Permisos, propietarios y bits especiales

Un listado largo (ls -l) empieza con diez caracteres: el tipo (- archivo, d carpeta) y tres grupos de tres para el dueño, el grupo y los demás. En cada grupo van lectura (r), escritura (w) y ejecución (x).

Además de esos permisos hay tres bits especiales. El setuid se ve como una s en el lugar de la ejecución del dueño (-rwsr-xr-x): cuando alguien lanza ese ejecutable, el proceso corre con la identidad efectiva de su dueño. Es útil —así funciona passwd— y por eso mismo es un punto de revisión: si el dueño es root, cualquier fallo del programa se convierte en un fallo con los poderes de root.

El setgid (una s en el grupo) hace lo análogo con el grupo y, en una carpeta, hace que lo que se cree dentro herede su grupo. El sticky (una t al final) en una carpeta compartida impide que un usuario borre o renombre los archivos de otro.

En /srv/ejecutor/bin hay cinco programas. Con ls -l ves el dueño y los permisos de cada uno. Dos de ellos tienen una s, pero no significan lo mismo: mira en qué posición está.

Los archivos que guardan datos de acceso deben poder leerse solo por quien los necesita. Una escritura abierta a «los demás» es peor aún: cualquiera podría cambiar a qué almacén apunta el ejecutor. Revisa los permisos de /srv/ejecutor/config.

Cada permiso vale un número: lectura 4, escritura 2, ejecución 1. Se suman por grupo y el modo octal son tres cifras: dueño, grupo y demás. Por ejemplo, rw-r--r-- es 4+2, 4, 4: 644.

Los permisos se pueden escribir de las dos formas, y las plataformas de CI suelen mostrar la octal. Convierte la forma de letras de uno de los scripts del ejecutor.

El archivo de configuración con la clave del almacén estuvo escribible por todos. Cerrarlo es lo primero, pero no es lo único: mientras estuvo abierto, otra cuenta pudo cambiarlo o copiarlo, y eso hay que comprobarlo.