실행 파일 및 공용 디렉토리에 대해 세 가지 특수 유형의 사용 권한(setuid, setgid 및 고정된 비트)을 사용할 수 있습니다. 해당 사용 권한이 설정되면 실행 파일을 실행하는 모든 사용자가 실행 파일 소유자(또는 그룹)의 ID를 사용합니다.
특수 사용 권한에는 보안 위험이 따르므로 특수 사용 권한을 설정할 때는 각별히 신중해야 합니다. 예를 들어, 특정 사용자가 사용자 ID(UID)를 0(root의 UID)으로 설정하는 프로그램을 실행하여 root 기능을 얻을 수 있습니다. 또한 모든 사용자가 자신이 소유한 파일에 대해 특수 사용 권한을 설정할 수 있으므로 다른 보안 위험에 노출됩니다.
root 권한을 얻기 위해 setuid 사용 권한 및 setgid 사용 권한이 무단으로 사용되고 있지 않은지 시스템을 모니터해야 합니다. root 또는 bin 이외의 다른 사용자에게 관리 프로그램의 소유권을 부여하는 사용 권한은 의심스러운 것입니다. 이 특수 사용 권한을 사용하는 모든 파일을 검색하여 나열하려면 특수 파일 사용 권한이 있는 파일을 찾는 방법을 참조하십시오.
실행 파일에 대해 setuid 사용 권한이 설정되면 파일 소유자를 기반으로 이 파일을 실행하는 프로세스에 액세스 권한이 부여됩니다. 액세스 권한은 실행 파일을 실행 중인 사용자를 기반으로 하는 것이 아닙니다. 이 특수 사용 권한에 따라 사용자는 일반적으로 소유자에게만 제공되는 파일 및 디렉토리 액세스 권한을 얻을 수 있습니다.
예를 들어, passwd 명령에 대한 setuid 사용 권한은 사용자가 암호를 변경할 수 있도록 합니다. setuid 사용 권한이 있는 passwd 명령은 다음과 유사합니다.
-r-sr-sr-x 1 root sys 56808 Jun 17 12:02 /usr/bin/passwd
이 특수 사용 권한에는 보안 위험이 따릅니다. 정해진 일부 사용자는 프로세스 실행이 끝난 후에도 setuid 프로세스로 부여받은 사용 권한을 유지할 수 있습니다.
setgid 사용 권한은 setuid 사용 권한과 유사합니다. 프로세스의 유효 그룹 ID(GID)가 파일을 소유한 그룹으로 변경되며 해당 그룹에게 부여된 사용 권한을 기반으로 사용자에게 액세스 권한이 부여됩니다. /usr/bin/mail 명령의 setgid 사용 권한은 다음과 같습니다.
-r-x--s--x 1 root mail 71212 Jun 17 12:01 /usr/bin/mail
setgid 권한이 디렉토리에 적용되면 이 디렉토리에서 만든 파일이 이 디렉토리를 소유하는 그룹에 속하게 됩니다. 파일은 만들기 프로세스가 속한 그룹에 속하지 않습니다. 디렉토리에서 쓰기 및 실행 권한을 가지는 사용자는 해당 디렉토리에서 파일을 만들 수 있습니다. 단, 파일은 사용자가 속한 그룹이 아닌 디렉토리를 소유한 그룹에 속합니다.
root 권한을 얻기 위해 setgid 사용 권한이 무단으로 사용되고 있지 않은지 시스템을 모니터해야 합니다. root 또는 bin 이외의 다른 비정상적인 그룹에 프로그램에 대한 그룹 액세스 권한을 부여하는 사용 권한은 의심스러운 것입니다. 이 사용 권한을 사용하는 모든 파일을 검색하여 나열하려면 특수 파일 사용 권한이 있는 파일을 찾는 방법을 참조하십시오.
고정된 비트는 디렉토리 내의 파일을 보호하는 사용 권한 비트입니다. 디렉토리에 고정된 비트가 설정된 경우 파일 소유자, 디렉토리 소유자 또는 권한 있는 사용자만 파일을 삭제할 수 있습니다. 권한 있는 사용자의 예로 root 사용자를 들 수 있습니다. 고정된 비트는 사용자가 공용 디렉토리(예: /tmp)에서 다른 사용자의 파일을 삭제하지 못하도록 합니다.
drwxrwxrwt 7 root sys 400 Sep 3 13:37 tmp
TMPFS 파일 시스템에서 공용 디렉토리를 설정할 때 수동으로 고정된 비트를 설정해야 합니다. 지침은 Example 1–5를 참조하십시오.