Cambiar permisos y dueños

1. Quién puede cambiar qué

Antes de los comandos, las reglas. Los permisos, el dueño y el grupo de un archivo están anotados en su inodo, y no cualquiera puede modificarlos:

Hay un detalle en la primera fila que conviene notar. Para cambiar los permisos de un archivo no hace falta tener permiso de escritura sobre él: alcanza con ser el dueño. Los permisos no forman parte del contenido. Por eso, en el caso paradójico del tema anterior, la dueña de un archivo de solo lectura siempre puede devolverse la escritura.

Preparamos un taller con un archivo, un directorio y un script de una línea:

$ cd ~/practica
$ mkdir taller
$ cd taller
$ touch informe.txt
$ mkdir docs
$ echo 'echo "Hola desde un script"' > hola.sh
$ ls -l
total 8
drwxrwxr-x 2 ana ana 4096 oct 12 16:30 docs
-rw-rw-r-- 1 ana ana   28 oct 12 16:30 hola.sh
-rw-rw-r-- 1 ana ana    0 oct 12 16:30 informe.txt

2. chmod y sus dos notaciones

chmod, de change mode, recibe una descripción de permisos y uno o más archivos. «Modo» es el nombre técnico del conjunto de permisos de un archivo. La descripción se puede escribir de dos maneras:

Las dos producen los mismos resultados y las dos se usan a diario. Las vemos por separado y al final las comparamos.

3. La notación simbólica

Una expresión simbólica tiene tres partes, que responden tres preguntas: a quién, qué operación, qué permiso.

chmod g-w informe.txt
      │││
      ││└─ qué permiso: w, escritura
      │└─ qué operación: -, quitar
      └─ a quién: g, el grupo

Las letras de la primera columna son las que presentamos en el tema 17. Veamos una serie de cambios sobre informe.txt, que empieza en rw-rw-r--. La opción -v hace que chmod informe lo que hizo, en las dos notaciones:

$ chmod -v g-w informe.txt          # quitar escritura al grupo
mode of 'informe.txt' changed from 0664 (rw-rw-r--) to 0644 (rw-r--r--)
$ chmod -v o-r informe.txt          # quitar lectura a los otros
mode of 'informe.txt' changed from 0644 (rw-r--r--) to 0640 (rw-r-----)
$ chmod -v a+r informe.txt          # dar lectura a todos
mode of 'informe.txt' changed from 0640 (rw-r-----) to 0644 (rw-r--r--)

Cada comando tocó un solo permiso y dejó intactos los demás. Esa es la virtud de la notación simbólica: no hace falta saber cómo estaba el archivo para modificarle una cosa.

Con ella se puede reproducir la situación del tema anterior, y comprobar que el algoritmo del kernel no tiene contemplaciones con el dueño:

$ chmod u-w informe.txt             # la dueña se quita la escritura
$ ls -l informe.txt
-r--r--r-- 1 ana ana 0 oct 12 16:30 informe.txt
$ echo "una línea" >> informe.txt
bash: informe.txt: Permission denied
$ chmod u+w informe.txt             # pero puede devolvérsela

4. Simbólica: combinar, fijar y copiar

La expresión admite varias letras en cada parte y varias cláusulas separadas por comas, sin espacios:

El operador = se comporta distinto de los otros dos, y es el que acerca la notación simbólica a la octal: no agrega ni quita, sino que reemplaza el trío entero. g=r deja al grupo solo con lectura, tuviera lo que tuviera.

$ chmod go= informe.txt
$ ls -l informe.txt
-rw------- 1 ana ana 0 oct 12 16:30 informe.txt
$ chmod u=rw,g=r,o= informe.txt
$ ls -l informe.txt
-rw-r----- 1 ana ana 0 oct 12 16:30 informe.txt

Queda una letra más, que veremos en la sección 9: la X mayúscula, pensada para los cambios recursivos.

5. Hacer ejecutable un script

El uso más repetido de chmod en la vida de un programador es este. Un script recién escrito no se puede ejecutar, porque los archivos nacen sin la x:

$ ./hola.sh
bash: ./hola.sh: Permission denied
$ chmod +x hola.sh
$ ls -l hola.sh
-rwxrwxr-x 1 ana ana 28 oct 12 16:30 hola.sh
$ ./hola.sh
Hola desde un script

Con el permiso otorgado, el archivo de texto pasó a funcionar como un comando. ls lo muestra ahora en verde. El ./ delante sigue siendo necesario por lo que vimos en el tema 3: la shell no busca comandos en el directorio actual.

El permiso de ejecución se da a lo que se entiende y en lo que se confía. Antes de hacer ejecutable un archivo descargado, conviene leerlo: es texto, y less lo muestra. Los scripts son el tema 41, y la materia de todo el curso siguiente.

6. La notación octal

La segunda notación describe los nueve permisos con tres dígitos, uno por trío. Cada dígito se obtiene sumando el valor de los permisos presentes:

Como los tres valores son distintas potencias de dos, cada suma corresponde a una sola combinación. Hay ocho posibles, del 0 al 7, y de ahí el nombre: es un número en base ocho.

En la práctica se usan cinco: 7, 6, 5, 4 y 0. No hace falta memorizar la tabla; alcanza con recordar 4, 2, 1 y sumar. La conversión inversa es igual de mecánica: un 6 solo puede ser 4 + 2, es decir, rw-.

$ chmod 640 informe.txt
$ chmod 755 hola.sh
$ chmod 700 docs
$ ls -l
total 8
drwx------ 2 ana ana 4096 oct 12 16:30 docs
-rwxr-xr-x 1 ana ana   28 oct 12 16:30 hola.sh
-rw-r----- 1 ana ana    0 oct 12 16:30 informe.txt

7. Los números de todos los días

Unos pocos valores cubren casi todos los casos, y terminan reconociéndose como palabras. Son los que en el tema anterior mostraba stat:

La tabla tiene una regularidad que sirve de control. Los números de los archivos comunes son pares —6, 4, 0—, porque no llevan x. Los de los directorios y los programas son impares —7, 5—, o cero, porque la x, que vale 1, acompaña a la r. Un 6 o un 4 en un directorio, o un 7 en un documento, casi siempre son un error.

Verás a veces cuatro dígitos, como 0644, en la salida de stat y de chmod -v. El primero corresponde a los permisos especiales del tema 21; cuando vale cero se puede omitir.

8. Simbólica u octal

La tercera fila es el caso en que la diferencia importa de verdad. En un directorio con programas, documentos y subdirectorios, cada uno con sus permisos, go-w les quita a todos la escritura ajena respetando lo demás. Un número los igualaría a todos, con los resultados de la sección siguiente.

9. Cambios recursivos

La opción -R aplica el cambio a un directorio y a todo lo que contiene. Es potente, y tiene una trampa que conviene ver ocurrir. Ponemos algo dentro de docs y cometemos el error clásico: aplicar a un árbol entero el número de un archivo.

$ touch docs/a.txt docs/b.txt
$ mkdir docs/sub
$ chmod -R 644 docs                 # «que sean todos de lectura»
chmod: cannot access 'docs/a.txt': Permission denied
chmod: cannot access 'docs/b.txt': Permission denied
chmod: cannot access 'docs/sub': Permission denied
$ ls -ld docs
drw-r--r-- 3 ana ana 4096 oct 12 16:41 docs
$ cd docs
bash: cd: docs: Permission denied

chmod aplicó el 644 al directorio, y con eso le quitó la x. Sin permiso de paso no pudo llegar a los archivos de adentro, ni puede entrar su dueña. El número era correcto para un archivo y fatal para un directorio. Se repara devolviendo el permiso:

$ chmod 755 docs

El problema de fondo es que archivos y directorios necesitan permisos distintos: los directorios requieren x, los documentos no deben tenerla. Para eso existe la X mayúscula de la notación simbólica:

La X mayúscula otorga el permiso de ejecución solo a los directorios, y a los archivos que ya lo tienen para alguien. A los archivos comunes no se lo da.

$ chmod -R u=rwX,go=rX docs
$ ls -l docs
total 4
-rw-r--r-- 1 ana ana    0 oct 12 16:41 a.txt
-rw-r--r-- 1 ana ana    0 oct 12 16:41 b.txt
drwxr-xr-x 2 ana ana 4096 oct 12 16:41 sub

Un solo comando dejó los archivos en 644 y los directorios en 755. La otra manera de lograrlo es separar los dos casos con find, del tema 10, que es más larga y más explícita:

$ find docs -type d -exec chmod 755 {} +
$ find docs -type f -exec chmod 644 {} +

10. chown y chgrp: dueño y grupo

Los otros dos datos del inodo se cambian con comandos propios. chgrp, de change group, cambia el grupo, y el dueño de un archivo puede usarlo siempre que el grupo de destino sea uno de los suyos:

$ chgrp users informe.txt           # ana pertenece a «users»: puede
$ ls -l informe.txt
-rw-r----- 1 ana users 0 oct 12 16:30 informe.txt
$ chgrp root informe.txt            # no pertenece a «root»: no puede
chgrp: changing group of 'informe.txt': Operation not permitted

Con el primer comando, el archivo quedó legible para todos los miembros de users, porque el trío del grupo es r--. Así se comparte: se elige el grupo, y se ajusta su trío.

chown, de change owner, cambia el dueño, y admite cambiar el grupo en la misma operación. Requiere ser root, de modo que se usa con sudo:

$ chown root informe.txt
chown: changing ownership of 'informe.txt': Operation not permitted
$ sudo chown root:root informe.txt
[sudo] password for ana:
$ ls -l informe.txt
-rw-r----- 1 root root 0 oct 12 16:30 informe.txt
$ cat informe.txt
cat: informe.txt: Permission denied

El archivo está en el directorio de ana, lo creó ella, y ya no puede leerlo: no es la dueña ni pertenece al grupo root, y el trío de los otros es ---. El algoritmo del tema 17, aplicado sin excepciones.

Lo que sí puede hacer es borrarlo, y es la demostración práctica de la regla más extraña del tema anterior:

$ rm informe.txt
rm: remove write-protected regular empty file 'informe.txt'? y
$ ls
docs  hola.sh

Un archivo de root, sin ningún permiso para ella, eliminado por una usuaria común. Borrar es modificar el directorio, y el directorio taller es suyo.

El uso más frecuente de chown es precisamente reparar esta situación: archivos que quedaron a nombre de root dentro del directorio personal por haber usado sudo donde no hacía falta. Se corrige con sudo chown -R ana:ana directorio.

11. Por qué no se puede regalar un archivo

Que el dueño no pueda ceder lo suyo a otro usuario parece una restricción innecesaria. Tiene dos razones:

El dueño de un archivo es, por eso, un dato confiable: solo el administrador lo asigna. La manera de pasarle un archivo a otra persona sin ser root es que ella lo copie, con lo que la copia nace a su nombre.

Esto explica también una diferencia entre dos mensajes que hasta ahora parecían sinónimos:

12. umask: los permisos de nacimiento

Queda una pregunta que el taller plantea desde el principio: ¿por qué los archivos nuevos aparecieron con rw-rw-r-- y los directorios con rwxrwxr-x? No lo decidimos nosotros.

Un programa que crea un archivo propone permisos amplios: 666 para un archivo común, 777 para un directorio. El sistema recorta esa propuesta con un filtro que cada proceso lleva consigo:

La máscara de creación, o umask, es un número que indica qué permisos se quitan a todo archivo o directorio nuevo.

$ umask
0002
$ umask -S                          # en forma simbólica: lo que se concede
u=rwx,g=rwx,o=rx

Se lee con los mismos valores 4, 2 y 1, pero al revés: cada dígito dice lo que no se da. El valor de Ubuntu, 002, quita solo la escritura (2) a los otros:

Son exactamente los permisos que venimos viendo desde el tema 2. Los archivos nunca nacen ejecutables porque la propuesta de partida, 666, no incluye la x: es la protección de la que hablamos en el tema anterior.

El comando umask seguido de un número cambia la máscara de la shell actual, y afecta a lo que se cree a partir de ese momento. Los archivos existentes no cambian.

$ umask 077
$ touch privado.txt
$ mkdir reservado
$ ls -ld privado.txt reservado
-rw------- 1 ana ana    0 oct 12 16:55 privado.txt
drwx------ 2 ana ana 4096 oct 12 16:55 reservado
$ umask 002                         # volver al valor habitual

Es útil antes de generar archivos delicados: nacen cerrados, en lugar de quedar abiertos un instante hasta que se les aplique chmod. El cambio dura lo que la shell; para hacerlo permanente se escribe en ~/.bashrc, que estudiamos en el tema 34. umask es un comando interno, por la misma razón que cd: modifica un dato de la propia shell.

13. Recetas

La segunda fila es de aplicación obligada en algunos casos. Ciertos programas se niegan a usar un archivo secreto si otros usuarios pueden leerlo. El más conocido es ssh, que rechaza una clave privada con permisos distintos de 600, con un aviso de que el archivo está «demasiado abierto».

14. Las malas ideas

Hay una receta que no está en la tabla y que circula por todos los foros como solución universal:

Desarmamos el taller. Todo lo que queda en él es de ana:

$ cd ~/practica
$ rm -r taller
$ ls
fotos  informe.txt  notas.txt  tareas.txt

Y la referencia del tema:

A lo largo del tema usamos sudo como una fórmula. En el tema 19 lo estudiamos: qué es actuar como administrador, qué diferencia hay entre su y sudo, y cómo se decide quién puede hacerlo.

15. Resumen

• Los permisos los cambia el dueño del archivo o root; el dueño, solo root; el grupo, el dueño hacia uno de sus propios grupos.
• chmod tiene dos notaciones. La simbólica expresa un cambio; la octal, el estado completo.
• En la simbólica se indica a quién (u, g, o, a), la operación (+, -, =) y el permiso (r, w, x). Varias cláusulas se separan con comas.
• chmod +x hace ejecutable un script.
• En la octal, cada trío es un dígito: la suma de 4 por lectura, 2 por escritura y 1 por ejecución.
• Los valores habituales son 644 y 600 para archivos, 755 y 700 para programas y directorios.
• -R aplica el cambio de manera recursiva. Un número pensado para archivos deja inaccesibles los directorios; la X mayúscula da ejecución solo a los directorios.
• chgrp cambia el grupo y chown el dueño, o ambos con la forma usuario:grupo.
• Operation not permitted indica una operación reservada a root o al dueño; Permission denied, que los permisos no alcanzan.
• umask es la máscara que se quita a los permisos de todo archivo nuevo. Con 002, los archivos nacen en 664 y los directorios en 775.
• chmod 777 elimina toda protección y no corrige la causa del problema.

16. Preguntas de repaso

Intenta responder cada una antes de abrir la respuesta.

Para practicar

1. En un directorio de pruebas, crea un archivo y llévalo, con la notación simbólica y de a un cambio, por estos estados: rw-r--r--, rw-------, r--------, rwxr-x---. Verifica cada paso con ls -l.
2. Repite el recorrido con la notación octal, usando chmod -v para ver las dos formas.
3. Crea un script de una línea con echo 'date' > fecha.sh. Intenta ejecutarlo, dale permiso solo al dueño, y ejecútalo.
4. Quítale la lectura a ese script dejando la ejecución, con chmod u-r, e intenta ejecutarlo. ¿Por qué falla?
5. Crea un directorio con dos archivos. Quítale sucesivamente la r, la w y la x al dueño, devolviendo cada una antes de quitar la siguiente, y prueba en cada caso ls, cd, cat de un archivo y touch de uno nuevo. Compara con la tabla del tema 17.
6. Reproduce la trampa de la sección 9 con chmod -R 644 sobre un árbol de prueba, repárala, y déjalo bien con la X mayúscula.
7. Cambia el grupo de un archivo tuyo a otro de tus grupos, y ajusta los permisos para que ese grupo pueda leerlo y los demás no.
8. Con sudo, crea un archivo en tu directorio de pruebas: sudo touch ajeno.txt. Mira su dueño, intenta escribir en él, y devuélvelo a tu nombre con chown.
9. Ejecuta umask 027, crea un archivo y un directorio, y explica sus permisos. Restablece la máscara y comprueba que los ya creados no cambiaron.
10. Averigua con stat -c '%a %n' los permisos de ~/.bashrc, ~/.bash_history y, si existe, ~/.ssh. ¿Coinciden con lo que cabría esperar por su contenido?