Permissions · Leçon 8

Le sticky bit

Découvrez comment le sticky bit protège les entrées des répertoires partagés accessibles en écriture tels que `/tmp`.

Un répertoire accessible en écriture permet normalement à un utilisateur autorisé de supprimer ou de renommer ses entrées, même si cet utilisateur ne possède pas les fichiers eux-mêmes. Le sticky bit ajoute une restriction fondée sur la propriété qui rend les répertoires partagés accessibles en écriture plus sûrs.

Comment le sticky bit limite la suppression

Lorsqu’un répertoire possède le sticky bit, Linux ne permet généralement de supprimer ou de renommer une entrée qu’à un processus suffisamment privilégié, au propriétaire du répertoire ou au propriétaire de l’entrée. Les permissions ordinaires d’écriture et de recherche du répertoire restent nécessaires.

Cette restriction concerne les entrées du répertoire. Elle n’empêche pas le propriétaire d’un fichier d’en modifier le contenu lorsque ses permissions l’autorisent, et ne rend pas le répertoire privé.

Dans un répertoire partagé doté du sticky bit, quel utilisateur ordinaire peut normalement supprimer une entrée particulière ?

Reconnaître le bit sur `/tmp`

Le répertoire temporaire du système est un exemple courant :

$ ls -ld /tmp
drwxrwxrwt 17 root root 4096 Dec 15 11:45 /tmp

Le t minuscule final occupe la position d’exécution des autres. Il signifie que le sticky bit et la permission d’exécution des autres sont présents. Un T majuscule signifie que le sticky bit est défini tandis que l’exécution des autres est absente.

Comme /tmp est généralement accessible en écriture et en recherche à tous, plusieurs utilisateurs peuvent y créer des entrées. Le sticky bit empêche un utilisateur ordinaire de supprimer les entrées d’un autre utilisateur au seul motif que le répertoire est accessible en écriture à tous. Les applications doivent néanmoins créer les objets temporaires de manière sûre, car les noms prévisibles, les liens dangereux et les modes trop faibles constituent des risques distincts.

Qu’indique un t minuscule à la fin du mode d’un répertoire ?

Définir et retirer le sticky bit

Définissez le bit symboliquement :

$ chmod +t shared-directory

Dans le premier chiffre octal des bits spéciaux, sticky contribue pour 1 :

$ chmod 1777 shared-directory

Le premier 1 définit sticky, tandis que 777 fournit le mode ordinaire. Ce mode ne convient que si le répertoire doit être partagé intentionnellement par tous les utilisateurs locaux. Des permissions de groupe plus étroites peuvent être préférables pour un répertoire d’équipe. Retirez uniquement le sticky bit avec chmod -t shared-directory.

Quelle première valeur octale représente le sticky bit ?

Vérifier la politique complète du répertoire

Sticky n’accorde ni l’écriture ni la recherche ; il ne fait que limiter la suppression et le changement de nom après que les permissions ordinaires ont autorisé la modification du répertoire. Vérifiez ensemble le propriétaire, le groupe, le mode ordinaire, les ACL et le contexte de montage du répertoire. Effectuez les tests avec des comptes sans privilèges dans un environnement isolé plutôt que de modifier /tmp sur un système en service.

L’ajout du sticky bit rend-il un répertoire non accessible en écriture modifiable par les autres utilisateurs ?

Pour vous exercer, créez un répertoire partagé jetable, définissez un mode ordinaire approprié et le sticky bit, puis testez la suppression d’entrées avec deux utilisateurs sans privilèges. L’atelier Supprimer et déplacer des fichiers renforce les opérations sous-jacentes de changement de nom et de suppression.

Leçon terminée

Vous avez terminé Le sticky bit

Vous savez maintenant expliquer et vérifier le sticky bit sur les répertoires partagés.

Relier sticky aux restrictions de propriété lors de la suppression et du changement de nom.
Reconnaître le t minuscule et le T majuscule dans une liste détaillée.
Définir le bit symboliquement ou avec la première valeur octale 1.
Évaluer sticky avec les permissions ordinaires du répertoire.

Conservez votre progression

Créez un compte gratuit pour enregistrer cette leçon et continuer sur n'importe quel appareil.

Créer un compte gratuit

Retour à Permissions