¿Cuáles son los permisos correctos para / tmp? Involuntariamente lo puse todo público recursivamente

He abusado sudo.

He creado un directorio temporal de muy, muy corta vida que quería compartir entre algunos usuarios durante unas horas ... y llamé a este directorio /some/path/tmp

Desafortunadamente, he lanzado en sudo chown 777 -R /tmplugar de sudo chown 777 -R tmp, por lo que mi /tmparchivo ahora es completamente público.

Utilizo el común con /tmpbastante frecuencia (todos los días, casi cada hora) personalmente para archivos de corta vida, guiones, muchos guiones.

¿Es un problema de seguridad ahora que está completamente configurado como público? ¿Debería volver a cambiarlo a configuraciones más seguras, o como configuraciones predeterminadas comunes para una distribución Debian o Ubuntu - (no sé cuáles eran)? ¿Para qué son los permisos correctos /tmp?

La configuración normal para /tmpes 1777, que se lsmuestra como drwxrwxrwt. Es decir: abierto, excepto que solo el propietario de un archivo puede eliminarlo (eso es lo que significa este tbit extra para un directorio).

El problema con un /tmpmodo 777 es que otro usuario podría eliminar un archivo que haya creado y sustituir el contenido de su elección.

Si su /tmpes un sistema de archivos tmpfs, un reinicio restaurará todo. De lo contrario, corre chmod 1777 /tmp.

Además, muchos archivos /tmpdeben ser privados. Sin embargo, al menos un directorio debe ser críticamente legible: /tmp/.X11-unixy posiblemente otros directorios similares ( /tmp/.XIM-unix, etc.). El siguiente comando debería en su mayoría arreglar las cosas:

chmod 1777 /tmp
find /tmp -mindepth 1 -name '.*-unix' -exec chmod 1777 {} + -prune -o -exec chmod go-rwx {} +

Es decir, hacer que todos los archivos y directorios sean privados (eliminar todos los permisos para grupos y otros), pero hacer que los sockets X11 sean accesibles para todos. El control de acceso en estos sockets es impuesto por el servidor, no por los permisos del archivo. Puede haber otros enchufes que deben estar disponibles públicamente. Ejecútelo find /tmp -type s -user 0para descubrir los sockets propiedad de la raíz que puede necesitar hacer accesibles al mundo. Puede haber también tomas de corriente de otros usuarios del sistema (por ejemplo, para comunicarse con un bus del sistema) explore con find /tmp -type s ! -user $UID(donde $UIDestá su ID de usuario).

/tmpy /var/tmpdebería tener derechos de lectura, escritura y ejecución para todos; pero por lo general también agregaría el sticky-bit ( o+t), para evitar que los usuarios eliminen archivos / directorios que pertenecen a otros usuarios. Entonces chmod a=rwx,o+t /tmpdebería funcionar.

En cuanto a cambiar los permisos de forma recursiva ... Mientras el propietario / grupo permanezca como lo es para los archivos y directorios, no debería ser un gran problema. Pero quizás podría cambiar el permiso de todo lo que se encuentra debajo /tmp(no / tmp) para garantizar la privacidad de los usuarios, eliminando los rxderechos de los demás y quizás del grupo.

Encontrar es una buena manera de hacer esto. Como root, haz:

cd /tmp
find . -type f -exec chmod u=rw,go= {} \;   # (or u=rw,g=r,o= {})
find . -type d -exec chmod u=rwx,go= {} \;  # (or u=rwx,g=rx,o= {})

[root@Niflheim tmp]# ls -alF .
total 1632
drwxrwxrwt 15 root root    4096 Apr  7 04:24 ./
drwxr-xr-x 28 root root    4096 Apr  2 21:02 ../
[root@Niflheim tmp]# stat -c '%A %a %n' .
drwxrwxrwt 1777 .

Desde una máquina CentOS 5.9.