Quais são as permissões corretas para / tmp? Involuntariamente, defini tudo público recursivamente

Eu abusei sudo.

Criei um diretório temporário de vida muito curta que gostaria de compartilhar entre alguns usuários por algumas horas ... e nomeei esse diretório /some/path/tmp

Infelizmente, eu lancei em sudo chown 777 -R /tmpvez de sudo chown 777 -R tmp, então meu /tmparquivo agora é completamente público.

Eu uso o comum com /tmpbastante frequência (todos os dias, quase todas as horas) pessoalmente para arquivos de vida curta, scripts, muitos scripts.

É uma preocupação de segurança agora que está completamente definida para o público? Devo alterá-lo de volta para configurações mais seguras ou como configurações padrão comuns para uma distribuição Debian ou Ubuntu - (não sei quais eram)? Quais são as permissões corretas para /tmp?

As configurações normais para /tmp1777 são lsmostradas como drwxrwxrwt. Ou seja: bem aberto, exceto que apenas o proprietário de um arquivo pode removê-lo (é o que esse tbit extra significa para um diretório).

O problema com o /tmpmodo 777 é que outro usuário pode remover um arquivo que você criou e substituir o conteúdo de sua escolha.

Se você /tmpé um sistema de arquivos tmpfs, uma reinicialização restaurará tudo. Caso contrário, execute chmod 1777 /tmp.

Além disso, muitos arquivos /tmpprecisam ser privados. No entanto, pelo menos um diretório precisa criticamente ser legível pelo mundo: /tmp/.X11-unixe possivelmente outros diretórios similares ( /tmp/.XIM-unix, etc.). O comando a seguir deve principalmente corrigir as coisas:

chmod 1777 /tmp
find /tmp -mindepth 1 -name '.*-unix' -exec chmod 1777 {} + -prune -o -exec chmod go-rwx {} +

Ou seja, torne todos os arquivos e diretórios privados (remova todas as permissões para grupos e outros), mas torne os soquetes X11 acessíveis a todos. O controle de acesso nesses soquetes é imposto pelo servidor, não pelas permissões de arquivo. Pode haver outros soquetes que precisam estar disponíveis ao público. Corra find /tmp -type s -user 0para descobrir soquetes de propriedade raiz que talvez você precise tornar acessíveis ao mundo. Também pode haver soquetes pertencentes a outros usuários do sistema (por exemplo, para se comunicar com um barramento do sistema); explore com find /tmp -type s ! -user $UID(onde $UIDestá seu ID de usuário).

/tmpe /var/tmpdeveria ter lido, gravado e executado direitos para todos; mas você também adicionaria o sticky-bit ( o+t), para impedir que os usuários removam arquivos / diretórios pertencentes a outros usuários. Então chmod a=rwx,o+t /tmpdeve funcionar.

Quanto à alteração recursiva das permissões ... Enquanto o proprietário / grupo permanecer como é para os arquivos e diretórios, isso não deve ser um problema. Mas você pode alterar a permissão de tudo em /tmp(não o / tmp propriamente dito) para garantir a privacidade dos usuários, removendo os rxdireitos de outras pessoas e talvez do grupo.

Encontrar é uma boa maneira de fazer isso. Como root, faça:

cd /tmp
find . -type f -exec chmod u=rw,go= {} \;   # (or u=rw,g=r,o= {})
find . -type d -exec chmod u=rwx,go= {} \;  # (or u=rwx,g=rx,o= {})

[root@Niflheim tmp]# ls -alF .
total 1632
drwxrwxrwt 15 root root    4096 Apr  7 04:24 ./
drwxr-xr-x 28 root root    4096 Apr  2 21:02 ../
[root@Niflheim tmp]# stat -c '%A %a %n' .
drwxrwxrwt 1777 .

De uma máquina CentOS 5.9.