Groups | Search | Server Info | Keyboard shortcuts | Login | Register [http] [https] [nntp] [nntps]

Groups > de.comp.os.unix.linux.misc > #110548 > unrolled thread

Schreibrechte, Sicherheitsfrage, Users

Back to article view | Back to de.comp.os.unix.linux.misc

Contents

  Schreibrechte, Sicherheitsfrage, Users Joerg <news@analogconsultants.com> - 2020-05-22 14:24 -0700
    Re: Schreibrechte, Sicherheitsfrage, Users Frank Miller <miller@posteo.ee> - 2020-05-23 02:35 +0200
      Re: Schreibrechte, Sicherheitsfrage, Users Joerg <news@analogconsultants.com> - 2020-05-23 11:20 -0700
        Re: Schreibrechte, Sicherheitsfrage, Users Sieghard Schicktanz <Sieghard.Schicktanz@SchS.de> - 2020-05-24 21:43 +0200
    Re: Schreibrechte, Sicherheitsfrage, Users Christian Garbs <mitch@cgarbs.de> - 2020-05-23 09:42 +0200
      Re: Schreibrechte, Sicherheitsfrage, Users Joerg <news@analogconsultants.com> - 2020-05-23 11:17 -0700

#110548 — Schreibrechte, Sicherheitsfrage, Users

Auf dem NAS sowie auf den einzelnen Linux-Rechnern moechte ich Rechte 
und Ownership so setzen, dass es sicher ist. Es gibt stets einen /Data 
Bereich und einen /Public Bereich, darunter natuerlich viele 
Sub-Directories.

Gedacht und derzeit rekursiv gesetzt ist das so:

/Data:  	Files 660
		Directories 770

/Public: 	Files 666
		Directories 777

Der Hintergrund ist, dass Besucher bei /Public eigene Urlaubsbilder 
abladen, sortieren und bearbeiten koennen. Dazu muessen sie neue 
Sub-Directories setzen oder loeschen koennen. Deren Laptops werden so 
gut wie immer Windows-Rechner sein. Es sind alles vertrauenswuerdige 
Leute, die dort mit Sicherheit keinen Molotov-Cocktail reinwerfen.

Die andere Frage waere nach Ownership. Derzeit habe ich es auf 
"joerg:joerg" gesetzt, scheint bei Linux recht ueblich zu sein.

Das ganze LAN ist hinter einem Router und zum Internet hin gut abgeschottet.

Gibt es Bedenken, besonders bezueglich der Sicherheit fuer den Bereich 
/Data?

Spaeter kommen noch "Kleinigkeiten" wie die Addition von users in die 
group, die aber nur von externen Rechnern auf das NAS zugreifen sollen 
und fuer die auf dem NAS daher kein eigener /home Bereich eingerichtet 
werden soll. Denn im Windows-Boot ist "Joerg" am Anfang grossgeschrieben 
und ich moechte das nicht aendern, also in die group mit einbinden. Da 
passiert derzeit das hier ...

[root@alarm joerg]# useradd --no-create-home Joerg
useradd: invalid user name 'Joerg'

...obwohl es laut man pages gehen sollte. Zitat "The first character 
should be alphabetic and the field should contain at least one lower 
case alphabetic character" und das ist ja mit den vier Kleinbuchstaben 
mehr als erfuellt. Oh well, sollte hoffentlich keine grosse Huerde werden.

-- 
Gruesse, Joerg

http://www.analogconsultants.com/

[toc] | [next] | [standalone]

#110549

Joerg wrote:
[..snip..]
> Denn im Windows-Boot ist "Joerg" am Anfang grossgeschrieben
> und ich moechte das nicht aendern, also in die group mit einbinden. Da
> passiert derzeit das hier ...
>
> [root@alarm joerg]# useradd --no-create-home Joerg
> useradd: invalid user name 'Joerg'
>
> ...obwohl es laut man pages gehen sollte. Zitat "The first character
> should be alphabetic and the field should contain at least one lower
> case alphabetic character" und das ist ja mit den vier Kleinbuchstaben
> mehr als erfuellt. Oh well, sollte hoffentlich keine grosse Huerde werden.

Die man page von useradd hier bei mir sagt unter "Warnungen":

It is usually recommended to only use usernames that begin with a lower
case letter or an underscore, followed by lower case letters, digits,
underscores, or dashes. They can end with a dollar sign.
In regular expression terms: [a-z_][a-z0-9_-]*[$]?

Dein Gefummel mit Gross- und Kleinschreibung des Usernamens ist wirklich
auf längere Sicht nicht zielführend, IMO.

[toc] | [prev] | [next] | [standalone]

#110566

On 2020-05-22 17:35, Frank Miller wrote:
> Joerg wrote:
> [..snip..]
>> Denn im Windows-Boot ist "Joerg" am Anfang grossgeschrieben
>> und ich moechte das nicht aendern, also in die group mit einbinden. Da
>> passiert derzeit das hier ...
>>
>> [root@alarm joerg]# useradd --no-create-home Joerg
>> useradd: invalid user name 'Joerg'
>>
>> ...obwohl es laut man pages gehen sollte. Zitat "The first character
>> should be alphabetic and the field should contain at least one lower
>> case alphabetic character" und das ist ja mit den vier Kleinbuchstaben
>> mehr als erfuellt. Oh well, sollte hoffentlich keine grosse Huerde werden.
>
> Die man page von useradd hier bei mir sagt unter "Warnungen":
>
> It is usually recommended to only use usernames that begin with a lower
> case letter or an underscore, followed by lower case letters, digits,
> underscores, or dashes. They can end with a dollar sign.
> In regular expression terms: [a-z_][a-z0-9_-]*[$]?
>

Aehnliches hatte ich vor dem Umstieg auf Linux in einem dicken 
Linux-Buch gelesen und deshalb alle Linux-PC mit Kleinschreibung 
eingerichtet.


> Dein Gefummel mit Gross- und Kleinschreibung des Usernamens ist wirklich
> auf längere Sicht nicht zielführend, IMO.
>

Das ist mir klar, aber im Windows-Boot war das alles seit Jahren mit 
Grossbuchstaben, weil dort ueblich. Ich muss Windows-Boot noch einige 
Jahre weiterbetreiben, zumindest bis ich vollstandig im Ruhestand bin 
und das geht in meinem Fall nicht schlagartig (moechte ich auch gar nicht).

-- 
Gruesse, Joerg

http://www.analogconsultants.com/

[toc] | [prev] | [next] | [standalone]

#110584

Hallo Joerg,

Du schriebst am Sat, 23 May 2020 11:20:42 -0700:

> > Dein Gefummel mit Gross- und Kleinschreibung des Usernamens ist wirklich
> > auf längere Sicht nicht zielführend, IMO.
> 
> Das ist mir klar, aber im Windows-Boot war das alles seit Jahren mit 
> Grossbuchstaben, weil dort ueblich. Ich muss Windows-Boot noch einige 

Bei Windows ist/war das nicht nur üblich, sondern egal, weil die älteren
Windows-Versionen sowieso alles in Großschreibung umgesetzt haben. Die
neuesten Versionen (AFAIK ab W7, evtl. auch schon davor) konnten das aber
zumindest unterscheiden und inzwischen ist die Schreibweise wohl auch
bindend.
Das sollte aber für einen Samba- (cifs-) Zugang keine Rolle spilen, weil
Samba das passend umzusetzen imstande ist.

Du schriebst am Sat, 23 May 2020 11:17:53 -0700:

> > Welche Protokolle benutzt Du denn für den Datenaustausch im Netzwerk?  
> 
> Nur smb.

Also cifs, höchstwahrscheinlich. Wenn Dein (Linux-) Server da nicht ganz
speziell für die Unterstützung der Uralt-Protokolle konfiguriert ist, wird
er bevorzugt cifs machen, verbindung über Port 445/microsoft-ds (siehe
/etc/services). Vielleicht macht auch Dein Router, jeweils nach einer
Konfigurations"anpassung", gelegentlich mal bisserl "Verkehrsregelung" und
filtert "unpassendes" weg? Kann zwar eigentlich nicht sein, wenn alle
Maschinen im selben Netz arbeiten, aber Du hattest ja mal was mit
unterschiedlichen Adressbereichen beschrieben, "Netze" aus 192.168. vs. 10.

[NFS-Benutzer]
> Oha, das waere aber suboptimal.

Nur in sehr heterogenen Netzen, aber weil die immer häufiger vorkommen,
gibt's bei NFS4 jetzt ebenfalls ein "user mapping". Dann kann der Benutzer
Müller (543) auf Maschine Josef auch Meier (435) heißen und auf Maschine
Heidi ist er halt der Schmied (354), oder auf Ludwig Reiter (453).
Verstanden?

> > Dafür gibt es Lösungen, mehr oder wenig kompliziert.

Aber ab NFS4 schon integriert.

...
> Mit Samba kam ich erstaunlicherweise an Files mit Owner "joerg", obwohl 
> die Rechner im Windows-Boot mit "Joerg" auftreten. Allerdings wurde beim

Das ist nicht erstaunlich, sondern so vorgesehen und muß auch so sein, weil
Windows, wie gesagt, früher da sowieso nicht unterscheiden konnte.
Deswegen war und ist da halt grundsätzlich ein "user mapping" eingebaut.
 
> jeweils ersten Zugriff nach dem Password gefragt. Danach nicht mehr.

Das könnte man unterdrücken, in der Abfrage ist ein entsprechendes
Schaltfeld ("save login" oder "save password" oder sowas) vorhanden, das
standardmäßig in Windows-Manier aktiv ("angekreuzt") ist.

-- 
-- 
(Weitergabe von Adressdaten, Telefonnummern u.ä. ohne Zustimmung
nicht gestattet, ebenso Zusendung von Werbung oder ähnlichem)
-----------------------------------------------------------
Mit freundlichen Grüßen, S. Schicktanz
-----------------------------------------------------------

[toc] | [prev] | [next] | [standalone]

#110551

Mahlzeit!

Joerg <news@analogconsultants.com> wrote:

> Auf dem NAS sowie auf den einzelnen Linux-Rechnern moechte ich Rechte 
> und Ownership so setzen, dass es sicher ist. Es gibt stets einen /Data 
> Bereich und einen /Public Bereich, darunter natuerlich viele 
> Sub-Directories.

Welche Protokolle benutzt Du denn für den Datenaustausch im Netzwerk?
Davon hängt ab, wie das mit den Usern gelöst ist und wie sich die
Rechte genau auswirken.

Beispiel:

Falls Du NFS benutzt, reicht es nicht aus, wenn auf Rechner A und
Rechner B jeweils ein User "joerg" vorhanden ist – wichtig ist, dass
er die gleiche numerische User-ID hat.  Andernfalls sind das für NFS
getrennte verschiedene User.

Umgekehrt heißt das: Wenn joerg die ID 500 hat und jemand anders
(z.B. fritz) besucht dich mit seinem Laptop, auf dem er der alleinige
User ebenfalls die ID 500 hat, dann ist das für NFS der gleiche User
und fritz kann alle Deine Dateien lesen und bearbeiten.

Dafür gibt es Lösungen, mehr oder wenig kompliziert.


Wenn Du mit Samba arbeitest, ist alles wieder ganz anders, da sind die
Netzwerkuser erstmal losgelöst von den lokalen Datei-Ownern (es gibt
ein Mapping).  (NFS kann vermutlich auch ähnliches, aber wohl nicht so
toll?)


Je nachdem könnte das Thema dann in einer der Netzwerkgruppen
relevanter sein als hier, weil es dann nur noch um die
Netzwerkprotokolle geht und das Linux untendrunter egal ist (das
könnte auch ein BSD sein und es ist für die Konfiguration irrelevant).


Gruß
Christian
-- 
....Christian.Garbs....................................https://www.cgarbs.de
When in doubt, parenthesize.  At the very least it will let some
poor schmuck bounce on the % key in vi.
            -- Larry Wall in the perl man page

[toc] | [prev] | [next] | [standalone]

#110565

On 2020-05-23 00:42, Christian Garbs wrote:
> Mahlzeit!
>
> Joerg <news@analogconsultants.com> wrote:
>
>> Auf dem NAS sowie auf den einzelnen Linux-Rechnern moechte ich Rechte
>> und Ownership so setzen, dass es sicher ist. Es gibt stets einen /Data
>> Bereich und einen /Public Bereich, darunter natuerlich viele
>> Sub-Directories.
>
> Welche Protokolle benutzt Du denn für den Datenaustausch im Netzwerk?


Nur smb.



> Davon hängt ab, wie das mit den Usern gelöst ist und wie sich die
> Rechte genau auswirken.
>
> Beispiel:
>
> Falls Du NFS benutzt, reicht es nicht aus, wenn auf Rechner A und
> Rechner B jeweils ein User "joerg" vorhanden ist – wichtig ist, dass
> er die gleiche numerische User-ID hat.  Andernfalls sind das für NFS
> getrennte verschiedene User.
>
> Umgekehrt heißt das: Wenn joerg die ID 500 hat und jemand anders
> (z.B. fritz) besucht dich mit seinem Laptop, auf dem er der alleinige
> User ebenfalls die ID 500 hat, dann ist das für NFS der gleiche User
> und fritz kann alle Deine Dateien lesen und bearbeiten.
>

Oha, das waere aber suboptimal.


> Dafür gibt es Lösungen, mehr oder wenig kompliziert.
>
>
> Wenn Du mit Samba arbeitest, ist alles wieder ganz anders, da sind die
> Netzwerkuser erstmal losgelöst von den lokalen Datei-Ownern (es gibt
> ein Mapping).  (NFS kann vermutlich auch ähnliches, aber wohl nicht so
> toll?)
>

Mit Samba kam ich erstaunlicherweise an Files mit Owner "joerg", obwohl 
die Rechner im Windows-Boot mit "Joerg" auftreten. Allerdings wurde beim 
jeweils ersten Zugriff nach dem Password gefragt. Danach nicht mehr.

Im Linux-Boot ist alles Kleinschreibung und nach dem, was Frank schrieb, 
lasse ich das besser so.

>
> Je nachdem könnte das Thema dann in einer der Netzwerkgruppen
> relevanter sein als hier, weil es dann nur noch um die
> Netzwerkprotokolle geht und das Linux untendrunter egal ist (das
> könnte auch ein BSD sein und es ist für die Konfiguration irrelevant).
>

Da muss ich mal eine englischsprachige NG zum Thema suchen, denn die 
deutschsprachige Samba-NG hat kaum noch Teilnehmer.

-- 
Gruesse, Joerg

http://www.analogconsultants.com/

[toc] | [prev] | [standalone]

Back to top | Article view | de.comp.os.unix.linux.misc

csiph-web