Con frecuencia escucho que se recomienda 600 y 700 por seguridad cuando sea posible antes de 660, 770. Me gustaría entender el riesgo de que 660, 770 tenga 600, 700 no.
El principio en juego aquí es el privilegio mínimo .
Un permiso chmod de 600 o 700 otorga solo los derechos de propietario al archivo, mientras que 660 o 770 también otorga los mismos derechos al grupo. Si esto se pretende o no depende del caso de uso. Cualquiera de los dos podría ser apropiado.
Un servidor podría, y probablemente, tendrá diferentes categorías de usuarios (estudiantes, invitados, empleados, administradores ...). Mantener los privilegios separados es importante en este caso.
El posible problema con 660 y 770 es que un administrador del sistema podría inadvertidamente agregar un usuario extraño al grupo en cuestión, otorgando al usuario que falla en el grupo los mismos derechos que el propietario.
Vale la pena señalar que, en la actualidad, los permisos de grupo en Linux están obsoletos (han sido reemplazados por ACL) y, de forma predeterminada, a un usuario solo se le asigna a su grupo.
El riesgo de "agregar inadvertidamente un usuario extraño al grupo" es mínimo. Y las FACLs no son obsoletas. Las FACL utilizadas de manera adecuada complementan las cosas que son difíciles de hacer con el sistema de permisos de base, pero abren la posibilidad de crear un desorden de labrintina como el que normalmente solo se ve en los recursos compartidos de MSWindows mal administrados.
Unix está pensado para ser un sistema multiusuario y tiene un modelo de permisos que permite a los usuarios tener sus propios archivos, archivos que comparten con un grupo con nombre y archivos disponibles para cualquier persona con acceso al sistema. Lamentablemente, muchas personas no entienden cómo usar el segundo de estos escenarios (e incluyo a muchas personas pagadas para tener experiencia en Seguridad y Unix en esa categoría). Pero realmente no esperamos que los usuarios normales tengan una comprensión adecuada de la distinción.
¿No deberían ser confiables los usuarios del grupo?
¿Qué grupo?
Si bien el 'usuario' y 'otro' están bien definidos, los permisos del 'grupo' son específicos para la propiedad del grupo del archivo. Eso significa que puedo compartir un archivo con 'finanzas' sin exponerlo a 'webdevelopers' y si creo un enlace duro a ese archivo también puedo compartirlo con 'marketing'. Sin embargo, cuando un usuario crea un archivo, será propiedad del grupo predeterminado de los usuarios. Si los permisos son 660, será accesible para el grupo predeterminado. OTOH si umask se establece en 0077, entonces el usuario debe realizar acciones específicas para compartir ese archivo con otros (aunque se puede lograr el mismo resultado creando un nuevo grupo para cada usuario y configurándolo como su grupo predeterminado).
Hay muchos más permisos que solo 770/700, 660/600 (2770/2775 es uno de mis favoritos) 600/700 es solo un punto de partida seguro hasta que le diga explícitamente a la computadora con quién desea compartir el archivo / directorio con.
Lea otras preguntas en las etiquetas linux permissions