Attributs étendus

Les systèmes de fichiers ext2 et ext3 (ainsi que reiserfs dans certaines conditions) offrent la possibilité de donner à des fichiers (fichiers réels ou répertoires) des attributs étendus qui s'ajoutent aux permissions classiques POSIX.1, éventuellement complétées par les permissions étendues ACL.

<cadre type="alert">Seuls ces systèmes de fichiers offrant ces attributs, il n'est pas prudent ─ en terme de sécurité ─ de s'appuyer lourdement sur leur présence si l'on est amené à transférer fréquemment des données d'un système de fichiers ext à un autre. D'autre part, il convient de tester ces possibilités : toutes les versions du noyau n'en tiennent pas compte de la même manière.</cadre>

Mise en place

Il n'y a rien à faire pour des partitions en ext2 ou ext3, qui respectent nativement les attributs étendus.

Chose assez peu connue, cependant, le système de fichiers reiserfs peut respecter les attributs étendus, à condition d'être monté avec l'option idoine attrs. Pour ce faire, les commandes suivantes sont appliquées :

• sur une partition non encore montée : mount -t reiserfs -o attrs /dev/partition /point/de/montage ;
• sur une partition déjà montée : mount -o attrs /point/de/montage (remontage à la volée).

Pour que la prise en compte soit effective à chaque montage automatique (le cas échéant), il faut ajouter l'option dans /etc/fstab. Par exemple : /dev/hda1 / reiserfs defaults,acl,attrs 0 1

Enfin, on peut recompiler son noyau avec l'option CONFIG_REISERFS_FS_XATTR = y pour que le mode attr soit automatiquement appliqué lors du montage d'une partition en reiserfs.

<cadre type="note">Noter que des fichiers d'une partition en reiserfs montée sans l'option attrs (ou la recompilation du noyau) peuvent recevoir des attributs étendus : ils seront bien enregistrés mais n'auront aucun effet. La commande de modification d'attributs, chattr, ne renverra donc aucun message d'erreur sans pour autant que les attributs soient pris en compte. Ce détail peut avoir des répercussion pour la sécurité du système : on peut, à tort, croire protéger des fichiers.</cadre>

Types d'attributs

Selon la norme POSIX.1, tout fichier possède les permissions en lecture, écriture et exécution. On peut leur adjoindre des attributs supplémentaires, qui s'imposent à tous les utilisateurs (dont root, qui peut cependant annuler ces attributs) quand ils modifient les actions qu'on peut avoir sur eux. Certains attributs sont encore expérimentaux (octobre 2005) et nécessitent de patcher le noyau pour qu'ils aient un effet réel.

append only (a), « ajouter seulement » ─ réservé à root

Protège le fichier contre la suppression de contenu : on ne peut que lui en ajouter.

compressed (c), « compressé » ─ expérimental

Le fichier est automatiquement compressé ─ si c'est utile, et avec un format de compression le plus efficace ─ quand il est stocké. La décompression lors de la lecture et la compression des données ajoutées au fichier par la suite se font à la volée, de manière transparente pour l'utilisateur (la commande ls -l, par exemple, montre la taille décompressée).

Cet attribut appliqué à un répertoire ne le compresse pas mais fait se compresser automatiquement tout nouveau fichier qu'on y crée.

no dump (d), « pas de sauvegarde »

Un fichier ainsi marqué sera ignoré par la commande de sauvegarde dump (qui ne fonctionne que pour ext2 et ext3). Cet attribut est utile pour empêcher la sauvegarde par dump d'un fichier ou répertoire situés dans un système de fichiers monté avec l'option dump positionnée à 1 (cf fstab).

immutable (i), « immuable » ─ réservé à root

Protège le fichier contre toute modification (suppression, modification, déplacement, changements de permissions), même par root, et empêche qu'on crée un lien vers lui. Seule la modification des attributs étendus est permise à son propriétaire et seul root peut enlever l'attribut « immuable » d'un fichier.

Cet attribut est sans doute l'un des plus intéressants.

data journalling (j), « journalisation des données » ─ réservé à root

Cet attribut n'est utile qu'avec une partition en ext3 montée avec les options de journalisation des données data=ordered (montage par défaut) ou data=writeback pour simuler une journalisation du type data=journal, où les données sont écrites dans le journal avant de l'être dans le fichier lui-même. Consulter man mount 8 pour plus de détails sur les mécanismes de journalisation d'ext3.

Sur une partition ext3 en mode data=journal, cet attribut est ignoré, de même que sur les partitions en ext2 et reiserfs, le premier type n'étant pas journalisé, le second l'étant d'une manière incompatible.

secure deletion (s), « effacement sécurisé » ─ expérimental

Un fichier portant cet attribut est non seulement « effacé » mais en plus les blocs qu'il occupait dans le système de fichiers sont recouverts de zéros pour éviter qu'on puisse récupérer les données malgré l'effacement.

Normalement, effacer un fichier consiste seulement à détruire toute référence vers l'espace occupé par les données de ce fichier dans la partition. Il n'est cependant pas question de détruire physiquement les données elles-mêmes, sauf si le fichier possède cet attribut, auquel cas non seulement il n'est plus accessible mais en plus tous ses bits sont réécrits.

no tail-merging (t)

undeletable (u), « ineffaçable » ─ expérimental

Lors d'un effacement, les références vers l'espace du système de fichiers qui contient les données sont détruites, mais pas les données. Sans ces références, cependant, l'espace anciennement réservé peut être utilisé par des fichiers nouvellement créés ou ayant été augmentés. Dans ce cas, il n'est plus possible de récupérer les données en question.

L'attribut « ineffaçable » permet de préserver les blocs qui contenaient les données de façon à ce qu'on puisse les récupérer si besoin est. L'espace-disque n'est donc pas libéré.

no atime updates (A)

synchronous directory updates (D)

synchronous updates (S)

top of directory hierarchy (T), « répertoire racine » ─ réservé à root

Cet attribut indique au répartiteur de blocs Orlov (ou Orlov block allocator, utilisé par le noyau Linux pour les systèmes de fichiers ext2 et ext3 depuis la version 2.5.46) que le répertoire concerné doit être considéré comme un répertoire racine de la hiérarchie des répertoires.

L'allocateur de blocs est un processus propre au système de fichier permettant de répartir les blocs de données des fichiers dans l'espace disponible tout en garantissant une qu'il ne se produira pas une trop grande fragmentation. Pour cela, on place généralement dans un même groupe de cylindres du disque dur les blocs de fichiers dépendant d'un même répertoire. Dans le cas contraire, les données risquent d'être éparpillées, voire fragmentées (les blocs d'un même fichier sont alors répartis sur plusieurs cylindres non contigus). On ne peut cependant prévoir à l'avance de quel espace aura besoin un répertoire racine. Il pourrait ne contenir que peu de fichiers ou, au contraire, une arborescence complète et chargée. Le répartiteur Orlov prend donc soin d'éloigner le plus possible les uns des autres les répertoires racines, pour qu'ils disposent d'un espace suffisant où croître.

Ajouter cet attribut à un répertoire permet au répartiteur de le traiter comme un répertoire racine, même s'il n'en est pas un, et de le placer loin des autres répertoires racines. Il est donc utile avec des sous-arborescences de fichiers complexes et lourdes qui risqueraient d'être fragmentées.

Commandes

ll existe deux commandes pour accéder aux attributs étendus : lsattr (list attributes, « lister les attributs ») chattr (change attributes, « changer les attributs »). Toutes deux sont incluses dans le paquetage e2fsprogs.

chattr

Cette commande s'utilise quasiment comme un chmod simplifié : en effet, les attributs ne peuvent être indiqués que sous forme symbolique (dont les codes sont donnés ci-dessus) et non au moyen d'un éventuel nombre octal.

Ainsi, pour donner un attibut, on utilise la commande suivie de + et du code ; par exemple, rendre un fichier « immuable » se fait avec la commande (en root) : chattr +i fichier

Retirer un attribut requiert l'opérateur -. La commande pour enlever l'attribut « immuable » est donc : chattr -i fichier

Enfin, pour faire en sorte qu'un fichier n'ait que l'attribut « immuable » : chattr =i fichier

La commande peut être utilisée de manière récursive au moyen de l'option -R : pour rendre toute une hiérarchie immuable, il suffit de : chattr -R + i répertoire/

Copyright

© 28.10.05 Vincent Ramos

Vous avez l'autorisation de copier, distribuer et/ou modifier ce document suivant les termes de la GNU Free Documentation License, Version 1.2 ou n'importe quelle version ultérieure publiée par la Free Software Foundation; sans section invariante, sans page de garde, sans entête et sans page finale.