리눅스 권한 체계

ls -la
# -rw-r--r-- 1 user group 1024 Jan 15 10:30 report.txt
# │├──┤├──┤├──┤
# │  u    g    o
# └ 파일 유형 (- = 일반, d = 디렉토리, l = 심볼릭 링크)

# drwxr-x--- 디렉토리: 소유자 rwx, 그룹 rx, 기타 접근불가

# 숫자 방식 (8진수)
chmod 755 script.sh    # rwxr-xr-x
chmod 600 secret.key   # rw-------
chmod 644 readme.txt   # rw-r--r--

# 기호 방식
chmod u+x script.sh    # 소유자에 실행 권한 추가
chmod go-w secret.txt  # 그룹과 기타에서 쓰기 권한 제거
chmod a+r public.txt   # 모두(all)에게 읽기 권한 추가
chmod o= private.txt   # 기타의 모든 권한 제거

# 재귀적 변경
chmod -R 755 /var/www/html

#include <stdio.h>
#include <sys/stat.h>
#include <unistd.h>
#include <errno.h>

int main() {
    /* 파일 생성 후 권한 변경 */
    FILE *fp = fopen("test.txt", "w");
    fprintf(fp, "sensitive data\n");
    fclose(fp);

    /* 소유자만 읽기/쓰기 가능하게 변경 */
    chmod("test.txt", S_IRUSR | S_IWUSR);  /* 0600 */

    /* 권한 확인 */
    if (access("test.txt", R_OK) == 0)
        printf("읽기 가능\n");
    if (access("test.txt", X_OK) != 0)
        printf("실행 불가 (errno=%d)\n", errno);

    return 0;
}

# 소유자와 그룹 변경 (root만 가능)
chown user:group file.txt
chown -R www-data:www-data /var/www    # 재귀적 변경

# 그룹만 변경
chgrp developers project/

umask              # 현재 umask 확인 (보통 0022)
umask 027          # 설정: 기타 사용자의 모든 권한 제거
touch new_file.txt # 640으로 생성됨
mkdir new_dir      # 750으로 생성됨

# SetUID가 설정된 파일 찾기
ls -la /usr/bin/passwd
# -rwsr-xr-x 1 root root 59640 ... /usr/bin/passwd
#    ^ s = SetUID + 실행 권한

# 시스템에서 SetUID 파일 전체 검색 (보안 감사)
find / -perm -4000 -type f 2>/dev/null
# /usr/bin/passwd
# /usr/bin/sudo
# /usr/bin/su
# /usr/bin/newgrp

# 팀 공유 디렉토리 설정
mkdir /shared/project
chgrp developers /shared/project
chmod 2775 /shared/project   # SetGID + rwxrwxr-x

# 이제 누가 파일을 만들든 그룹은 developers
touch /shared/project/test.txt
ls -la /shared/project/test.txt
# -rw-rw-r-- 1 alice developers ... test.txt

ls -ld /tmp
# drwxrwxrwt 18 root root 4096 ... /tmp
#          ^ t = Sticky Bit + 실행 권한

# Sticky Bit 없으면: /tmp에 쓰기 권한이 있는 모든 사용자가
# 다른 사용자의 파일도 삭제 가능 (매우 위험!)

# /etc/sudoers (visudo로만 편집!)

# 사용자 alice는 모든 명령을 root로 실행 가능
alice ALL=(ALL:ALL) ALL

# 사용자 deploy는 systemctl만 root로 실행 가능
deploy ALL=(root) NOPASSWD: /usr/bin/systemctl restart nginx, \
                            /usr/bin/systemctl restart app

# dev 그룹은 docker 명령만 실행 가능
%dev ALL=(root) /usr/bin/docker

sudo apt update              # root 권한으로 패키지 업데이트
sudo -u postgres psql        # postgres 사용자로 psql 실행
sudo -l                      # 내가 실행할 수 있는 명령 목록

# sudo 로그 확인 (감사 추적)
grep sudo /var/log/auth.log

#include <stdio.h>
#include <unistd.h>

int main() {
    printf("Real UID:      %d\n", getuid());
    printf("Effective UID: %d\n", geteuid());

    /* SetUID root 프로그램에서:
     * getuid() = 1000 (일반 사용자)
     * geteuid() = 0 (root) */

    /* 특권 작업 완료 후 권한 내려놓기 (보안!) */
    /* seteuid(getuid()); */

    return 0;
}