Linux commando: chmod

Vroeg of laat komt elke Linux-gebruiker een muur van letters tegen zoals -rwxr-xr-x, samen met een advies dat klinkt als een toverspreuk: "draai er gewoon chmod 755 op". Het commando chmod is hoe je bepaalt wie een bestand mag lezen, schrijven en uitvoeren. Zodra je het snapt, verandert die muur van letters in een eenvoudige, leesbare zin.

2. Waar komt de naam vandaan?

De naam chmod is kort voor change mode (modus wijzigen).

chmod  =  CHange MODe

Het woord "mode" is de oude Unix-term voor de rechten-bits van een bestand. Datzelfde woord kom je op verwante plekken tegen: het veld st_mode in de stat-systeemaanroep bevat precies deze bits, en de C-bibliotheekfunctie die chmod aanroept heet zelf ook chmod(). Het commando is een dunne schil om die ene systeemaanroep.

Net als zijn buren cp (copy), mv (move) en rm (remove) is de naam kort gehouden omdat het vroege Unix werd getypt op trage teletype-terminals, waar elk teken op papier werd afgedrukt. De gewoonte bleef, en vijftig jaar later is chmod nog steeds chmod.

4. Eenvoudige toepassingen

4.1 Een script uitvoerbaar maken

Dit is verreweg de meest voorkomende reden waarom mensen naar chmod grijpen. Je hebt een shellscript geschreven, maar het systeem weigert het te draaien:

$ ./backup.sh
bash: ./backup.sh: Permission denied

Het bestand heeft nog geen uitvoerrecht. Voeg het toe met de +x-vorm (kort voor "add execute", uitvoeren toevoegen):

$ chmod +x backup.sh
$ ./backup.sh
Backup finished.

Dat is de hele oplossing. chmod +x maakt van een gewoon tekstbestand een uitvoerbaar commando.

4.2 De symbolische vorm: wie, operator, wat

De letters die je net gebruikte zijn onderdeel van een kleine, leesbare taal. Een symbolische modus heeft drie delen:

chmod  u+x  file
       |||
       ||`--- what:     r (read), w (write), x (execute)
       |`---- operator: + add, - remove, = set exactly
       `----- who:      u (user), g (group), o (others), a (all)

Je leest u+x als "voor de user (gebruiker), add (voeg toe) execute (uitvoeren)". Een paar alledaagse voorbeelden:

$ chmod u+x  file      # let the owner run it
$ chmod g-w  file      # take write away from the group
$ chmod o-r  secret    # hide it from everybody else
$ chmod a+r  page.html # everyone may read it (a = all)

Als je de "wie" weglaat, zoals in het kale chmod +x uit het vorige voorbeeld, betekent het "all" (alles), maar begrensd door je umask (het standaardrechtenmasker van je shell). Om verrassingen te vermijden: benoem de klasse die je bedoelt. chmod a+x is altijd ondubbelzinnig.

4.3 Meerdere klassen tegelijk wijzigen

Je kunt meerdere wijzigingen, gescheiden door komma's, in een commando opsommen:

$ chmod u+rwx,go-w notes.txt   # owner gets all; group and others lose write
$ ls -l notes.txt
-rwxr--r--  1 peter staff  1234 May 28 17:02 notes.txt

De operator = is strenger dan + en -: hij zet een klasse op precies wat je noemt en wist de rest voor die klasse. Dus chmod g=r file maakt het recht van de groep alleen-lezen, wat het ook was, en laat de eigenaar en anderen ongemoeid.

6. Gevorderde toepassingen

6.1 Een hele boom wijzigen: -R

De optie -R (kort voor recursive, recursief) past de modus toe op een map en alles erin:

$ chmod -R 755 /var/www/site

Dit is krachtig en, onvoorzichtig gebruikt, schadelijk. De valkuil is dat bestanden en mappen verschillende rechten nodig hebben. Een map heeft uitvoeren (x) nodig zodat je erin kunt, maar een gewoon databestand hoort meestal niet uitvoerbaar te zijn. chmod -R 755 maakt elk bestand uitvoerbaar, en chmod -R 644 strip het uitvoerbit van elke map, waardoor je jezelf eruit sluit.

6.2 De hoofdletter X: uitvoeren alleen waar het zin heeft

GNU chmod lost die valkuil op met een speciale rechtenletter, de hoofdletter X. Die voegt uitvoeren alleen toe aan mappen en aan bestanden die al minstens een uitvoerbit hebben. Gewone databestanden blijven ongemoeid.

$ chmod -R u=rwX,go=rX /var/www/site

Lees dat als: geef de eigenaar overal lezen en schrijven, plus uitvoeren alleen waar het hoort; geef de groep en anderen lezen, plus uitvoeren alleen waar het hoort. Dit ene commando zet een verstandig, veilig rechtenschema over een hele website in een keer. Een korte demonstratie van het verschil:

$ ls -l
-rw-rw-r--  1 peter staff    0 ... plain.txt   # a data file, no execute
drwx------  2 peter staff 4096 ... sub         # a directory

$ chmod a+X plain.txt sub
$ ls -l
-rw-rw-r--  1 peter staff    0 ... plain.txt   # unchanged: still not executable
drwx--x--x  2 peter staff 4096 ... sub         # changed: directory now enterable

6.3 Rechten kopieren: --reference

In plaats van een modus te noemen, kun je chmod de modus van een ander bestand laten kopieren met --reference:

$ chmod --reference=working.conf broken.conf

Nu heeft broken.conf precies dezelfde rechten als working.conf. Dit is handig als het ene bestand in een map zich netjes gedraagt en het andere niet, en je ze wilt laten overeenkomen zonder de getallen met de hand te lezen.

6.4 De speciale bits: setuid, setgid en sticky

Naast de negen gewone bits zijn er drie speciale bits, geschreven als een vierde octaal cijfer voor de modus. Zij zorgen dat delen van Linux werken.

Het klassieke setuid-voorbeeld is passwd. Een gewone gebruiker moet het systeemwachtwoordbestand bijwerken, dat alleen root mag schrijven. Setuid laat het programma als zijn eigenaar draaien, root, precies voor die taak:

$ ls -l /usr/bin/passwd
-rwsr-xr-x  1 root root 59976 ... /usr/bin/passwd

Let op de s op de plek waar de x van de eigenaar zou staan. Die s is het setuid-bit dat boven op het uitvoerbit zit. Je zet het door een 4 voor de modus te plaatsen:

$ chmod 4755 myprog       # rwsr-xr-x  (setuid)
$ chmod 2775 shared/      # rwxrwsr-x  (setgid directory)
$ chmod 1777 /tmp         # rwxrwxrwt  (sticky, world-writable)

Het sticky-bit is waarom /tmp werkt. Iedereen mag er schrijven, maar de t aan het eind betekent dat je alleen je eigen bestanden kunt verwijderen, niet die van anderen. Zonder dat zou elke gebruiker de tijdelijke bestanden van een ander kunnen wissen.

De speciale bits zijn de stille machinerie van een systeem met meerdere gebruikers: setuid laat je je eigen wachtwoord veranderen, setgid houdt de bestanden van een gedeeld project in een groep, en het sticky-bit voorkomt dat /tmp in een sloopterrein verandert.

Nog een leesdetail: als het uitvoerbit eronder ontbreekt, verschijnt de letter als een hoofdletter S of T in plaats van klein. Dus rwSr--r-- betekent dat setuid is gezet maar het bestand niet echt uitvoerbaar is, meestal een fout die een tweede blik waard is.

8. Beste werkwijzen

• Kies de minste rechten die werken. Begin restrictief. 600 voor prive-bestanden en 700 voor prive-mappen zijn veiliger standaardwaarden dan alles "voor de zekerheid" openzetten.
• Gebruik nooit chmod 777 om een probleem te verhelpen. Het is bijna nooit de echte oplossing, en het laat elke gebruiker op de machine je bestand wijzigen. Als iets niet gelezen kan worden, ligt het meestal aan het eigenaarschap (chown) of een ontbrekend x-bit op een map, niet aan een gebrek aan wereldtoegang.
• Gebruik de hoofdletter X bij recursieve wijzigingen. chmod -R u=rwX,go=rX dir geeft mappen hun uitvoerbit en laat databestanden niet-uitvoerbaar, en vermijdt zo de -R-valkuil.
• Grijp naar symbolische modi om bij te sturen, octaal om te zetten. +x en g-w wijzigen een ding; 644 en 755 verklaren de hele modus.
• Onthoud dat SSH streng is. OpenSSH weigert een prive-sleutel of ~/.ssh-map te gebruiken die anderen kunnen lezen. chmod 600 ~/.ssh/id_ed25519 en chmod 700 ~/.ssh zijn de standaardoplossingen.
• Lees de handleiding als je twijfelt. De gewoonte die een professional kenmerkt is niet het uit het hoofd kennen van elk bit; het is man chmod typen zodra er een vraag opkomt.

$ man chmod                              # the full manual page
$ chmod --help                           # a quick summary (GNU)
$ info coreutils 'chmod invocation'      # the verbose GNU manual

10. Samenvatting

Het commando chmod is klein, maar het bestuurt de hele vraag "wie mag wat" op een Linux-systeem.

• chmod betekent "change mode" (modus wijzigen). Het bewerkt de rechten-bits die ls -l toont, en is sinds 1971 onderdeel van Unix.
• Elk bestand draagt lees-, schrijf- en uitvoerrechten voor drie klassen: eigenaar, groep en anderen.
• Symbolische modi passen een ding tegelijk aan: u+x, g-w, a+r, en = om precies te zetten.
• Octale modi zetten alles in een keer. Lezen is 4, schrijven is 2, uitvoeren is 1; tel ze op per klasse. 644, 755 en 600 dekken de meeste dagelijkse behoeften.
• Gebruik -R om een boom te wijzigen, maar combineer het met de hoofdletter X zodat databestanden niet allemaal uitvoerbaar worden.
• De speciale bits setuid, setgid en sticky (een vierde cijfer: 4, 2, 1) laten gereedschappen zoals passwd en de gedeelde map /tmp werken.
• Op mappen wist een numerieke chmod het setgid-bit niet; gebruik daarvoor chmod g-s.
• Je umask zet de rechten van bestanden die je nog niet hebt aangemaakt; het zet bits uit, dus denk maskeren, niet aftrekken.
• Als de rechten-bits niet genoeg zijn, nemen ACL's (setfacl / getfacl, getoond door een + in ls -l) en capabilities (getcap / setcap) het over.
• chmod schrijft alleen de bits. De kernel dwingt ze bij elke toegang af, en root negeert ze.
• Bij twijfel: typ man chmod.

Dit is de handige naslag om te bewaren:

chmod +x file            make a file executable
chmod u+x file           add execute for the owner only
chmod g-w file           remove write from the group
chmod 644 file           rw-r--r--  a normal readable file
chmod 755 file           rwxr-xr-x  a script or directory
chmod 600 file           rw-------  a private file (SSH keys)
chmod 700 dir            rwx------  a private directory
chmod -R u=rwX,go=rX dir safe recursive: execute only on dirs
chmod g-s dir            remove the setgid bit from a directory
chmod 1777 dir           rwxrwxrwt  world-writable, sticky (like /tmp)
chmod --reference=A B    give B the same mode as A

Rechten zijn zo'n onderwerp dat er intimiderend uitziet tot het patroon klikt, en dan voelt het vanzelfsprekend. Als een server van jou steeds "Permission denied" of "403 Forbidden" blijft geven, of je niet zeker weet of een setuid-programma daar echt hoort, loont het vaak om iemand het hele plaatje van rechten en eigenaarschap goed te laten nakijken, voordat een snelle chmod 777 een klein probleem in een beveiligingsprobleem verandert.