Bundesamt für Sicherheit in der Informationstechnik

M 4.20 Restriktive Attributvergabe bei Unix-Benutzerdateien und -verzeichnissen

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Benutzer

Die hier genannten Maßnahmen gelten für Dateien und Verzeichnisse eines Benutzers (inkl. Mail-Dateien).

Die Benutzer sollten die Attribute ihrer Dateien und Verzeichnisse so setzen, dass andere Benutzer nicht darauf zugreifen können. Wenn anderen Benutzern der Zugriff erlaubt werden soll, sollten entsprechende Benutzergruppen eingerichtet werden. Für benutzerspezifische Konfigurationsdateien wie .profile, .exrc, .login, .cshrc sollte nur der jeweilige Eigentümer Rechte besitzen.

Auf Unix-Systemen haben diverse Programme benutzerspezifische Konfigurationsdateien wie .exrc, .emacs oder .mailrc, die nach Programmaufruf automatisch durchlaufen werden und Variablen und Optionen für den Benutzer setzen. Damit in diesen keine trojanischen Pferde installiert werden können, sollte nur der jeweilige Eigentümer Zugriffsrechte besitzen. Die Datei .exrc wird gelesen, bevor die Editoren ex oder vi gestartet werden. Falls sich eine gleichnamige Datei im aktuellen Verzeichnis befindet, wird diese bei einigen Unix-Versionen ausgewertet. Alle eingesetzten Unix-Versionen müssen daraufhin überprüft werden, da damit auch die Ausführung von Betriebssystemkommandos bei jedem Editoraufruf möglich ist.

Das s-Bit sollte nur gesetzt sein, wenn unbedingt erforderlich. Bei Shellskripts soll das s-Bit nicht gesetzt sein. Das s-Bit sollte nur nach Einbeziehung des Administrators gesetzt werden, die Notwendigkeit hierfür ist zu begründen und zu dokumentieren.

umask

Mit umask (user file creation mode mask) wird für jeden Benutzer festgelegt, welche Attribute zur Regelung der Zugriffsrechte eine von ihm neu angelegte Datei erhält. In den benutzerspezifischen Konfigurationsdateien wie /etc/profile oder den $HOME/.profile-Dateien sollte umask = 0027 (-rw-r-----) oder umask = 0077 (-rw-------) eingestellt sein, damit die Dateiattribute für neu angelegte Dateien nur dem Erzeuger (und evtl. der Gruppe) Zugriffsrechte geben.

Mail-Dateien

Die Attribute der Mail-Dateien sollten regelmäßig daraufhin überprüft werden, ob nur der jeweilige Eigentümer auf die Dateien Zugriff hat. Die Integrität der bei den Unix-Benutzerdateien und -verzeichnissen gesetzten Attribute sollte regelmäßig verifiziert werden, z. B. mit Tripwire (siehe auch M 4.26 Regelmäßiger Sicherheitscheck des Unix-Systems ).

Prüffragen:

  • Wissen die Benutzer, dass sie die Attribute von Dateien und Verzeichnissen so setzen sollten, dass Fremdzugriffe durch andere Benutzer verhindert werden?

  • Haben auf benutzerspezifische Konfigurationsdateien (zum Beispiel .profile, .exrc) nur die jeweiligen Eigentümer Rechte?

  • Sind die benutzerspezifischen Konfigurationsdateien so eingestellt (umask), dass die Dateiattribute für neu angelegte Dateien nur dem Erzeuger (und evtl. der Gruppe) Zugriffsrechte geben?

  • Wird die Rechte- bzw. Attributvergabe bei Benutzerdateien und -verzeichnissen regelmäßig überprüft?

Stand: 13. EL Stand 2013