Controllo dell’accesso ai file

Definizione dell’appartenenza ad un gruppo

È possibile suddividere utenti del sistema in gruppi di lavoro, in modo da consentire la condivisione dei file di proprietà dei membri di un dato gruppo e restare protetti dall’accesso da parte di utenti che non ne fanno parte. Una voce del file /etc/passwd contiene il numero del gruppo principale a cui appartiene l’utente. Le informazioni del gruppo sono definite in /etc/group ed in /etc/logingroup.

Gli utenti che sono membri di più di un gruppo, come specificato in /etc/group, possono cambiare il loro gruppo corrente con il comando /usr/bin/newgrp. Se i gruppi di utenti sono definiti in /etc/logingroup, non è necessario utilizzare il comando newgrp. Se gli utenti del sistema non sono suddivisi in gruppi di lavoro separati, è norma comune configurare un gruppo – solitamente di nome users – ed assegnare ad esso tutti gli utenti del sistema.

È possibile usare HP SMH per aggiungere, rimuovere o modificare l’appartenenza ad un gruppo.

Per modificare manualmente l’appartenenza ad un gruppo, con un editor di testo, come vi, modificare /etc/group e, facoltativamente, /etc/logingroup. Sebbene sia possibile immettere in /etc/group una password a livello di gruppo, non si consiglia tale operazione. Per evitare di mantenere file multipli, è possibile collegare /etc/logingroup a /etc/group. Per i dettagli sui file /etc/group e /etc/logingroup, consultare la manpage group(4). Per informazioni su come collegare i file, consultare le manpage link(1M) e ln(1).

È possibile assegnare privilegi speciali ad un gruppo di utenti usando il comando /usr/sbin/setprivgrp. Per maggiori informazioni, consultare chown(1), getprivgrp(1), setprivgrp(1M), chown(2), getprivgrp(2), lockf(2), plock(2), plock(2), rtprio(2), setgid(2), setgid(2), setprivgrp(2), setuid(2), shmctl(2) e shmctl(2).

Impostazione delle autorizzazioni di accesso ai file

Il comando /usr/bin/chmod modifica il tipo di accesso – privilegi di lettura, scrittura ed esecuzione – del proprietario dei file, dei membri del gruppo e di tutti gli altri. Soltanto il proprietario di un file – o il superutente – è in grado modificarne i privilegi di lettura, scrittura ed esecuzione. Per i dettagli, vedere chmod(1).

Per impostazione predefinita, i nuovi file hanno autorizzazione di lettura/scrittura per chiunque (-rw-rw-rw-) e le nuove directory hanno autorizzazione di lettura/scrittura/esecuzione per chiunque (drwxrwxrwx). È possibile cambiare le autorizzazioni predefinite dei file usando il comando /usr/bin/umask. Per i dettagli, consultare umask(1). I valori predefiniti per i sistemi sicuri sono diversi; vedere Guida all’amministrazione di sistemi HP-UX: Gestione della sicurezza.

Impostazione della proprietà dei file

Il comando /usr/bin/chown cambia l’utente proprietario (ed il gruppo) del file. Per cambiare l’utente, è necessario essere proprietari del file – ed appartenere ad un gruppo con privilegi CHOWN – oppure avere privilegi di superutente.

Il comando /usr/bin/chgrp modifica il possesso del gruppo di file. Per cambiare il gruppo proprietario, è necessario essere proprietari del file – ed appartenere ad un gruppo con privilegi CHOWN – oppure avere privilegi di superutente.

Per ulteriori informazioni, consultare chown(1) e chgrp(1).

Impostazione delle liste di controllo dell’accesso

Le liste di controllo dell’accesso – ACL – offrono un grado di protezione dei file superiore rispetto alle tradizionali autorizzazioni di accesso. È possibile usare le liste di controllo dell’accesso per consentire o limitare l’accesso ai file a singoli utenti, a prescindere dal gruppo a cui appartengono. Soltanto il proprietario di un file – o il superutente – può creare le liste di controllo.

Le liste di controllo dell’accesso sono supportate nei filesystem JFS e HFS, ma i comandi e parte della semantica sono diversi. In un filesystem JFS, usare setacl per impostare le liste di controllo dell’accesso ed getacl per visualizzarle. In un filesystem HFS, usare chacl per impostare le liste di controllo dell’accesso ed lsacl per visualizzarle.

Per un’analisi delle liste di controllo dell’accesso con JFS e HFS, vedere Guida all’amministrazione di sistemi HP-UX: Gestione della sicurezza.

Per ulteriori informazioni sulle liste di controllo dell’accesso per JFS, vedere setacl(1), getacl(1) e aclv(5).

Per informazioni aggiuntive sulle liste di controllo dell’accesso di HFS, vedere lsacl(1), chacl(1) e acl(5).