Ερώτηση σχετικά με δικαιώματα φακέλου

[g1annis]

Έχω έναν φάκελο στο homefolder μου που θέλω να έχω πρόσβαση ΜΟΝΟ εγώ με κωδικό. Το ζήτημα όμως είναι λίγο περίπλοκο γιατί θέλω να συμβαίνει το εξής:

 

Τα περιεχόμενα (κείμενα) του φακέλου να μπορώ να δω ποια είναι χωρίς κωδικό κι επίσης να μορώ να προσθέσω κι άλλα περιεχόμενα χωρίς κωδικό. Όμως αν χρειαστεί να διαγράψω ή να ανοίξω (διαβάσω) κάποιο περιεχόμενο κείμενο να απαιτείται κωδικός.

 

Μπορώ να το κάνω αυτό αλλάζοντας ιδιοκτησία και δικαιώματα ή χρειάζεται κάποιο extra πρόγραμμα?

 

Ευχαριστώ.

[nske]

Αυτό αφορά χρήστες που θα δουλεύουν στον ίδιο τον υπολογιστή, κάνοντας χρήση του ίδιου του λειτουργικού του (είτε τοπικά είτε π.χ. μέσω SSH), ή χρήστες που θα έχουν πρόσβαση στα αρχεία μέσω κάποιας υπηρεσίας filesharing (π.χ. SAMBA);

 

• Αν ισχύει το δεύτερο, ποια υπηρεσία θα χρησιμοποιείται ή, αν δε χρειάζεται να χρησιμοποιείται κάποια συγκεκριμένη, από τι λειτουργικό(ά) θα πρέπει να υποστηρίζεται;
   
   
  
• Αν ισχύει το πρώτο, τι interface θα χρησιμοποιούν οι χρήστες; (π.χ. shell & standard εντολές μέσω ssh; gnome μέσω remote X11 session; )
   
  Γενικά το όλο μοντέλο βασίζεται στο ότι κάθε χρήστης θα πιστοποιεί την ταυτότητά του όταν κάνει login και από και πέρα θα έχει κάποια προκαθορισμένα δικαιώματα καθ' όλη τη διάρκεια της σύνδεσής του. Το βασικό σύστημα, μέσα από τα interfaces του, δεν υποστηρίζει έτοιμους άλλους μηχανισμούς ελέγχου ώστε να ζητείται π.χ. κωδικός on-access, κάθε φορά που επιχειρεί κάποιος να προσπελάσει συγκεκριμένα αρχεία.
   
  Φυσικά τα πάντα μπορούν να γίνουν, αλλά αυτό δε γίνεται από το βασικό σύστημα με κάποιον standard τρόπο, οπότε θα πρέπει να γίνει είτε μέσω κάποιας τρίτης εφαρμογής είτε μέσω κάποιας χακιάς - πατέντας, εξαρτημένης από κάποιο συγκεκριμένο interface (άρα θα έπρεπε να διασφαλίσεις ότι μόνο από αυτό το interface θα μπορούν να έχουν πρόσβαση οι χρήστες).
   
  Θα μπορούσες να κρυπτογραφείς τα αρχεία που θέλεις μέσω του gpg, αλλά -γιατί αν κατάλαβα καλά αυτό θέλεις- θα έπρεπε να βρεις ένα τρόπο για να γίνεται αυτό αυτόματα για κάθε αρχείο που γράφεται και επίσης για να ζητείται κλειδί ή κωδικός αυτόματα μόλις κάποιος χρήστης πάει να το προσπελάσει από κάποιο συγκεκριμένο interface.
   
  Σίγουρα δεν σε καλύπτει απλά κάθε χρήστης να έχει το δικό του λογαριασμό (με το δικό του κωδικό) και να ορίσεις ποιοι λογαριασμοί θα μπορούν προσπελάσουν τι; Γιατί δεν αρκεί το authentication που θα κάνει κάποιος όταν συνδεθεί στο σύστημα, αλλά να πρέπει να πιστοποιείται και όταν θα πάει να προσπελάσει τα αρχεία;

[g1annis]

Θα μπορούσες να κρυπτογραφείς τα αρχεία που θέλεις μέσω του gpg, αλλά -γιατί αν κατάλαβα καλά αυτό θέλεις- θα έπρεπε να βρεις ένα τρόπο για να γίνεται αυτό αυτόματα για κάθε αρχείο που γράφεται και επίσης για να ζητείται κλειδί ή κωδικός αυτόματα μόλις κάποιος χρήστης πάει να το προσπελάσει από κάποιο συγκεκριμένο interface.

Αυτό ακριβώς που περιγράφεις θέλω. Κάτι σαν member section ας πούμε.

 

Το πρόγραμμα που μου προτείνεις κάνει αυτό το πράγμα?

[nske]

Απλά κρυπτογραφεί αρχεία με κάποιο κλειδί ή κωδικό, το οποίο χρειάζεται να έχει κάποιος για να τα αποκρυπτογραφήσει. Την εκτελείς όταν θέλεις να κρυπτογραφήσεις κάτι που θα τις πεις και αυτός που θέλει να το αποκρυπτογραφήσει την εκτελεί επίσης (δε γίνεται δηλαδή αυτόματα η διαδικασία κανονικά).

 

Δεν υπάρχουν κάποιοι συγκεκριμένοι χρήστες που θέλεις να μπορούν να γράφουν και κάποιοι συγκεκριμένοι που θέλεις να μη μπορούν να γράφουν; Γιατί να μην βάλεις αυτούς που θέλεις σε ένα group και να δώσεις δικαιώματα εγγραφής σε αυτό το group; Δηλαδή να βασιστείς στο authentication που κάνουν όταν κάνουν login -αυτό θα ήταν πιο απλό.

[firewalker]

Μπορεί να έχει κάποια συντόμευση για τον φάκελο που στην ουσία θα καλεί ένα script.

 

Θα μπορούσε αυτό το script να καλεί π.χ. gksu παράμετρος χρήστη dcop παράμετροι και να ανοίγει το φάκελο που θέλει. Εφόσον θα υπάρχουν οι χρήστες στο ερώτημα του gksu θα δίνουν κωδικό, αν ισχύει και έχουν access rights στον φάκελο θα ανοίξει.

 

 

gksu -u user_name "konqueror --profile filemanagement /home/firewalker/Desktop/MyFolder".

 

Το θέμα είναι ότι το gksu έχει την δυνατόττηα αποθήκευσης του pass για όλο το session και δεν ξέρω αν απενεργοποιείται. Σίγουρα μπορεί να πειραχτεί ο κώδικας και να αφαιρεθεί η επιλογή.

[g1annis]

Ο λόγος που δε μου αρκεί αυτή η ρύθμιση με τους χρήστες ούτε η πολύ καλή ιδέα με το script-άκι αλλά μάλλον πρέπει να χρησιμοποιήσω κάποιο πρόγραμμα είναι ότι θέλω την ασφάλεια, να την έχει αυτός καθ εαυτός ο φάκελος.

 

Πριν από 2-3 μήνες μου κλέψανε το laptop. Το user session είχε προφανώς κωδικό και μάλλον το κλεφτρόνι ή ο αποδόχος δε θα ασχολήθηκε και πολύ. Θα το πούλησε όπως ήταν ή θα το φόρμαρε. Αλλά αν κάποιος έμπαινε με ένα live CD θα είχε πλήρη πρόσβαση σε δεδομένα που δε θα ήθελα.

 

Στους εν λόγω φακέλους, προσθέτω δεδομένα τακτικά, ενώ σπάνια χρειάζεται να ξαναδιαβάσω κάτι ή να σβήσω κάποιο αρχείο ή να τροποποιήσω κάποιο κείμενο. Με λίγα λόγια θέλω να μπορώ να γράφω στον φάκελο εύκολα, αλλά για να διαβάσει κανείς τα κείμενα ή για να τα σβήσει να απαιτήται κωδικός.

 

Παίζει να ζητάω πολλά ε?

[nske]

Αh, δε διάβασα καλά και κατάλαβα ότι ήθελες να μοιράζεσαι τα αρχεία με άλλους, ενώ το γράφεις και με κεφαλαία ότι θέλεις να έχεις μόνο εσύ πρόσβαση -sorry!

 

Άρα αυτό που θέλεις μπορεί να γίνει αναγκαστικά μόνο με κρυπτογράφηση.

 

Υπάρχουν εφαρμογές που το κάνουν σε διαφορετικά επίπεδα:

 

- Υπάρχει η gpg που είπαμε, με την οποία μπορείς να κρυπτογραφείς αρχεία χειροκίνητα, αλλά δε ξέρω κάποιο έτοιμο interface που να αυτοματοποιεί την διαδικασία.

 

- Μετά υπάρχουν λύσεις που λειτουργούν ως block devices (π.χ. τα partitions που θα περιέχουν το / και το /home) και κρυπτογραφούν ολόκληρο το filesystem. Κωδικός / κλειδί ζητείται πριν από το mount, αν κάποιος δεν τα έχει δεν έχει πρόσβαση σε ολόκληρο το filesystem (λογική). Οι δημοφιλείς λύσεις αυτού του τύπου είναι το Truecrypt, το Dmcrypt και το LUKS. Δες και αυτή τη συζήτηση για ένα παράδειγμα χρήσης του Dmcrypt.

 

- Τέλος, υπάρχουν λύσεις όπως το EncFS και το CFS, οι οποίες μπορούν να κρυπτογραφούν αυτόματα περιεχόμενα ανά κατάλογο. Χωρίς να "ξεκλειδώσει" κάποιος τον κατάλογο δε μπορεί να δει ούτε τα filenames -μόνο τον αριθμό και το μέγεθος των αρχείων κατά προσέγγιση.

 

Το πλησιέστερο σε αυτό που θέλεις είναι οι τελευταίες λύσεις -κανονικά πιστοποίηση δε γίνεται κάθε φορά που θα πας να προσπελάσεις τον κατάλογο αλλά μία φορά, όταν θέλεις να τον ξεκλειδώσεις, αλλά η αποκρυπτογράφηση γίνεται στη μνήμη, οπότε αν κλείσει ο υπολογιστής ανά πάσα στιγμή τα δεδομένα υπάρχουν μόνο κρυπτογραφημένα -για να είσαι πιο σίγουρος μπορείς να κρυπτογραφήσεις και το swap space.