Leer los permisos

1. Quién puede hacer qué

En el tema 16 vimos los dos lados de cada acceso. De un lado, un proceso, que lleva una identidad: un usuario y una lista de grupos. Del otro, un archivo, que lleva anotados un dueño y un grupo. Falta la tercera pieza, la que los relaciona:

Los permisos de un archivo son una tabla, guardada en su inodo, que establece qué operaciones puede realizar sobre él cada clase de usuario.

El modelo es deliberadamente pequeño. Hay tres clases de usuarios y tres operaciones, lo que da nueve respuestas de sí o no. Con esas nueve respuestas se gobierna el acceso a todos los archivos del sistema, y por eso cada una se expresa con un solo carácter.

$ cd ~/practica
$ ls -l
total 28
drwxrwxr-x 2 ana ana  4096 oct 12 10:40 fotos
-rw-rw-r-- 1 ana ana 12813 oct 12 10:41 informe.txt
-rw-rw-r-- 1 ana ana    18 oct 12 10:32 notas.txt
-rw-rw-r-- 1 ana ana    70 oct 12 13:20 tareas.txt

2. Los nueve caracteres

El primer carácter de la cadena es el tipo de archivo, que conocemos del tema 7. Los nueve restantes son los permisos, y se leen de a tres:

Dentro de cada trío, las posiciones son fijas. La primera es siempre la de lectura, la segunda la de escritura y la tercera la de ejecución:

No hay otras letras posibles en cada lugar, salvo las de los permisos especiales del tema 21. Una w nunca aparece en la primera posición ni una r en la tercera. Por eso, con un poco de costumbre, la cadena se lee de un vistazo: rw- es «leer y escribir», r-x es «leer y ejecutar», --- es «nada».

3. Dueño, grupo y otros

Los tres tríos corresponden, en orden, a las tres clases en que el sistema divide a los usuarios respecto de un archivo dado:

Las letras u, g y o no aparecen en el listado, pero conviene aprenderlas ya: son las que se usan para cambiar los permisos, en el tema siguiente. La trampa es la o, que no es de owner, dueño, sino de others.

Las tres clases son relativas a cada archivo. Un mismo usuario es dueño de unos, pertenece al grupo de otros, y es «otro» frente a la mayoría. Para notas.txt, ana es la dueña; para /etc/passwd, que es de root, es una más entre los otros.

4. Leer, escribir y ejecutar

En un archivo común, las tres operaciones significan lo que su nombre sugiere:

Hay que señalar lo que no está en esa tabla. El permiso de escritura sobre un archivo permite cambiar su contenido; no permite borrarlo ni cambiarle el nombre. Esas operaciones dependen del directorio, como veremos en la sección 10. Tampoco hay un permiso para «ver que existe» o para leer su tamaño y su fecha: eso también depende del directorio.

Los tres permisos son independientes entre sí, y casi todas las combinaciones tienen algún sentido:

5. Cómo decide el kernel

Cuando un proceso intenta abrir un archivo, el kernel elige uno solo de los tres tríos y responde según lo que ese trío diga. El procedimiento es siempre el mismo, y vale la pena aprenderlo como un algoritmo:

1. ¿El proceso es de root? Se permite, sin mirar los permisos. UID 0
2. ¿El usuario del proceso es el dueño del archivo? Se aplica el primer trío, y no se sigue. dueño
3. ¿Alguno de los grupos del proceso es el grupo del archivo? Se aplica el segundo trío, y no se sigue. grupo
4. En cualquier otro caso, se aplica el tercer trío. otros

Lo esencial es el «no se sigue». Las clases no se suman: se usa la primera que corresponde, y solo esa. De ahí sale una consecuencia que parece una paradoja:

-r--rw-rw- 1 ana ana 120 oct 12 16:00 extrano.txt

¿Puede ana modificar este archivo? Pertenece al grupo ana, que tiene escritura; y los otros también la tienen. Sin embargo, no puede. Es la dueña, de modo que se le aplica el primer trío, r--, y el kernel no mira más. Cualquier otro usuario del sistema podría escribir en ese archivo, y su dueña no.

Es un caso artificial, pero muestra que los permisos se leen con el algoritmo y no por intuición. En la práctica, los tríos se ordenan de más a menos —el dueño puede más que el grupo, y el grupo más que el resto— y la paradoja no aparece. El dueño, además, siempre conserva la facultad de cambiar los permisos de lo suyo.

6. Leer permisos reales

Apliquemos el algoritmo a archivos del sistema, desde la identidad que nos dio id en el tema anterior: usuario ana, con los grupos ana, adm, sudo y otros.

$ ls -l /etc/passwd /etc/shadow /etc/sudoers /usr/bin/ls /var/log/syslog
-rw-r--r-- 1 root   root     2847 oct  5 09:12 /etc/passwd
-rw-r----- 1 root   shadow   1523 oct  5 09:12 /etc/shadow
-r--r----- 1 root   root     1800 ene 29  2024 /etc/sudoers
-rwxr-xr-x 1 root   root   142312 abr  5  2024 /usr/bin/ls
-rw-r----- 1 syslog adm    684213 oct 12 15:40 /var/log/syslog

El último caso muestra el uso de los grupos del que hablamos en el tema anterior: el registro del sistema es legible para un conjunto elegido de usuarios, los que administran el equipo, y cerrado para el resto.

Y /etc/sudoers tiene una rareza: ni su dueño, root, tiene permiso de escritura. No es un impedimento real, porque a root los permisos no se le aplican. Es una señal: el archivo no debe editarse directamente, sino con una herramienta que lo valida, visudo. Lo vemos en el tema 19.

7. El permiso de ejecución

De los tres permisos, el de ejecución es el que no tiene equivalente en otros sistemas, y conviene detenerse en él. En el tema 6 dijimos que en Linux la extensión no determina qué es un archivo. Lo que hace que un archivo pueda usarse como comando es este permiso.

Un archivo recién creado no lo tiene. Lo comprobamos intentando ejecutar un archivo de texto cualquiera:

$ ls -l tareas.txt
-rw-rw-r-- 1 ana ana 70 oct 12 13:20 tareas.txt
$ ./tareas.txt
bash: ./tareas.txt: Permission denied
$ echo $?
126

El archivo existe y se puede leer; lo que falta es la x. El código de salida 126 es el que en el tema 3 anotamos como «encontrado, pero no se puede ejecutar». Este mensaje es el primer tropiezo de todo el que escribe un script: lo crea con el editor, intenta ejecutarlo y recibe exactamente esto. La solución es otorgar el permiso, con el comando del tema 18.

La regla es una protección. Un archivo no se vuelve ejecutable por descargarlo o por copiarlo: alguien tiene que decidirlo. Con ella se evita ejecutar por accidente lo que no se pensaba ejecutar.

En los colores de ls, los archivos con permiso de ejecución aparecen en verde, y con la opción -F llevan un asterisco.

8. En un directorio significan otra cosa

Los directorios tienen las mismas nueve posiciones, con las mismas letras. Pero un directorio no tiene un «contenido» que leer ni se puede «ejecutar», y las tres operaciones cambian de significado. Esta es la parte del tema que más cuesta, y se vuelve simple con una idea del tema 14: un directorio es una lista de nombres, cada uno con una referencia a su archivo.

La x en un directorio suele llamarse permiso de búsqueda o de paso. Es la más importante de las tres. Sin ella, el directorio es una puerta cerrada: no se puede entrar con cd, ni abrir ningún archivo de su interior, ni siquiera conociendo su nombre exacto y teniendo todos los permisos sobre él.

Lo vimos en el tema 6, al intentar entrar en el directorio personal del administrador:

$ ls -ld /root
drwx------ 6 root root 4096 oct  5 09:30 /root
$ cd /root
bash: cd: /root: Permission denied
$ ls /root
ls: cannot open directory '/root': Permission denied

Para ana, que es «otros» frente a /root, el trío es ---. Los dos comandos fallan por permisos distintos: cd, porque falta la x; ls, porque falta la r.

9. Las combinaciones en directorios

Como la r y la x controlan cosas distintas, pueden estar una sin la otra, con resultados que conviene conocer:

La regla práctica que resume la tabla: en un directorio, la r y la w casi no sirven sin la x. Listar nombres sin poder acceder a nada es de poca utilidad, y la w sin la x no tiene efecto alguno, porque crear o borrar una entrada exige llegar hasta ella.

Tu directorio personal es un ejemplo de configuración pensada:

$ ls -ld /home/ana /etc /tmp
drwxr-xr-x 132 root root 12288 oct 12 09:05 /etc
drwxr-x---  17 ana  ana   4096 oct 12 10:32 /home/ana
drwxrwxrwt  18 root root  4096 oct 12 11:05 /tmp

10. Borrar depende del directorio

La consecuencia más contraria a la intuición de todo el modelo es esta:

Lo anticipamos en el tema 11, y ahora es una deducción: rm quita un nombre de una lista, y la lista es el directorio. La tabla ordena qué se necesita para cada operación:

Una cortesía de rm puede hacer creer lo contrario. Si intentas borrar un archivo sobre el que no tienes permiso de escritura, rm pregunta antes: remove write-protected regular file?. Es una advertencia del programa, no un impedimento del sistema; respondiendo y, el archivo se borra.

De esto se desprende un criterio de seguridad: quitar la escritura a un archivo lo protege de modificaciones, pero no de ser eliminado o reemplazado. Para proteger lo que hay en un directorio hay que cuidar los permisos del directorio.

11. El camino completo

Una ruta atraviesa varios directorios, y hace falta permiso de paso en todos. Para abrir /home/ana/practica/notas.txt se necesita x en /, en /home, en /home/ana y en /home/ana/practica, además de r en el archivo. Si falla uno solo, el acceso se niega, aunque los demás sean generosos.

Revisarlos de a uno con ls -ld es tedioso. El comando namei muestra los permisos de cada tramo de una ruta:

$ namei -l ~/practica/notas.txt
f: /home/ana/practica/notas.txt
drwxr-xr-x root root /
drwxr-xr-x root root home
drwxr-x--- ana  ana  ana
drwxrwxr-x ana  ana  practica
-rw-rw-r-- ana  ana  notas.txt

Leído de arriba abajo, es el recorrido que hace el kernel. Y explica algo que el listado de ~/practica no deja ver. El archivo notas.txt tiene lectura para otros, r--, y parecería que cualquier usuario del equipo puede leerlo. No es así: en la tercera línea, /home/ana niega el paso a los otros. Un usuario distinto no llega hasta el archivo, y sus permisos ni se consultan.

Es un patrón muy usado: un directorio cerrado arriba protege todo lo que cuelga de él, sin necesidad de ajustar cada archivo. Y es la primera hipótesis ante un Permission denied inexplicable: el problema no está en el archivo, sino en algún directorio del camino.

12. Los permisos habituales

De las muchas combinaciones posibles, en la práctica se repiten unas pocas. Reconocerlas a simple vista ahorra el análisis letra por letra. El comando stat las muestra también en su forma numérica, que aprenderemos a calcular en el tema siguiente:

$ stat -c '%A %a %U:%G %n' *
drwxrwxr-x 775 ana:ana fotos
-rw-rw-r-- 664 ana:ana informe.txt
-rw-rw-r-- 664 ana:ana notas.txt
-rw-rw-r-- 664 ana:ana tareas.txt

Dos regularidades ayudan a leerlas. En los archivos comunes casi nunca hay x; en los directorios y en los programas, la x acompaña a la r. Y una cadena que termina en --- indica algo reservado; una que termina en rwx o rw- —escritura para cualquiera— es casi siempre un error, y merece una segunda mirada.

13. Diagnosticar un Permission denied

Con lo anterior, un Permission denied deja de ser un obstáculo opaco. Se resuelve respondiendo, en orden, las mismas preguntas que se hace el kernel:

1. ¿Quién soy? id: mi usuario y mis grupos. identidad
2. ¿Qué quise hacer? Leer, modificar, ejecutar; o crear, borrar, renombrar. operación
3. ¿Sobre qué se decide? Las tres primeras, sobre el archivo. Las tres últimas, sobre el directorio que lo contiene. objeto
4. ¿Qué dicen sus permisos? ls -l para un archivo, ls -ld para un directorio. mirar
5. ¿Qué trío me toca? Dueño, grupo u otros, en ese orden, y el primero que corresponda. algoritmo
6. Si el trío lo permitía, revisar el camino con namei -l: falta la x en algún directorio. camino

Un ejemplo. El comando touch /etc/prueba falla. Quise crear un archivo, así que se decide sobre el directorio, /etc. Sus permisos son drwxr-xr-x root root. No soy root ni pertenezco al grupo root: me toca el tercer trío, r-x. No tiene w. El diagnóstico es completo, y dice también qué haría falta: actuar como root.

14. Lo que los permisos no hacen

Para terminar, los límites del modelo. Conocerlos evita atribuirle una protección que no da:

El cuarto punto deja una huella que quizá veas en algún listado. Cuando un archivo tiene reglas adicionales de ese tipo, ls -l agrega un signo + al final de la cadena, como en -rw-rw-r--+. Indica que los nueve caracteres no cuentan toda la historia, y que el detalle se consulta con getfacl.

También pueden aparecer letras distintas de r, w y x: una s o una t en el lugar de una x, como la de /tmp. Son los permisos especiales, que cierran el bloque en el tema 21.

La referencia del tema:

Sabemos leer. En el tema 18 aprendemos a escribir: cambiar los permisos con chmod, en sus dos notaciones, y el dueño y el grupo con chown.

15. Resumen

• Los permisos establecen qué puede hacer cada clase de usuario con un archivo. Son nueve respuestas de sí o no: tres clases por tres operaciones.
• En ls -l, tras el carácter de tipo, hay tres tríos: el del dueño, el del grupo y el de los otros.
• En cada trío, las posiciones son lectura, escritura y ejecución: r, w, x, o un guion si el permiso falta.
• En un archivo, r permite ver el contenido, w modificarlo y x ejecutarlo como programa.
• El kernel aplica un solo trío: el del dueño si el proceso es del dueño; si no, el del grupo si pertenece a él; si no, el de los otros. No se suman.
• A root no se le aplican los permisos.
• Un archivo no es ejecutable hasta que alguien le otorga la x. Sin ella, ejecutarlo da Permission denied.
• En un directorio, r permite listar los nombres, w crear, borrar y renombrar entradas, y x atravesarlo para llegar a lo que contiene.
• Sin x, un directorio es inaccesible, y la r y la w sirven de poco.
• Borrar o renombrar un archivo requiere permisos sobre el directorio que lo contiene, no sobre el archivo.
• Para llegar a un archivo hace falta x en todos los directorios de su ruta. namei -l los muestra.
• Ante un Permission denied: quién soy, qué operación, sobre qué objeto se decide, qué trío me corresponde, y el camino.
• Los permisos no cifran, no limitan a root ni al dueño, y no distinguen entre programas.

16. Preguntas de repaso

Intenta responder cada una antes de abrir la respuesta.

Para practicar

1. Para cada línea de ls -l ~/practica, escribe en palabras qué puede hacer el dueño, el grupo y los otros.
2. Ejecuta ls -l /etc/hostname /etc/shadow /usr/bin/passwd /var/log/auth.log. Para cada uno, determina con el algoritmo qué trío se te aplica y qué puedes hacer. Comprueba con cat o head.
3. Ejecuta ls -ld / /home /home/* /root /tmp /var/log y describe quién puede listar y quién puede crear archivos en cada uno.
4. Ejecuta namei -l sobre /etc/ssl/private, sobre /var/log/syslog y sobre tu ~/.bashrc. ¿En qué tramo se detendría un usuario cualquiera?
5. Sin ejecutarlos, predice cuáles de estos comandos fallan y por qué: touch /tmp/a, touch /etc/a, cat /etc/sudoers, ls /root, cd /var/log, rm /etc/hostname. Luego prueba los cinco primeros.
6. Intenta ejecutar ./notas.txt desde ~/practica y mira el código de salida con echo $?.
7. Usa stat -c '%A %a %n' sobre diez archivos y directorios distintos del sistema, y arma tu propia tabla de equivalencias entre letras y números.
8. Con find /usr/bin -maxdepth 1 -type f ! -executable, comprueba si hay algún archivo no ejecutable en ese directorio.
9. Busca en tu directorio personal los archivos y directorios cerrados a todos menos a ti: find ~ -maxdepth 1 \( -perm 700 -o -perm 600 \). ¿Qué guardan?
10. Explica con tus palabras por qué un directorio con permisos drwxrwxrwx es peligroso aunque todos los archivos que contiene sean de solo lectura.