales permettent à un utilisateur d'accéder aux fichiers et répertoires qui sont normalement disponibles uniquement pour le propriétaire.

Par exemple, les autorisations setuid sur la commande passwd permettent aux utilisateurs de modifier les mots de passe. Une commande passwd avec une autorisation setuid doit ressembler à ceci :

-r-sr-sr-x   3 root     sys       28144 Jun 17 12:02 /usr/bin/passwd

Ces autorisations spéciales présentent un risque de sécurité. Certains utilisateurs déterminés peuvent trouver un moyen de conserver les autorisations qui sont leur sont accordées par le processus setuid même lorsque le processus a terminé de s'exécuter.

Autorisation setgid

Les autorisations setgid sont similaires aux autorisations setuid. L'ID de groupe (GID) effectif du processus est remplacé par le groupe qui est propriétaire du fichier, et un utilisateur se voit accorder les autorisations qui sont accordées au groupe. La commande /usr/bin/mail dispose des autorisations setgid :

-r-x--s--x   1 root   mail     67504 Jun 17 12:01 /usr/bin/mail

Lorsque les autorisations setgid sont appliquées à un répertoire, les fichiers qui ont été créés dans ce répertoire appartiennent au groupe auquel appartient le répertoire. Les fichiers n'appartiennent pas au groupe auquel le processus de création appartient. Tout utilisateur qui dispose d'autorisations d'écriture et d'exécution dans le répertoire peut y créer un fichier. Toutefois, le fichier appartient au groupe qui est propriétaire du répertoire, et non au groupe auquel appartient l'utilisateur.

Vous devez surveiller votre système pour toute utilisation non autorisée des autorisations setgid pour obtenir des capacités de superutilisateur. Des autorisations suspectes accordent l'accès de groupe à un tel programme à un groupe inhabituel plutôt qu'à root ou bin. Pour rechercher et afficher la liste de tous les fichiers qui utilisent ces autorisations, reportez-vous à la section Recherche de fichiers avec des autorisations de fichier spéciales.

Sticky Bit

Le sticky bit est un bit d'autorisation qui protège les fichiers d'un répertoire. Si le sticky bit est défini pour le répertoire, un fichier peut être supprimé uniquement par le propriétaire du fichier, le propriétaire du répertoire ou par un utilisateur privilégié. L'utilisateur root et le rôle d'administrateur principal sont des exemples d'utilisateurs privilégiés. Le sticky bit empêche un utilisateur de supprimer les fichiers d'autres utilisateurs dans des répertoires publics tels que /tmp :

drwxrwxrwt 7  root  sys   400 Sep  3 13:37 tmp

Veillez à définir le sticky bit manuellement lorsque vous définissez un répertoire public directory dans un système de fichiers TMPFS. Pour plus d'instructions, reportez-vous à l'Exemple 6-5.

Valeur umask par défaut

Lorsque vous créez un fichier ou un répertoire, vous devez le créer avec un jeu d'autorisations par défaut. Les valeurs par défaut du système sont ouvertes. Un fichier texte dispose de 666 autorisations, et accorde des autorisations de lecture et d'écriture à tout le monde. Un répertoire et un fichier exécutable disposent de 777 autorisations, et accordent des autorisations de lecture, d'écriture et d'exécution à tout le monde. En règle générale, les utilisateurs remplacent les valeurs par défaut du système dans leur fichier /etc/profile, .cshrc ou .login.

La valeur affectée par la commande umask est soustraite de la valeur par défaut. Ce processus a pour effet de refuser les autorisations de la même manière que la commande chmod les accorde. Par exemple, la commande chmod 022 permet d'accorder l'autorisation d'écriture au groupe et aux autres. La commande umask 022 refuse l'accès en écriture au groupe et aux autres.

Le tableau suivant présente quelques exemples courants de paramètres umask et leur effet sur un fichier exécutable.

Tableau 6-3 Paramètres umask pour différents niveaux de sécurité

Pour plus d'informations sur la définition de la valeur umask, reportez-vous à la page de manuel umask(1).

Modes d'autorisation de fichier

La commande chmod vous permet de modifier les autorisations d'un fichier. Vous devez être le superutilisateur ou le propriétaire d'un fichier ou d'un répertoire pour modifier ses autorisations.

Vous pouvez utiliser la commande chmod pour définir les autorisations dans l'un des deux modes suivants :

• Mode absolu – : utilise les numéros pour représenter les autorisations de fichier. Lorsque vous modifiez les autorisations l'aide du mode absolu, vous représentez les autorisations pour chaque triplet par un numéro de mode octal. Le mode absolu est la méthode la plus couramment utilisée pour définir les autorisations.

• Mode symbolique – : utilise des combinaisons de lettres et de symboles pour ajouter ou supprimer des autorisations.

Le tableau suivant répertorie les valeurs octales pour la définition des autorisations en mode absolu. Ces numéros s'utilisent en ensembles de trois pour définir les autorisations pour le propriétaire, le groupe et les autres, dans cet ordre. Par exemple, la valeur 644 définit les autorisations de lecture et d'écriture pour le propriétaire, et les autorisations de lecture seule pour le groupe et les autres.

Tableau 6-4 Définition des autorisations de fichiers en mode absolu

Le tableau suivant répertorie les symboles pour la définition des autorisations de fichiers en mode symbolique. Les symboles peuvent spécifier pour qui les autorisations doivent être définies ou modifiées, l'opération à effectuer et les autorisations à affecter ou modifier.

Tableau 6-5 Définition des autorisations de fichiers en mode symbolique

Les désignations des who operator permissions dans la colonne des fonctions spécifient les symboles qui modifient les autorisations du fichier ou du répertoire.

who

Spécifie pour qui les autorisations doivent être modifiées.

operator

Indique l'opération à effectuer.

permissions

Spécifie les autorisations à modifier.

Vous pouvez définir des autorisations spéciales pour un fichier en mode absolu ou en mode symbolique. Cependant, vous devez utiliser le mode symbolique pour définir ou supprimer les autorisations setuid sur un répertoire. En mode absolu, vous définissez les autorisations spéciales en ajoutant une nouvelle valeur octale à la gauche du triplé d'autorisation. Le tableau suivant répertorie les valeurs octales pour la définition des autorisations spéciales d'un fichier.

Tableau 6-6 Définition des autorisations de fichiers spéciales en mode absolu