Was sind die richtigen Berechtigungen für / tmp? Ich habe alles versehentlich rekursiv öffentlich gemacht

Ich habe missbraucht sudo.

Ich habe ein temporäres Verzeichnis mit sehr kurzer Lebensdauer erstellt, das ich für ein paar Stunden mit einigen Benutzern teilen wollte ... und dieses Verzeichnis habe ich benannt /some/path/tmp

Leider habe ich sudo chown 777 -R /tmpstatt gestartet sudo chown 777 -R tmp, so dass meine /tmpDatei jetzt komplett öffentlich ist.

Ich benutze das Common /tmpziemlich oft (jeden Tag, fast jede Stunde) persönlich für Short Life-Dateien, Skripte, viele Skripte.

Ist es ein Sicherheitsbedenken, dass es nun vollständig öffentlich ist? Sollte ich es wieder in sicherere Einstellungen ändern oder die üblichen Standardeinstellungen für eine Debian- oder Ubuntu-Distribution verwenden - (ich weiß nicht, welche)? Wofür sind die richtigen Berechtigungen /tmp?

Die normalen Einstellungen für /tmpsind 1777, was lswie folgt aussieht drwxrwxrwt. Das heißt: weit offen, mit der Ausnahme, dass nur der Eigentümer einer Datei sie entfernen kann (das tbedeutet dieses zusätzliche Bit für ein Verzeichnis).

Das Problem bei einem /tmpmit Modus 777 ist, dass ein anderer Benutzer eine von Ihnen erstellte Datei entfernen und den Inhalt seiner Wahl ersetzen kann.

Wenn /tmpes sich um ein tmpfs-Dateisystem handelt, wird durch einen Neustart alles wiederhergestellt. Andernfalls führen Sie aus chmod 1777 /tmp.

Außerdem müssen viele Dateien /tmpprivat sein. Mindestens ein Verzeichnis muss jedoch unbedingt für die ganze Welt lesbar sein: /tmp/.X11-unixund möglicherweise auch einige andere ähnliche Verzeichnisse ( /tmp/.XIM-unixusw.). Der folgende Befehl sollte vor allem Abhilfe schaffen:

chmod 1777 /tmp
find /tmp -mindepth 1 -name '.*-unix' -exec chmod 1777 {} + -prune -o -exec chmod go-rwx {} +

Dh alle Dateien und Verzeichnisse privat machen (alle Berechtigungen für Gruppen und andere entfernen), aber die X11-Sockets für alle zugänglich machen. Die Zugriffssteuerung für diese Sockets wird vom Server und nicht von den Dateiberechtigungen erzwungen. Möglicherweise müssen andere Steckdosen öffentlich verfügbar sein. Suchen Sie find /tmp -type s -user 0unter "root" nach Sockets, die Sie möglicherweise benötigen, um den Zugriff auf die Welt zu ermöglichen. Es kann auch Sockets geben, die anderen Systembenutzern gehören (z. B. um mit einem Systembus zu kommunizieren). erkunden Sie mit find /tmp -type s ! -user $UID(wo $UIDist Ihre Benutzer-ID).

/tmpund /var/tmpsollte Lese-, Schreib- und Ausführungsrechte für alle haben; Normalerweise würden Sie jedoch auch das Sticky-Bit ( o+t) hinzufügen , um zu verhindern, dass Benutzer Dateien / Verzeichnisse entfernen, die anderen Benutzern gehören. Sollte also chmod a=rwx,o+t /tmpfunktionieren.

Was das rekursive Ändern von Berechtigungen betrifft ... Solange der Eigentümer / die Gruppe so bleibt wie die Dateien und Verzeichnisse, sollte es kein so großes Problem sein. Sie können jedoch möglicherweise die Berechtigung für alles unter /tmp(nicht / tmp selbst) ändern , um die Privatsphäre der Benutzer zu gewährleisten, indem Sie die rxRechte anderer und möglicherweise der Gruppe entfernen .

Suchen ist eine gute Möglichkeit, dies zu tun. Tun Sie als root Folgendes:

cd /tmp
find . -type f -exec chmod u=rw,go= {} \;   # (or u=rw,g=r,o= {})
find . -type d -exec chmod u=rwx,go= {} \;  # (or u=rwx,g=rx,o= {})

[root@Niflheim tmp]# ls -alF .
total 1632
drwxrwxrwt 15 root root    4096 Apr  7 04:24 ./
drwxr-xr-x 28 root root    4096 Apr  2 21:02 ../
[root@Niflheim tmp]# stat -c '%A %a %n' .
drwxrwxrwt 1777 .

Von einer CentOS 5.9-Maschine.