chmod 700: privé pour le propriétaire, le mode de ~/.ssh

Ce que signifie chmod 700

Dans 700, le premier chiffre désigne le propriétaire, le deuxième le groupe et le troisième tous les autres. Propriétaire : lecture, écriture et exécution ; groupe : aucun accès ; autres : aucun accès.

ls -l affiche -rwx------. Sur un répertoire, les deux zéros signifient que les autres utilisateurs ne peuvent ni le lister ni le traverser, ce qui cache aussi tous les fichiers qu’il contient, quels que soient leurs propres modes.

Le cas de ~/.ssh

OpenSSH vérifie les permissions avant de faire confiance à vos clés. Avec la valeur par défaut du serveur StrictModes yes, sshd refuse la connexion par clé publique si votre répertoire personnel, ~/.ssh ou authorized_keys est modifiable par le groupe ou les autres. La correction habituelle est chmod 700 ~/.ssh puis chmod 600 ~/.ssh/authorized_keys ~/.ssh/id_*, les fichiers .pub pouvant rester en 644.

Le même raisonnement vaut pour ~/.gnupg, au sujet duquel GnuPG avertit lorsqu’il est accessible aux autres, et pour tout répertoire contenant des identifiants ou des jetons.

Autres usages et limites

700 convient à un script personnel qui lit des secrets, et aux répertoires de travail ou de build qu’un seul compte de service possède. Root n’est pas limité par ces bits : un administrateur, ou tout ce qui tourne sous root, peut quand même lire le contenu. Les modes de fichier protègent les utilisateurs les uns des autres, pas du propriétaire de la machine.

N’appliquez pas 700 récursivement à des fichiers de simples données ; ils gagneraient un bit d’exécution inutile. Donnez 700 aux répertoires et 600 aux fichiers en séparant avec find -type d et find -type f, ou utilisez chmod -R u=rwX,go= dir.

Valeurs voisines

700 est le mode de répertoire le plus privé. 750 l’ouvre à un groupe, en lecture et traversée seulement, ce qui est l’étape suivante habituelle quand un service doit lire le contenu. 755 l’ouvre à tous les comptes. Pour les fichiers qu’il contient, 600 est le mode privé assorti et 640 la version lisible par le groupe. Si vous trouvez un répertoire privé en 777, considérez son contenu comme exposé et renouvelez les secrets qu’il contient.