리눅스 권한 체계

ls -la
# -rw-r--r-- 1 user group 1024 Jan 15 10:30 report.txt
# │├──┤├──┤├──┤
# │  u    g    o
# └ 파일 유형 (- = 일반, d = 디렉토리, l = 심볼릭 링크)

# drwxr-x--- 디렉토리: 소유자 rwx, 그룹 rx, 기타 접근불가

# 숫자 방식 (8진수)
chmod 755 script.sh    # rwxr-xr-x
chmod 600 secret.key   # rw-------
chmod 644 readme.txt   # rw-r--r--

# 기호 방식
chmod u+x script.sh    # 소유자에 실행 권한 추가
chmod go-w secret.txt  # 그룹과 기타에서 쓰기 권한 제거
chmod a+r public.txt   # 모두(all)에게 읽기 권한 추가
chmod o= private.txt   # 기타의 모든 권한 제거

# 재귀적 변경: 디렉토리와 이미 실행 가능한 파일에만 X 적용
chmod -R u+rwX,go+rX,go-w /var/www/html

#include <stdio.h>
#include <sys/stat.h>
#include <unistd.h>
#include <errno.h>
#include <fcntl.h>

int main() {
    /* 파일 생성 후 권한 변경 */
    int fd = open("test.txt", O_WRONLY | O_CREAT | O_EXCL, 0600);
    if (fd == -1) { perror("open"); return 1; }
    FILE *fp = fdopen(fd, "w");
    if (!fp) { perror("fdopen"); close(fd); return 1; }
    if (fprintf(fp, "sensitive data\n") < 0) {
        perror("fprintf"); fclose(fp); return 1;
    }
    if (fclose(fp) != 0) { perror("fclose"); return 1; }

    /* 소유자만 읽기/쓰기 가능하게 변경 */
    if (chmod("test.txt", S_IRUSR | S_IWUSR) != 0) { /* 0600 */
        perror("chmod"); return 1;
    }

    /* 권한 확인 */
    if (access("test.txt", R_OK) == 0)
        printf("읽기 가능\n");
    if (access("test.txt", X_OK) != 0)
        printf("실행 불가 (errno=%d)\n", errno);

    return 0;
}

# 소유자 변경에는 보통 CAP_CHOWN 특권이 필요
chown user:group file.txt
chown -R www-data:www-data /var/www    # 재귀적 변경

# 그룹만 변경
chgrp developers project/

umask              # 현재 umask 확인 (보통 0022)
umask 027          # 설정: 기타 사용자의 모든 권한 제거
touch new_file.txt # 새 파일·기본 ACL 없음·0666 요청이면 640
mkdir new_dir      # 기본 ACL 없음·0777 요청이면 750

# SetUID가 설정된 파일 찾기
ls -la /usr/bin/passwd
# -rwsr-xr-x 1 root root 59640 ... /usr/bin/passwd
#    ^ s = SetUID + 실행 권한

# 시스템에서 SetUID 파일 전체 검색 (보안 감사)
find / -perm -4000 -type f 2>/dev/null
# /usr/bin/passwd
# /usr/bin/sudo
# /usr/bin/su
# /usr/bin/newgrp

# 팀 공유 디렉토리 설정
mkdir /shared/project
chgrp developers /shared/project
chmod 2775 /shared/project   # SetGID + rwxrwxr-x

# 이제 누가 파일을 만들든 그룹은 developers
touch /shared/project/test.txt
ls -la /shared/project/test.txt
# -rw-rw-r-- 1 alice developers ... test.txt

ls -ld /tmp
# drwxrwxrwt 18 root root 4096 ... /tmp
#          ^ t = Sticky Bit + 실행 권한

# Sticky Bit 없으면: /tmp에 쓰기 권한이 있는 모든 사용자가
# 다른 사용자의 파일도 삭제 가능 (매우 위험!)

# /etc/sudoers (visudo로만 편집!)

# 사용자 alice는 모든 대상 사용자·그룹으로 모든 명령 실행 가능
alice ALL=(ALL:ALL) ALL

# 사용자 deploy는 systemctl만 root로 실행 가능
deploy ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx, \
                            /usr/bin/systemctl restart app

# 위험한 위임의 예: root Docker 접근은 사실상 호스트 root 수준 권한
%dev ALL=(root) /usr/bin/docker

sudo apt update              # root 권한으로 패키지 업데이트
sudo -u postgres psql        # postgres 사용자로 psql 실행
sudo -l                      # 내가 실행할 수 있는 명령 목록

# sudo 로그 확인 (감사 추적)
grep sudo /var/log/auth.log

#include <stdio.h>
#include <unistd.h>

int main() {
    printf("Real UID:      %d\n", getuid());
    printf("Effective UID: %d\n", geteuid());

    /* SetUID root 프로그램에서:
     * getuid() = 1000 (일반 사용자)
     * geteuid() = 0 (root) */

    /* 일시적인 EUID 전환 예: saved ID를 없애는 영구 특권 폐기가 아님 */
    /* seteuid(getuid()); */

    return 0;
}