Ero sivun ”Käyttäjä” versioiden välillä

Linux.fista
Siirry navigaatioon Siirry hakuun
p (wikilinkkejä)
p (Kumottu muokkaus 44088, jonka teki 84.249.74.218 (keskustelu))
 
(15 välissä olevaa versiota 8 käyttäjän tekeminä ei näytetä)
Rivi 1: Rivi 1:
== Yleistä ==
Unix, ja siten Linux, on suunniteltu monen käyttäjän ympäristöksi, mikä on etu varsinkin palvelinympäristössä, mutta myös kotikoneella. Jokaisella käyttäjällä on yksilöllinen [[salasana]] ja käyttäjätunnus, mikä liitetään yhteen tai useampaan [[käyttäjäryhmä]]än. Tämä mahdollistaa käyttäjän oikeuksien hallinnan niin käyttäjä- kuin ryhmäkohtaisestikin. Katso lisää käyttöoikeuksista: [[Tiedoston oikeudet]]. Käyttäjä ilmenee UID-numerona (lyh. User Identification number), käyttäjätunnuksena joka yhdistyy [[passwd]]-tiedostossa numeroon. Järjestelmässä pyörivillä [[prosessi|prosesseilla]] on aina käyttäjä, samoin tiedostot omistaa aina joku käyttäjä.
Linux on suunniteltu useamman käyttäjän palvelinympäristöksi, ja käyttöoikeuksien hallinta on kopioitu Unix-palvelimista. Jokaisella käyttäjällä on yksilöllinen käyttäjätunnus ja salasana, mikä liitetään yhteen tai useampaan käyttäjäryhmään. Tämä mahdollistaa käyttäjän oikeuksien hallinnan niin käyttäjä, kuin ryhmäkohtaisestikin. Katso lisää käyttöoikeuksista: [[Tiedoston oikeudet]]


== Tavallinen käyttäjä ==
== Tavalliset käyttäjät ==
[[Tietoturva]]n parantamiseksi tavallisilta käyttäjiltä "matti" on estetty useimmat toiminnot mitkä saattaisivat vahingoittaa itse järjestelmää. Normaalissa käytössä kannattaa aina käyttää tavallista käyttäjätunnusta.


[[Tietoturva|Tietoturvan parantamiseksi]] tavalliselta käyttäjältä "matti" on estetty kaikki toiminnot mitkä saattaisivat vahingoittaa itse järjestelmää. Normaaliin käyttöön kannattaa aina käyttää käyttäjätunnusta rajoitetuilla käyttöoikeuksilla.
Tavallinen käyttäjä "matti" voi kuulua esimerkiksi [[ryhmä|ryhmiin]] "users", "floppy", "audio" ja "camera", mitkä mahdollistaisivat esimerkiksi:
 
Tavallinen käyttäjä "matti" voi kuulua esimerkiksi ryhmiin "users", "floppy", "audio" ja "camera", mitkä mahdollistaisivat esimerkiksi:


* Tiedostojen tallentamisen omaan [[kotihakemisto]]on "/home/matti"
* Tiedostojen tallentamisen omaan [[kotihakemisto]]on "/home/matti"
Rivi 13: Rivi 11:
* Musiikin kuuntelemisen
* Musiikin kuuntelemisen
* Kuvien siirtämisen digikamerasta tietokoneeseen
* Kuvien siirtämisen digikamerasta tietokoneeseen
* EI ohjelmien asentamista tai järjestelmän asetusten muuttamista. Ks. [[sudo]].
* EI ohjelmien asentamista (muuta kuin omaan kotihakemistoonsa) tai järjestelmän asetusten muuttamista. Ks. [[su]] ja [[sudo]].


== Pääkäyttäjä ==
== Pääkäyttäjä ==
''Lue toki pääartikkeli [[root]].''
''Pääartikkeli: [[root]]''


Pääkäyttäjälle on varattu oma käyttäjätunnus "root" ja ryhmä "root". Tämä on ainoastaan järjestelmän ylläpitoa varten tarkoitettu tunnus. Ylläpito käsittää siis esimerkiksi ohjelmien asentamiseen, järjestelmän asetusten muuttamiseen ja käyttäjätunnusten ylläpitämisen.
Pääkäyttäjälle on varattu oma käyttäjätunnus "root" ja ryhmä "root". Tämä on ainoastaan järjestelmän ylläpitoa varten tarkoitettu tunnus. Ylläpito käsittää esimerkiksi ohjelmien asentamisen, järjestelmän asetusten muuttamisen ja käyttäjätunnusten ylläpitämisen.


Esimerkiksi www-sivujen selaaminen pääkäyttäjän tunnuksilla on tietoturvariski, koska selaimen vikaa hyväksikäyttävä ohjelma voisi tuhota koko käyttöjärjestelmän.
Esimerkiksi www-sivujen selaaminen pääkäyttäjän tunnuksilla on tietoturvariski, koska selaimen vikaa hyväksikäyttävä ohjelma voisi tuhota koko käyttöjärjestelmän tai piiloutua muuttamalla järjestelmän toimintaa.
 
==Järjestelmätunnukset==
Pääkäyttäjän ja tavallisten käyttäjien lisäksi Unix-järjestelmissä on joukko järjestelmän käyttöön varattuja tunnuksia. Näitä käytetään palvelimien ajoon yms., jotta eri ohjelmien oikeudet saataisiin rajattua mahdollisimman tarkkaan. Näillä tunnuksilla ei yleensä ole kelvollista komentotulkkia tai varsinaista kotihakemistoa, jotta tunnuksen murtaminen auttaisi hyökkääjää mahdollisimman vähän.


== Käyttäjien hallinta ==
== Käyttäjien hallinta ==
''Pääartikkeli: [[Käyttäjien hallinta]]''


Käyttäjien hallinta onnistuu komennoilla [[useradd]], [[userdel]], [[groupadd]], [[groupdel]] ja [[gpasswd]].
Käyttäjien hallinta onnistuu komennoilla [[useradd]], [[userdel]], [[groupadd]], [[groupdel]] ja [[gpasswd]].
Rivi 35: Rivi 38:
* /etc/[[group-tiedosto|group]]
* /etc/[[group-tiedosto|group]]
* /etc/[[gshadow]]
* /etc/[[gshadow]]
Salasanat pidetään shadow-tiedostoissa, jotka ovat vain rootin luettavissa. Ryhmäkohtaisia salasanoja käytetään nykyään harvoin.


== Ohjelman käyttäjä ==
== Ohjelman käyttäjä ==


Linux-järjestelmässä ei kirjaimellisesti rajoiteta käyttäjän oikeuksia, vaan ohjelmien oikeutta lukea, kirjoittaa ja suorittaa tiedostoja. Jokainen ohjelma suoritetaan tietyn käyttäjätunnuksen mukaisilla oikeuksilla, mikä on oletuksena järjestelmään sisäänkirjautuneen käyttäjän tunnus. Kuitenkin ohjelma voidaan suorittaa myös muulla kuin kirjautuneen käyttäjän tunnuksella, mikä muuttaa myös ohjelman oikeudet [[tiedostojärjestelmä|tiedostojärjestelmään]].
Linux-järjestelmässä ei kirjaimellisesti rajoiteta käyttäjän oikeuksia, vaan ohjelmien oikeutta lukea, kirjoittaa ja suorittaa tiedostoja. Jokainen ohjelma suoritetaan tietyn käyttäjätunnuksen mukaisilla oikeuksilla, mikä on oletuksena järjestelmään sisäänkirjautuneen käyttäjän tunnus. Kuitenkin ohjelma voidaan suorittaa myös muulla kuin kirjautuneen käyttäjän tunnuksella, mikä muuttaa myös ohjelman oikeuksia [[tiedostojärjestelmä|tiedostojärjestelmään]].
 
[[Tietoturva|Tietoturvan]] paranamiseksi ohjelmia usein suoritetaan erikseen ohjelmalle varatulla käyttäjätunnuksella. Esimerkiksi [[apache|Apache www-palvelimelle]] usein luodaan oma käyttäjätunnus "apache" ja ryhmä "apache". Tällöin www-palvelimen oikeudet tiedostojärjestelmään saadaan rajattua erittäin tarkasti mikä voi vähentää www-palvelimeen kohdistetun hyökkäyksen vahinkoa. Lisäksi apache-tunnuksella kirjautuminen järjestelmään on estetty, katso [[useradd]].


Katso myös komennot [[su]] ja [[sudo]].
[[Tietoturva|Tietoturvan]] parantamiseksi ohjelmia usein suoritetaan erikseen ohjelmalle varatulla käyttäjätunnuksella. Esimerkiksi www-palvelimelle [[apache|Apache]] luodaan usein oma käyttäjätunnus "apache" ja ryhmä "apache". Näin www-palvelimen oikeudet tiedostojärjestelmään saadaan rajattua erittäin tarkasti, mikä voi vähentää www-palvelimeen kohdistetun hyökkäyksen vahinkoa. Lisäksi apache-tunnuksella kirjautuminen järjestelmään on estetty, katso [[useradd]].


== Katso myös ==
*[[Käyttäjien hallinta]]
*[[Salasana]]
*[[Kotihakemisto]]
*[[Ryhmä]]
*[[UID]]
*[[su]]
*[[sudo]]


[[Luokka:Järjestelmä]]
[[Luokka:Järjestelmä]]
[[Luokka:Käsitteet]]
[[Luokka:Tietoturva]]
[[Luokka:Tietoturva]]
[[Luokka:Käyttäjät ja ryhmät]]

Nykyinen versio 14. marraskuuta 2015 kello 06.48

Unix, ja siten Linux, on suunniteltu monen käyttäjän ympäristöksi, mikä on etu varsinkin palvelinympäristössä, mutta myös kotikoneella. Jokaisella käyttäjällä on yksilöllinen salasana ja käyttäjätunnus, mikä liitetään yhteen tai useampaan käyttäjäryhmään. Tämä mahdollistaa käyttäjän oikeuksien hallinnan niin käyttäjä- kuin ryhmäkohtaisestikin. Katso lisää käyttöoikeuksista: Tiedoston oikeudet. Käyttäjä ilmenee UID-numerona (lyh. User Identification number), käyttäjätunnuksena joka yhdistyy passwd-tiedostossa numeroon. Järjestelmässä pyörivillä prosesseilla on aina käyttäjä, samoin tiedostot omistaa aina joku käyttäjä.

Tavalliset käyttäjät[muokkaa]

Tietoturvan parantamiseksi tavallisilta käyttäjiltä "matti" on estetty useimmat toiminnot mitkä saattaisivat vahingoittaa itse järjestelmää. Normaalissa käytössä kannattaa aina käyttää tavallista käyttäjätunnusta.

Tavallinen käyttäjä "matti" voi kuulua esimerkiksi ryhmiin "users", "floppy", "audio" ja "camera", mitkä mahdollistaisivat esimerkiksi:

  • Tiedostojen tallentamisen omaan kotihakemistoon "/home/matti"
  • Normaalien ohjelmien suorittamien, tekstin- ja kuvankäsittely, pelit jne.
  • Internetissä surffaileminen, sähköpostin lukeminen
  • Musiikin kuuntelemisen
  • Kuvien siirtämisen digikamerasta tietokoneeseen
  • EI ohjelmien asentamista (muuta kuin omaan kotihakemistoonsa) tai järjestelmän asetusten muuttamista. Ks. su ja sudo.

Pääkäyttäjä[muokkaa]

Pääartikkeli: root

Pääkäyttäjälle on varattu oma käyttäjätunnus "root" ja ryhmä "root". Tämä on ainoastaan järjestelmän ylläpitoa varten tarkoitettu tunnus. Ylläpito käsittää esimerkiksi ohjelmien asentamisen, järjestelmän asetusten muuttamisen ja käyttäjätunnusten ylläpitämisen.

Esimerkiksi www-sivujen selaaminen pääkäyttäjän tunnuksilla on tietoturvariski, koska selaimen vikaa hyväksikäyttävä ohjelma voisi tuhota koko käyttöjärjestelmän tai piiloutua muuttamalla järjestelmän toimintaa.

Järjestelmätunnukset[muokkaa]

Pääkäyttäjän ja tavallisten käyttäjien lisäksi Unix-järjestelmissä on joukko järjestelmän käyttöön varattuja tunnuksia. Näitä käytetään palvelimien ajoon yms., jotta eri ohjelmien oikeudet saataisiin rajattua mahdollisimman tarkkaan. Näillä tunnuksilla ei yleensä ole kelvollista komentotulkkia tai varsinaista kotihakemistoa, jotta tunnuksen murtaminen auttaisi hyökkääjää mahdollisimman vähän.

Käyttäjien hallinta[muokkaa]

Pääartikkeli: Käyttäjien hallinta

Käyttäjien hallinta onnistuu komennoilla useradd, userdel, groupadd, groupdel ja gpasswd.

Salasanan vaihtaminen onnistuu yleensä komennolla passwd.

Kaikki käyttäjätunnukset ja salasanat tallennetaan tiedostoihin:

Kaikki ryhmät tallennetaan tiedostoihin:

Salasanat pidetään shadow-tiedostoissa, jotka ovat vain rootin luettavissa. Ryhmäkohtaisia salasanoja käytetään nykyään harvoin.

Ohjelman käyttäjä[muokkaa]

Linux-järjestelmässä ei kirjaimellisesti rajoiteta käyttäjän oikeuksia, vaan ohjelmien oikeutta lukea, kirjoittaa ja suorittaa tiedostoja. Jokainen ohjelma suoritetaan tietyn käyttäjätunnuksen mukaisilla oikeuksilla, mikä on oletuksena järjestelmään sisäänkirjautuneen käyttäjän tunnus. Kuitenkin ohjelma voidaan suorittaa myös muulla kuin kirjautuneen käyttäjän tunnuksella, mikä muuttaa myös ohjelman oikeuksia tiedostojärjestelmään.

Tietoturvan parantamiseksi ohjelmia usein suoritetaan erikseen ohjelmalle varatulla käyttäjätunnuksella. Esimerkiksi www-palvelimelle Apache luodaan usein oma käyttäjätunnus "apache" ja ryhmä "apache". Näin www-palvelimen oikeudet tiedostojärjestelmään saadaan rajattua erittäin tarkasti, mikä voi vähentää www-palvelimeen kohdistetun hyökkäyksen vahinkoa. Lisäksi apache-tunnuksella kirjautuminen järjestelmään on estetty, katso useradd.

Katso myös[muokkaa]