Como usar o comando chattr no Linux

Junto com a leitura, gravação e execução usuais permissões de arquivo, os arquivos Linux possuem outro conjunto de atributos que controlam outras características do arquivo. Veja como vê-los e alterá-los.

Permissões e atributos

No Linux, quem pode acessar um arquivo e o que pode fazer com ele é controlado por um conjunto de permissões. Se você pode ler o conteúdo de um arquivo, gravar novos dados no arquivo ou executar um arquivo se for um script ou um programa, tudo é governado por esse conjunto de permissões. As permissões são aplicadas ao arquivo, mas definem as restrições e recursos para diferentes categorias de usuário.

Existem permissões para o proprietário do arquivo, para grupo do arquivo e para outros— ou seja, usuários que não estão nas duas primeiras categorias. Você pode usar o ls comando com o -l (lista longa) para ver as permissões em um arquivo ou diretório.

Para alterar as permissões, você united states a chmod comando. Pelo menos, você pode se tiver permissões de gravação para o arquivo ou se for o usuário root.

Podemos ver que as permissões de arquivo são centradas no usuário porque concedem ou removem permissões no nível do usuário. Em contrapartida, o atributos de um arquivo são centrados no sistema de arquivos. Assim como as permissões, elas são definidas no arquivo ou diretório. Mas uma vez definidos, eles são os mesmos para todos os usuários.

Atributos são uma coleção separada de configurações de permissões. Atribui características de controle, como imutabilidade e outros comportamentos no nível do sistema de arquivos. Para ver os atributos de um arquivo ou diretório usamos o lsattr comando. Para definir os atributos usamos o chattr comando.

Permissões e atributos são armazenados dentro inodes. Um inode é um estrutura do sistema de arquivos que contém informações sobre objetos do sistema de arquivos, como arquivos e diretórios. A localização de um arquivo no disco rígido, sua knowledge de criação, suas permissões e seus atributos são armazenados em seu inode.

Como diferentes sistemas de arquivos têm diferentes estruturas e recursos subjacentes, os atributos podem se comportar de maneira diferente — ou ser completamente ignorados — por alguns sistemas de arquivos. Neste artigo, estamos usando ext4 que é o sistema de arquivos padrão para muitas distribuições Linux.

Olhando para os atributos de um arquivo

o chattr e lsattr comandos já estarão presentes em seu computador, então não há necessidade de instalar nada.

Para verificar os atributos nos arquivos no diretório atual, use lsattr:

lsattr

As linhas tracejadas são espaços reservados para atributos que não estão definidos. O único atributo definido é o e (extensões) atributo. Isso mostra que os inodes do sistema de arquivos estão usando—ou usarão se necessário—extensões para apontar para todas as partes do arquivo no disco rígido.

Se o arquivo for mantido em uma sequência contígua de blocos de disco rígido, seu inode só precisa gravar o primeiro e o último bloco usado para armazenar o arquivo. Se o arquivo for fragmentado, o inode deve registrar o número do primeiro e do último bloco de cada parte do arquivo. Esses pares de números de bloco de disco rígido são chamados de extensões.

Esta é a lista dos atributos mais usados.

• uma: Anexar apenas. Um arquivo com este atributo só pode ser anexado. Ele ainda pode ser gravado, mas apenas no ultimate do arquivo. Não é possível sobrescrever nenhum dos dados existentes no arquivo.
• c: Comprimido. O arquivo é automaticamente comprimido no disco rígido e descompactado quando é lido. Os dados gravados nos arquivos são compactados antes de serem gravados no disco rígido.
• UMA: Não atime atualizações. o atime é um valor em um inode que registra a última vez que um arquivo foi acessado.
• C: Sem cópia na gravação. Se dois processos solicitarem acesso a um arquivo, eles poderão receber ponteiros para o mesmo arquivo. Eles só recebem sua própria cópia exclusiva do arquivo se tentarem gravar no arquivo, tornando-o exclusivo para esse processo.
• d: Sem despejo. O Linux sell off O comando é usado para gravar cópias de sistemas de arquivos inteiros na mídia de backup. Este atributo faz sell off forget about o arquivo. Ele é excluído do backup.
• D: Atualizações de diretório síncronas. Quando esse atributo é ativado para um diretório, todas as alterações nesse diretório são gravadas de forma síncrona — ou seja, imediatamente — no disco rígido. As operações de dados podem ser armazenadas em buffer.
• e: Formato de extensão. o e O atributo indica que o sistema de arquivos está usando extensões para mapear o native do arquivo no disco rígido. Você não pode mudar isso com chattr. É uma função da operação do sistema de arquivos.
• european: Imutável. Um arquivo imutável não pode ser modificado, incluindo renomeação e exclusão. O usuário root é a única pessoa que pode ativar ou desativar esse atributo.
• s: Exclusão segura. Quando um arquivo com esse conjunto de atributos é excluído, os blocos de disco rígido que continham os dados do arquivo são substituídos por bytes contendo zeros. Follow que isso não é honrado pelo ext4 sistema de arquivo.
• S: Atualizações síncronas. Alterações em um arquivo com sua S conjunto de atributos são gravados no arquivo de forma síncrona.
• você: Excluir um arquivo que tem seu u conjunto de atributos faz com que uma cópia do arquivo seja feita. Isso pode ser benéfico para a recuperação de arquivos se o arquivo foi removido por engano.

Alterando os atributos de um arquivo

o chattr O comando nos permite alterar os atributos de um arquivo ou diretório. Podemos usar o + (conjunto) e - operadores (não definidos) para aplicar ou remover um atributo, semelhante ao chmod comando e permissões.

o chattr comando também tem um = (somente conjunto) operador. Isso configura os atributos de um arquivo ou diretório apenas para os atributos especificados no comando. Ou seja, todos os atributos não listados na linha de comando são desarmar.

Configurando o atributo Append Handiest

Vamos definir o atributo append-only em um arquivo de texto e ver como isso afeta o que podemos fazer com o arquivo.

sudo chattr +a text-file.txt

Podemos verificar se o bit somente de acréscimo foi definido usando lsattr :

lsattr text-file.txt

A carta “a” indica que o atributo foi definido. Vamos tentar sobrescrever o arquivo. Redirecionando a saída para um arquivo com um único colchete angular “>” substitui todo o conteúdo do arquivo pela saída redirecionada.

Nós pré-carregamos o arquivo de texto com alguns lorem ipsum texto de espaço reservado.

cat text-file.txt

Vamos redirecionar a saída de ls no arquivo:

ls -l > text-file.txt

sudo ls -l > text-file.txt

A operação não é permitida, mesmo que usemos a sudo comando.

Se usarmos dois colchetes angulares “>>” para redirecionar a saída, ele é anexado aos dados existentes no arquivo. Isso deve ser aceitável para nosso arquivo de texto somente anexado.

sudo ls -l >> text-file.txt

Voltamos ao instructed de comando sem nenhuma mensagem de erro. Vamos espiar dentro do arquivo para ver o que aconteceu.

cat text-file.txt

A saída redirecionada de ls foi adicionado ao ultimate do arquivo.

Embora possamos anexar dados ao arquivo, essa é a única alteração que podemos fazer nele. Não podemos excluí-lo e nem fazer root.

rm text-file.txt

sudo rm text-file.txt

Configurando o atributo imutável

Se você deseja proteger um arquivo que nunca terá novos dados adicionados a ele, você pode definir o atributo imutável. Isso obstruct todas as alterações no arquivo, incluindo anexar dados.

sudo chattr +i second-file.txt

lsattr second-file.txt

Podemos ver o “i” indicando que o atributo imutável foi definido. Tendo twister nosso arquivo imutável, mesmo o usuário root não pode renomeá-lo (mv), delete isso (rm), ou adicione dados a ele.

sudo mv second-file.txt new-name.txt

sudo rm second-file.txt

sudo ls -l >> second-file.txt

Não confie na exclusão segura no ext4

Como apontamos, alguns sistemas operacionais não suportam todos os atributos. O atributo de exclusão segura não é respeitado pelo ext família de sistemas de arquivosIncluindo ext4. Não confie nisso para a exclusão segura de arquivos.

É fácil ver que isso não funciona em ext4. Vamos definir o s atributo (exclusão segura) em um arquivo de texto.

sudo chattr +s third-file.txt

O que vamos fazer é descobrir o inode que contém os metadados sobre este arquivo. O inode contém o primeiro bloco de disco rígido ocupado pelo arquivo. O arquivo contém alguns lorem ipsum texto de espaço reservado.

Leremos esse bloco diretamente do disco rígido para verificar se estamos lendo o native correto do disco rígido. Vamos excluir o arquivo e ler o mesmo bloco de mergulho mais uma vez. Se o atributo de exclusão segura estiver sendo respeitado, devemos ler os bytes zerados.

Podemos encontrar o inode do arquivo usando o hdparm comando com o --fibmap (mapa de bloco de arquivo).

sudo hdparm --fibmap third-file.txt

O primeiro bloco de disco rígido é 18100656. Usaremos o dd comando para lê-lo.

As opções são:

• if=/dev/sda: Leia a partir do primeiro disco rígido neste computador.
• bs=512: Use um tamanho de bloco de disco rígido de 512 bytes.
• pular=18100656: Pule todos os blocos antes do bloco 18100656. Em outras palavras, comece a ler no bloco 18100656.
• contagem=1: Lê um bloco de dados.

sudo dd if=/dev/sda bs=512 skip=18100656 rely=1

Como esperado vemos o lorem ipsum texto de espaço reservado. Estamos lendo o bloco correto no disco rígido.

Agora vamos deletar o arquivo.

rm third-file.txt

Se lermos esse mesmo bloco de disco rígido, ainda poderemos ver os dados.

sudo dd if=/dev/sda bs=512 skip=18100656 rely=1

Novamente, não dependa disso para exclusão segura em ext4.Existem melhores métodos disponíveis para excluir arquivos para que não possam ser recuperados.

RELACIONADO: Como excluir arquivos com segurança no Linux

Útil, mas use com cuidado

Definir os atributos dos arquivos pode torná-los imunes a desastres acidentais. Se você não pode excluir ou substituir um arquivo, é bastante seguro.

Você pode pensar que gostaria de aplicá-los aos arquivos do sistema e tornar sua instalação do Linux mais segura. Mas os arquivos do sistema precisam ser substituídos periodicamente à medida que as atualizações são emitidas ou as atualizações são aplicadas. Por esse motivo, é mais seguro usar esses atributos apenas em arquivos de sua própria criação.

RELACIONADO: Como proteger seu servidor Linux com fail2ban