Permisos y propietarios de archivos en Linux

Las letras rwx representan los tres tipos de permiso que se pueden conceder sobre un archivo o directorio en Linux. La letra r significa read, es decir lectura, y permite ver el contenido de un archivo o, en el caso de un directorio, listar los archivos que contiene. La letra w significa write, es decir escritura, y permite modificar el contenido de un archivo o, en un directorio, crear, renombrar y borrar archivos dentro de él. La letra x significa execute, es decir ejecución, y en un archivo permite ejecutarlo como si fuera un programa, mientras que en un directorio tiene un significado especial y necesario: permite entrar en él y acceder a su contenido. Estos tres permisos aparecen siempre en el mismo orden, r luego w luego x, y se repiten en tres bloques, uno para el propietario del archivo, otro para el grupo y otro para el resto de los usuarios. Cuando un permiso está concedido aparece su letra, y cuando no lo está aparece un guion en su lugar. Entender estas letras es la base para leer la salida del comando ls guion l y para ajustar la seguridad de los archivos del sistema.

Los números de chmod son la notación octal de los permisos, y se leen dígito por dígito, donde cada dígito corresponde a uno de los tres grupos de usuarios en el orden habitual: el primer dígito es para el propietario, el segundo para el grupo y el tercero para otros. El valor de cada dígito se obtiene sumando los números asignados a cada permiso concedido: la lectura vale 4, la escritura vale 2 y la ejecución vale 1. Así, para el permiso 644, el primer dígito 6 es 4 más 2, es decir lectura y escritura para el propietario; el segundo dígito 4 es solo lectura para el grupo; y el tercer dígito 4 es solo lectura para otros, lo que corresponde a la cadena rw-r--r-- y es un valor muy típico para archivos de datos. Para el permiso 755, el 7 es 4 más 2 más 1, es decir lectura, escritura y ejecución para el propietario; y los dos 5, que son 4 más 1, dan lectura y ejecución al grupo y a otros, lo que corresponde a rwxr-xr-x y es el valor habitual para programas y scripts que todos deben poder ejecutar pero solo el dueño modificar. Una vez memorizados los valores 4, 2 y 1, calcular cualquier combinación es una simple suma.

chmod y chown actúan sobre aspectos distintos y complementarios de la seguridad de un archivo. chmod, que viene de change mode, cambia los permisos, es decir, define qué acciones —leer, escribir o ejecutar— puede realizar cada categoría de usuario sobre el archivo, pero no cambia quién es el propietario ni a qué grupo pertenece. chown, que viene de change owner, hace lo contrario: cambia la titularidad del archivo, es decir, quién es su propietario y, opcionalmente, a qué grupo pertenece, pero no toca los permisos en sí. La distinción es importante porque muchos problemas que a primera vista parecen de permisos son en realidad de propiedad. Por ejemplo, si un servicio web no puede leer sus propios archivos, a menudo la causa no es que falten permisos de lectura, sino que los archivos pertenecen a otro usuario, como root, y la solución correcta es usar chown para asignarlos al usuario del servicio, en lugar de abrir los permisos con un chmod permisivo. En la práctica, ambos comandos se usan juntos para lograr el objetivo de seguridad deseado: chown define de quién es el archivo y chmod define qué puede hacer cada quien con él, y solo el propietario del archivo o el administrador del sistema pueden modificar estos atributos.

chmod 777 concede los tres permisos, lectura, escritura y ejecución, a las tres categorías de usuarios, es decir al propietario, al grupo y a otros, lo que en la práctica significa que cualquier usuario del sistema, y cualquier proceso que se ejecute en él, puede leer, modificar, borrar y ejecutar ese archivo. Este nivel de apertura total es peligroso porque elimina cualquier control de acceso sobre el archivo, y por tanto viola el principio de mínimo privilegio, que establece que cada usuario y proceso debe tener únicamente los permisos estrictamente necesarios para su función. Un archivo con permisos 777 puede ser alterado o reemplazado por software malicioso o por cualquier cuenta comprometida del sistema, y si se trata de un script o de un archivo que un servicio ejecuta, esto puede convertirse en una vía directa para ejecutar código no autorizado. El problema se agrava porque suele aplicarse por comodidad, para hacer que algo funcione rápidamente sin diagnosticar la causa real, que casi siempre es una cuestión de propietario incorrecto o de un permiso concreto que falta. La solución adecuada es identificar qué usuario o grupo necesita realmente el acceso y conceder solo el permiso mínimo mediante chown y un chmod ajustado, en lugar de abrir el archivo a todo el sistema.

En el caso de los directorios, el permiso de ejecución, la x, no significa ejecutar la carpeta como un programa, sino algo distinto y fundamental: permite atravesar o entrar en el directorio para acceder a su contenido. Esto genera una situación que sorprende a mucha gente al principio, porque los permisos de lectura y ejecución sobre un directorio cumplen funciones diferentes. El permiso de lectura sobre una carpeta permite listar los nombres de los archivos que contiene, pero sin el permiso de ejecución no se puede acceder realmente a esos archivos ni entrar en subdirectorios, de modo que se pueden ver los nombres pero no usar lo que hay dentro. A la inversa, con permiso de ejecución pero sin lectura, se puede acceder a un archivo concreto si se conoce su nombre exacto, pero no se puede obtener la lista de lo que contiene la carpeta. Por eso, para que una carpeta sea plenamente utilizable, normalmente se necesitan al menos los permisos de lectura y ejecución juntos, que corresponden al dígito 5 en notación octal, o a rwx con el dígito 7 si además se quiere poder crear y borrar archivos dentro. Este comportamiento explica por qué a veces un usuario puede ver que un archivo existe pero recibe un error de permiso denegado al intentar abrirlo: le falta el permiso de ejecución en alguna carpeta del camino.

Una clave privada de SSH debe tener permisos muy restrictivos, concretamente 600 en notación octal, lo que corresponde a lectura y escritura únicamente para el propietario, sin ningún permiso para el grupo ni para otros. La razón es que la clave privada es un secreto que da acceso a los sistemas remotos donde está autorizada la clave pública correspondiente, de modo que si otros usuarios del sistema pudieran leerla, podrían copiarla y suplantar la identidad de su dueño. Este requisito es tan importante que el propio cliente de SSH lo comprueba activamente: si detecta que una clave privada tiene permisos demasiado abiertos, por ejemplo legible por el grupo o por otros, se niega a usarla y muestra un error advirtiendo de que los permisos son demasiado permisivos, precisamente para proteger al usuario de exponer su secreto por descuido. Por eso, al generar o copiar claves, conviene asegurarse de que la clave privada quede con permisos 600 y de que la carpeta que la contiene, habitualmente el directorio oculto de configuración de SSH del usuario, tenga permisos 700, es decir accesible solo por su propietario. La clave pública, en cambio, no es secreta y puede tener permisos más abiertos sin problema. Este es un buen ejemplo de cómo los permisos de Linux protegen directamente la seguridad de las credenciales.