Diiwaanku wuu kordhaa laakiin dib looma abuuri karo: hubi ACL-ga galka
Ku darista faylka uma baahna magac cusub galkiisa; abuuristu way u baahan tahay. Isbarbardhig ACL-ga gelitaanka iyo qiimaha caadiga ah ee la dhaxlay ka hor intaadan wax ballaarin.
Diiwaan si joogto ah u kordhaya wuu joojiyaa koritaanka isla markii wax dib u abuuraan, khatartuna waxay tidhaahdaa ogolaansho waa la diiday. Gabagabada soo jiidashada leh ayaa ah in faylka diiwaanka laftiisa uu u baahan yahay ogolaansho badan, laakiin faylku waxaa laga yaabaa inuu horey u qoraan karo isla koontadaas. Ku darista magac jira iyo abuurista magac cusub waa laba baaritaan oo kala duwan, oo kaliya tan labaad ayaa weydiisa galka.
Ku darista iyo abuuristu waa baaritaanno kala duwan
Furista fayl jira si loo daro waxay u baahan tahay gelitaan qoris faylkaas iyo gelitaan raadin galka kasta oo ku yaal jidkiisa. Abuurista fayl waxay u baahan tahay qoris iyo raadin galka ku jira, sababtoo ah hawshu waxay ku darsataa magac. Beddelka fayl iyada oo magac la beddelayo waxay sidoo kale taabanayaa labada gal iyo xeerarkooda sticky-bit.
| Operation | What must permit it | Typical failure message |
|---|---|---|
| Append to an existing log | File write access, path traversal | Permission denied on the file |
| Create a missing log | Directory write and search access | Permission denied on the path |
| Rename a replacement into place | Both directories, plus sticky restrictions | Permission denied or operation not permitted |
Sharaxaad horey u furan waxay ku darsataa kiiska afraad. Habka wuxuu hayn karaa gacan qoris oo la furay ka hor inta uusan ka tanaasulin mudnaanta wuxuuna wali ku guuldareystaa inuu dib u furo isla jidkaas aqoonsigiisa dambe. Ku darista guulaysatay iyo abuurista guuldareysatay labaduba waxay noqon karaan run, isla waqti, isla habkaas.
ACL-yada caadiga ah waa la dhaxlaa, ma bixiyaan
Gelitaan ku bilaabma horgalaha caadiga ah wuxuu sharraxayaa waxa shayyada cusub ka dhaxlaan galka. Waxba kama bixiso galka laftiisa, mana hagaajiso ACL-ga fayl horey u jiray.
namei -l /var/log/openvpn/server.log
getfacl -p /var/log/openvpn
getfacl -p /var/log/openvpn/server.logAkhri gelitaannada gelitaanka si gooni ah kuwa caadiga ah, oo akhri maaskarada. Gelitaan magac leh oo taxaya xuquuq buuxa wali waxaa xaddidi kara maaskarada, sidaas awgeed faallada waxtarka leh ayaa ka muhiimsan xarfaha safka koowaad.
Isticmaal jidka la xalliyay halkii aad ka isticmaali lahayd jidka ku jira qaabeynta. Xiriir calaamadeed, barta dulsaar ama gal wareegsan waxay dhigaan faylka dhabta ah meel aan ogolaanshaha aad bixisay waligiis gaarin. Marka hore jidka ku mar qalabka magacyada, ka dib isbarbardhig heer kasta koontada la hadalka. Qiyaasidda galka heerka sare waa sida sixid ugu dhacdo hal heer oo aad u sarreeya.
Aqoonso cidda qoreysa waqtigaas
Ka hor intaadan wax beddelin, hubi unugga adeegga, drop-ins-kiisa iyo dejinta koontada daemon-ka laftiisa. Habka wax daraya iyo habka dib u abuuraya way kala duwanaan karaan: kaaliyaha wareejinta, qoraaga xaaladda iyo akhristaha webka marar dhif ah ayey aqoonsi wadaagaan.
Tijaabo laga fuliyay qol root ma soo saarto adeeg xaddidan, oo way guulaysan doontaa inta adeeggu sii guuldareysto. Soo saar hawsha guuldareysatay isla unuggaas, isla koontadaas iyo isla dejinta sandbox-ka. Haddii aadan karin, ku bilow unugga qol ku meel gaar ah oo hubi aqoonsiga uu soo sheegayo. Wax kasta oo kale waxay cabbiraan terminaalkaaga, ma aha adeegga.
Haddii abuuristu runtii lagama maarmaan tahay, sii qoraaga gelitaan galka diiwaanka gaarka ah oo gelitaanka akhriska macaamiisha si gooni ah u hay. Ka dhigista koonto la wadaago ama geedka codsiga oo dhan mid la qori karo si loo qanciyo hal wicitaan diiwaangelin ah waxay beddelaa dhib yar mid weyn.
Wareeji adigoon dib u soo celin
Qofka dib u abuura faylka ayaa go'aamiya milkiilaha iyo qaabka wareegga xiga, sidaas awgeed isku dubarid sixidda qaabeynta wareejinta. Beddelka lagu abuuray koonto kale, ama ACL cusub, wuxuu dib u soo celinayaa guuldareysiga ka dib sixid guuleysatay.
Deji qaabka iyo kooxda marka la abuurayo, ma aha marka dambe, oo xaqiiji wareejinta xigta halkii aad xaqiijin lahayd ku darista xigta. Ku daristu waxay kaliya ku celcelisaa baaritaanka horey u gudbay. Haddii qalabka wareejintu bixiyo dejinta qaabka abuurista, isticmaal taas halkii chmod ka dib abuurista. Farqiga u dhexeeya abuurista iyo chmod waa isla waqtigaas qorista xigta ay ku guuldareysan karto.
Marka gooyntu si kastaba ha ahaatee guuldareysto, jooji ku darista ogolaanshaha
Guuldareysiga gooynta fayl aad qori karto laguma sharraxayo ogolaanshaha galka, oo in ka badan lagu daro ma caawin doonto. Halkii eeg sifooyinka iyo xaddidaadda: sifada append-only waxay ogolaataa qoris kaliya qaabka ku darista, oo dulsaar akhris-kaliya ama sandbox adeeggu waxay diidi karaan hawl ACL-gu ogolaaday.
Hubi xaddidaadda nidaamka faylka unugga iyo xulashooyinka dulsaar ee jidka, ka dib soo saar hawsha saxda ah ee guuldareysatay. Ballaarinta ogolaansho aan waligood la weydiisan waxay kaliya qarinaysaa xaddidaaddee ayaa dhab ahaa. Ka saar hal xaddidaad mar kasta unug la tuurayo, oo dib u celi ka hor intaadan beddelin wax joogto ah.