Permessi (informatica)

Classi

Gli utenti di ciascun file directory appartengono a tre classi utente: esse sono dette proprietario, gruppo di appartenenza e altri. Pertanto, ad ogni file o cartella è possibile associare i diversi permessi di base (scrittura, lettura, esecuzione) relativamente a ciascuna di queste tre classi di utenti:

• proprietario (solitamente, il suo creatore): per tale utente si applica la classe di permessi detta utente;
• gruppo di appartenenza (solitamente, il gruppo principale del suo creatore): agli utenti che non sono proprietari del file, ma che sono membri del gruppo di appartenenza del file, si applica la classe di permessi detta gruppo. A tal proposito, si ricorda che mentre un file appartiene esattamente ad un gruppo di utenti, un utente del sistema può essere membro di uno o più gruppi (di cui uno è detto principale mentre gli altri sono detti supplementari);
• per tutti gli altri utenti che non ricadono nei due casi sopra elencati si applica, invece, la classe di permessi detta altri.

I permessi ulteriori sono applicati indipendentemente dalla classe.

Con il comando ls -l <percorso/nome_file> riepilogando ad esempio si possono ottenere le seguenti informazioni sui permessi:

• drwxrwxrwx - Segnala che il file è una directory (il tipo di file viene indicato prima delle classi);
• -rwxrwxrwx - Gli attributi evidenziati si riferiscono all'utente proprietario del file;
• -rwxrwxrwx - Gli attributi evidenziati si riferiscono al gruppo di cui l'utente fa parte (se non è il proprietario del file, ma fa parte del gruppo di utenti assegnato al file);
• -rwxrwxrwx - Gli attributi evidenziati si riferiscono a tutti gli altri utenti o gruppi che non sono quelli assegnati al file.

Permessi di base

I permessi di base, che si applicano ai file e cartelle nell'ambito delle tre classi utente sopra elencate, sono:

• lettura (r) – applicato ai file permette di leggerne il contenuto; applicato alle directory consente di elencare i nomi dei file e delle sottodirectory che contengono;
• scrittura (w) – applicato ai file permette di modificarne il contenuto; applicato alle directory permette di aggiungere o rimuovere in esse dei file e altre sottodirectory; da notare quindi che non sono i permessi su un file a determinare se esso può essere cancellato, ma sono i permessi sulla directory che lo contiene a farlo;
• esecuzione (x) – applicato ai file permette di eseguirli; applicato alle directory permette di attraversarle per accedere ai file ed alle sottodirectory in esse contenute (ma non di elencarne il contenuto, per il quale serve anche il permesso di lettura).

Altri permessi

Oltre ai permessi di base i sistemi Unix hanno altri tre permessi che si applicano globalmente al file o directory, in maniera indipendente dalla classe:

• set user ID, detto anche setuid o suid: quando è applicato ad un file che ha il permesso di esecuzione (un file eseguibile), indica che esso va eseguito con i privilegi dell'utente proprietario del file anziché con quelli dell'utente che lo avvia; viene comunemente usato per consentire ad utenti ordinari di eseguire programmi che richiedono particolari privilegi di sistema di cui normalmente dispone solo l'amministratore. Viene rappresentato con s o S, vedi rappresentazione simbolica per maggiori informazioni;
• set group ID, detto anche setgid: quando è applicato ad un file che ha il permesso di esecuzione (un file eseguibile), indica che esso va eseguito con i permessi del gruppo assegnato al file anziché quelli del gruppo principale dell'utente che lo avvia. Applicato alle directory indica che i nuovi file e sottodirectory creati al loro interno avranno come gruppo assegnato quello della directory che li contiene anziché quello principale dell'utente che crea il file o la directory. Viene rappresentato con s o S, vedi rappresentazione simbolica per maggiori informazioni;
• sticky: un tempo, quando applicato ai file eseguibili, suggeriva al kernel di mantenere nel file di swap una copia del file eseguibile anche dopo che era terminato, in modo da sveltirne gli avvii successivi. Oggi tale suggerimento viene generalmente ignorato. Quando è applicato ad una directory indica invece che i file in essa contenuti possono essere cancellati e spostati solamente dagli utenti che ne sono proprietari, o dall'utente proprietario della directory che li contiene, o ancora dal superuser (root); è il caso ad esempio delle directory /tmp e /var/tmp, dove tutti gli utenti debbono poter creare e modificare dei file, ma nessuno eccetto il superuser deve poter rimuovere o spostare file temporanei di altri utenti. Viene rappresentato con t o T, vedi rappresentazione simbolica per maggiori informazioni;

Permessi dei collegamenti simbolici

I collegamenti simbolici non hanno mai permessi propri, essendo solo riferimenti per nome ad un altro file, e a tutti gli effetti si può considerare che abbiano i permessi del file o della directory a cui si riferiscono.

È al limite possibile, in alcuni sistemi, dare opzioni per il cambiamento ricorsivo dei permessi seguendo anche i collegamenti simbolici.

Rappresentazione simbolica

Si tratta della rappresentazione usata dal comando ls -l, e consiste in una serie di 10 caratteri.

Il primo carattere indica il tipo di file o directory elencata, e non rappresenta propriamente un permesso:

• - – file regolare
• d – directory
• b – dispositivo a blocchi
• c – dispositivo a caratteri
• l – collegamento simbolico
• p – named pipe
• s – socket in dominio Unix

Ad esso seguono tre serie di tre caratteri ciascuna. Ogni serie rappresenta una classe di permessi, rispettivamente per il proprietario, per il gruppo e per gli altri:

• r – lettura
• w – scrittura
• x – esecuzione (o attraversabilità per le directory)
• - – indica l'assenza del permesso corrispondente

Gli altri permessi sono rappresentati con delle varianti all'interno delle tre classi, sebbene essi non siano applicabili per classe:

• nella prima classe (quella che denota i permessi per il proprietario) il permesso di esecuzione può anche essere indicato come
  • s ( minuscolo ) quando sono presenti sia il permesso set user ID che quello di esecuzione
    • -rws------
  • S ( maiuscolo ) quando è presente solo il permesso set user ID
    • -rwS------
• nella seconda classe (quella che denota i permessi per il gruppo) il permesso di esecuzione può anche essere indicato come
  • s ( minuscolo ) quando sono presenti sia il permesso set group ID che quello di esecuzione
    • ----rws---
  • S ( maiuscolo ) quando è presente solo il permesso set group ID
    • ----rwS---
• nella terza classe (quella che denota i permessi per gli altri) il permesso di esecuzione può anche essere indicato come
  • t ( minuscolo ) quando sono presenti sia il permesso sticky che quello di esecuzione
    • --------t
  • T ( maiuscolo ) quando è presente solo il permesso sticky
    • --------T

Rappresentazione ottale

La rappresentazione ottale dei permessi consiste in un numero di quattro cifre in base otto (da 0 a 7). Tutte le cifre eccetto l'ultima possono essere omesse, e si considerano pari a zero. Ad esempio "750" equivale a "0750", mentre "5" equivale a "0005".

L'ultima cifra rappresenta la classe di permessi per gli altri, la penultima cifra la classe di permessi per il gruppo, la terzultima cifra rappresenta la classe di permessi per il proprietario, e la quartultima cifra rappresenta gli altri permessi. Solitamente si specificano numeri di tre o quattro cifre.

Ai permessi di lettura, scrittura ed esecuzione sono assegnati dei numeri:

• 4 – lettura
• 2 – scrittura
• 1 – esecuzione

e la somma dei permessi abilitati denota la cifra da usare per la particolare classe di permessi (ultima, penultima e terzultima cifra), ovvero:

Anche agli altri permessi viene assegnato un numero:

• 4 – set user ID
• 2 – set group ID
• 1 – sticky

e anche qui la somma dei permessi abilitati denota la quartultima cifra.

Da notare che i numeri derivano dalla notazione binaria, in cui ad ogni permesso corrisponde un singolo bit (per un totale di 12 bit), che è impostato a 1 se il permesso è concesso oppure a 0 se è negato.

Ad esempio un permesso 755 (in binario 000111101101) imposta lettura, scrittura ed esecuzione (7) per il proprietario (prima cifra), e lettura ed esecuzione (i due 5) per gruppo (seconda cifra) ed altri (terza cifra).

In certa documentazione è possibile siano specificate cinque cifre, la prima delle quali è però sempre zero, secondo la convenzione del linguaggio C per cui un numero ottale va indicato precedendolo da uno zero.