Calculateur chmod

Ce que fait un calculateur chmod

Un calculateur chmod traduit les permissions Linux entre leurs deux écritures pour que vous arrêtiez de deviner les modes octaux. Chaque fichier sur une machine Linux porte un jeu de permissions. Ça décide qui le lit et qui a le droit d'y écrire ou de l'exécuter. L'ennui, c'est que ces mêmes permissions s'habillent de deux façons différentes. ls -l vous affiche la chaîne symbolique, rwxr-xr-x. Mais chmod, lui, veut le nombre octal, 755 (trois chiffres, ou quatre). C'est exactement ce décalage qui me faisait trébucher, à chaque fois. Cet outil se place juste au milieu et traduit. Vous cochez l'accès que vous voulez, vous récupérez la commande. Et ça marche dans les deux sens : collez un octal trouvé dans la doc de quelqu'un et vous verrez tout de suite qui il laisse entrer.

Linux distingue trois groupes. Le propriétaire, c'est le détenteur du fichier, le u. Le groupe, c'est le groupe du fichier, g. Les autres, ce sont tous les autres sur la machine, o. Chacun a trois interrupteurs : lecture (r, qui vaut 4), écriture (w, qui vaut 2), exécution (x, qui vaut 1). Le chiffre octal ? Juste la somme de ces valeurs. Lecture plus écriture plus exécution, ça fait 4 + 2 + 1 = 7. Lecture plus exécution, c'est 4 + 1 = 5. Vous empilez les trois chiffres et voilà votre 755 pour rwxr-xr-x. Une fois que ce déclic se fait, honnêtement, tout ça arrête de ressembler à de la magie.

Comment l'octal, le symbolique et les commandes chmod sont liés

L'octal n'a rien de sorcier, franchement. C'est juste les trois chiffres de classe posés côte à côte, plus un quatrième chiffre optionnel devant quand les bits spéciaux entrent en jeu. Le calculateur construit l'octal, le symbolique et la commande à partir d'un seul état partagé. Ils ne peuvent pas se désynchroniser comme ça arriverait si vous les manipuliez à la main :

1. Choisissez les bits. Chaque case que vous cliquez bascule une permission pour une classe, et le chiffre se redessine aussitôt. Regardez-le pendant que vous cochez. C'est la façon la plus rapide que je connaisse de se construire l'intuition.
2. Lisez l'octal. Le propriétaire, le groupe et les autres se collent les uns aux autres, tout simplement. Activez un bit spécial et un quatrième chiffre saute devant : 755 devient 4755 à l'instant où setuid s'allume.
3. Copiez la commande. La plupart du temps, je prends la forme numérique, chmod 755 file. La version symbolique, chmod u=rwx,g=rx,o=rx file, veut dire exactement la même chose. Elle se lit juste mieux dans un script où vous voulez que l'intention soit écrite noir sur blanc.

Les bits spéciaux : setuid, setgid et sticky

Au-delà des neuf bits du quotidien, il y en a trois bizarres. Ils changent la façon dont un programme s'exécute, ou dont un dossier se comporte. Ils logent dans ce chiffre de tête optionnel. La plupart des gens les ignorent tranquillement, jusqu'au jour où il leur en faut vraiment un.

• setuid (4000). Collez ça sur un exécutable et il tourne avec l'identité du propriétaire du fichier, pas celle de qui l'a lancé. C'est toute l'astuce derrière passwd qui écrit dans /etc/shadow alors que vous, simple mortel, vous n'en avez pas le droit. Dans la chaîne symbolique, ça remplace le bit d'exécution du propriétaire par un s. Vous verrez un S si l'exécution se trouve désactivée, ce qui veut généralement dire que vous l'avez posé sur le mauvais fichier.
• setgid (2000). Sur un exécutable, ça fait la version "saveur groupe" de setuid. Mais là où il s'avère vraiment utile, c'est sur un dossier. Chaque nouveau fichier à l'intérieur récupère le groupe du dossier au lieu de celui qui l'a créé. Un sauveur pour un dossier de projet partagé quand vous en avez marre de corriger les groupes à la main. Ça voyage dans l'emplacement d'exécution du groupe, sous forme de s ou S.
• sticky bit (1000). Son foyer classique, c'est /tmp. Tout le monde peut y écrire. Mais le sticky bit dit que seul le propriétaire d'un fichier (ou root) a le droit de le supprimer ou de le renommer, comme ça personne ne peut vous arracher vos fichiers temporaires sous le nez. Il atterrit dans l'emplacement d'exécution des autres, sous forme de t ou T.

Les jeux de permissions courants et quand les utiliser

• 644 (rw-r--r--) c'est votre réflexe de base pour les fichiers ordinaires. Vous éditez, tout le monde lit. Documents, HTML, n'importe quelle config qui n'est pas un secret. C'est celui-là.
• 755 (rwxr-xr-x) c'est l'incontournable pour les dossiers et tout ce qui est censé s'exécuter. Vous avez le contrôle total, les autres peuvent entrer et exécuter. Scripts, binaires, dossiers web publics.
• 600 (rw-------) ça veut dire juste vous. Personne d'autre, ni en lecture ni en écriture. C'est là que vont les clés privées SSH, les identifiants et les fichiers .env, point final.
• 700 (rwx------) c'est la version dossier de ce verrouillage. Personne d'autre que vous ne peut même l'ouvrir. ~/.ssh vit ici, et tout ce qui est privé et propre à un utilisateur devrait y être aussi.
• 666 et 777 sont accessibles en écriture par tout le monde, et c'est presque toujours une erreur que je finis par nettoyer derrière quelqu'un. N'importe quel utilisateur local peut réécrire vos données dans votre dos, ou changer ce que fait un script. Vous avez vraiment besoin d'écritures partagées ? Créez un groupe et mettez plutôt 2775 sur le dossier.

Confidentialité et fonctionnement de cet outil

J'ai gardé cet outil entièrement côté client, exprès. Les calculs, la conversion octale, les chaînes de commande ? Tout se passe en JavaScript, directement dans votre navigateur. Les noms de fichiers que vous tapez et les bits que vous activez ne sont jamais envoyés où que ce soit, jamais enregistrés ni stockés. Débranchez le câble réseau une fois la page chargée et ça marche toujours. Alors allez-y, collez un vrai chemin de production ou un nom de fichier interne. Ça ne va nulle part où je pourrais le voir.

Questions fréquentes

Que veut dire chmod 755 ?

Ça donne au propriétaire le jeu complet : lecture, écriture et exécution (7 = 4+2+1). Le groupe et les autres n'ont que lecture et exécution (5 = 4+1). Écrit en toutes lettres, ça donne rwxr-xr-x. C'est la valeur par défaut du quotidien pour les dossiers et les scripts exécutables. Vous pouvez les modifier. Tout le monde peut s'en servir, mais sans pouvoir toucher à ce qu'il y a dedans.

Quelle est la différence entre chmod 644 et 755 ?

Un bit. Le bit d'exécution. 644 (rw-r--r--) le laisse éteint, ce qui est exactement ce qu'il faut pour les fichiers ordinaires comme du texte, du HTML ou des images. Aucun de ces fichiers ne devrait être exécutable. 755 (rwxr-xr-x) l'allume pour les trois classes, et vous en avez besoin sur un dossier avant que quiconque puisse y entrer, ou sur un script avant qu'il ne s'exécute. La règle rapide que je ne transgresse jamais : 644 pour les fichiers, 755 pour les dossiers et tout ce qui est exécutable.

Comment convertir des permissions symboliques en octal ?

Découpez les neuf caractères en trois blocs de trois. Dans chaque bloc, la lecture compte pour 4, l'écriture pour 2, l'exécution pour 1. Additionnez ce qui est présent. Donc rwxr-xr-x donne 7, 5, 5. Le calculateur ci-dessus fait les additions pour vous à la seconde où vous cliquez sur une case, et il marche aussi dans l'autre sens quand vous tapez un octal.

C'est quoi le quatrième chiffre de tête dans chmod 4755 ?

C'est le chiffre des bits spéciaux, placé devant. 4 c'est setuid, 2 c'est setgid, 1 c'est le sticky bit. Ils s'additionnent exactement comme les chiffres normaux. Donc 4755, c'est juste setuid ajouté à 755. Vous n'avez besoin de ce quatrième chiffre que lorsqu'un des bits spéciaux est en jeu. Sinon, la forme classique à trois chiffres dit la même chose.

Pourquoi devrais-je éviter chmod 777 ?

Parce que 777 ouvre les portes en grand. Lecture, écriture et exécution pour absolument tout le monde, y compris les autres utilisateurs locaux et tout processus qui tourne sous un autre compte. J'ai vu ça virer en vrai incident plus d'une fois. Un utilisateur ou un service compromis écrase le fichier, ou réécrit discrètement un script pour lui faire faire quelque chose qu'il ne devrait pas. Si ce que vous voulez vraiment c'est un accès en écriture partagé, créez un groupe, ajoutez les personnes qui en ont besoin, puis mettez 2775 sur le dossier pour que le groupe reste collé.