Nadawanie uprawnień do plików

Nadawanie uprawnień do plików to określanie, kto może odczytywać, modyfikować lub udostępniać dany dokument.

Uprawnienia do plików a dostęp użytkowników

Nadawanie uprawnień do plików polega na przypisaniu określonym kontom lub grupom praw do wykonywania konkretnych operacji. Najczęściej są to: odczyt zawartości, zapis zmian, tworzenie i usuwanie plików, zmiana nazwy oraz uruchamianie programu. Uprawnienie do odczytu nie oznacza automatycznie prawa do modyfikowania dokumentu. Podobnie możliwość otwarcia folderu nie zawsze daje prawo do usunięcia znajdujących się w nim plików. System operacyjny sprawdza te zasady przy każdej próbie dostępu, korzystając z identyfikatora konta użytkownika i przypisanych mu reguł.

W komputerach domowych i biurowych uprawnienia mogą dotyczyć plików zapisanych na dysku wewnętrznym, dysku USB, karcie pamięci albo w folderze udostępnionym w sieci lokalnej. W systemie Windows podstawowym mechanizmem dla partycji NTFS są listy kontroli dostępu ACL. Zawierają one wpisy określające, jaki użytkownik lub grupa otrzymuje dostęp i czy jest on dozwolony, czy zabroniony. W systemach Linux i innych systemach uniksowych podstawowe prawa są zwykle przypisane właścicielowi pliku, grupie oraz pozostałym użytkownikom. Dodatkowe reguły można definiować za pomocą rozszerzonych list ACL.

Różnice między systemem Windows i Linux

W Windows uprawnienia folderu można zmieniać w jego właściwościach, na karcie „Zabezpieczenia”. Dostępne wpisy obejmują między innymi odczyt, zapis, modyfikowanie, odczyt i wykonywanie oraz pełną kontrolę. Polecenie icacls pozwala wyświetlić i zmieniać listy ACL z poziomu wiersza polecenia. Przykładowo icacls "C:\Dane" pokazuje istniejące wpisy, natomiast icacls "C:\Dane" /grant Uzytkownik:(R) nadaje wskazanemu kontu prawo odczytu. Litera R oznacza odczyt, a M modyfikowanie. Zmiana uprawnień może wymagać uruchomienia konsoli z uprawnieniami administratora.

W systemach Linux uprawnienia podstawowe są prezentowane zwykle w postaci dziewięciu znaków, na przykład rwxr-x---. Pierwsze trzy znaki opisują właściciela, kolejne grupę, a ostatnie pozostałych użytkowników. Litera r oznacza odczyt, w zapis, a x wykonanie; znak - oznacza brak danego prawa. Polecenie chmod 640 dokument.txt nadaje właścicielowi odczyt i zapis, grupie odczyt, a pozostałym użytkownikom nie przyznaje dostępu. Polecenie chown zmienia właściciela, a setfacl umożliwia dodanie uprawnień dla konkretnego konta bez zmiany podstawowego właściciela i grupy.

Dziedziczenie, udostępnianie i skutki błędnej konfiguracji

Uprawnienia folderu często są dziedziczone przez pliki i podfoldery. W Windows reguły dziedziczone mogą zostać zmienione na poziomie konkretnego elementu, dlatego dwa pliki znajdujące się w tym samym katalogu nie zawsze mają identyczny dostęp. W systemach Linux podobny efekt można uzyskać za pomocą domyślnych wpisów ACL dla katalogu. Dziedziczenie ułatwia zarządzanie większym zbiorem dokumentów, ale jego wyłączenie lub ręczne nadpisanie może spowodować nieoczekiwaną utratę dostępu albo udostępnienie plików szerszej grupie osób.

Uprawnienia lokalne i uprawnienia udziału sieciowego są odrębnymi warstwami. W Windows dostęp do pliku przez udział SMB może być ograniczony zarówno przez ustawienia udostępniania, jak i przez ACL systemu plików. Użytkownik uzyska w praktyce bardziej restrykcyjny poziom wynikający z obu warstw. Nadanie pełnej kontroli na poziomie udostępnienia nie pozwoli ominąć braku odpowiednich praw NTFS. Przy diagnozowaniu problemu trzeba więc sprawdzić konto, członkostwo w grupach, ścieżkę dostępu, dziedziczenie oraz komunikat systemu, a nie tylko przyznać wszystkim pełny dostęp. Zbyt szerokie reguły mogą umożliwić przypadkowe usunięcie lub zmianę plików.

Praktyczne sprawdzanie i przywracanie dostępu

Przed zmianą uprawnień warto ustalić, czy problem dotyczy jednego pliku, całego folderu, konkretnego konta czy wszystkich użytkowników. W Windows pomocne jest sprawdzenie karty „Zabezpieczenia” oraz zakładki „Dostęp efektywny”, która pokazuje wynik reguł dla wybranego użytkownika. W Linux polecenie ls -l pozwala odczytać właściciela, grupę i podstawowe prawa, a getfacl nazwa_pliku pokazuje również rozszerzone wpisy ACL. Gdy plik znajduje się na nośniku sformatowanym w systemie, który nie obsługuje wymaganych uprawnień, zmiana reguł może być niemożliwa albo działać inaczej niż na partycji NTFS lub systemie plików Linux.

Bezpieczna konfiguracja powinna przyznawać użytkownikowi tylko te prawa, które są potrzebne do pracy. Dokument przeznaczony wyłącznie do czytania nie wymaga prawa zapisu, a plik wykonywalny powinien pochodzić z zaufanego źródła. Przywracanie dostępu należy wykonywać na właściwym koncie i możliwie w ograniczonym zakresie, zamiast stosować globalne reguły dla grupy „Wszyscy” lub „others”. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC oraz ich podzespołów, a w ramach diagnostyki może również sprawdzić lokalne przyczyny problemów z dostępem do plików, profilem użytkownika, nośnikiem danych i konfiguracją systemu.