Wie kann ich eine Datei NICHT modifizierbar machen?

Während ich angemeldet bin, kann ich Folgendes tun:

mkdir foo
touch foo/bar
chmod 400 foo/bar 
chmod 500 foo

Dann kann ich vim öffnen (nicht als root), bearbeiten bar, einen Schreibvorgang erzwingen w!, und die Datei wird geändert.

Wie kann ich verhindern, dass das Betriebssystem Dateien ändert?

UPDATE 02.03.2017

1. chmod 500 fooist ein roter Hering: Die Schreibberechtigung für ein Verzeichnis hat nichts mit der Fähigkeit zu tun, den Inhalt einer Datei zu ändern - nur mit der Fähigkeit, Dateien zu erstellen und zu löschen.

2. chmod 400 foo/barverhindert jedoch, dass der Inhalt der Datei geändert wird. Dies verhindert jedoch nicht, dass die Berechtigungen einer Datei geändert werden. Der Eigentümer einer Datei kann die Berechtigungen seiner Datei jederzeit ändern (vorausgesetzt, er kann auf die Datei zugreifen, dh die Berechtigung für alle Ahnenverzeichnisse ausführen). Tatsächlich zeigt strace (1), dass vim (7.4.576 Debian Jessie) dies tut - vim ruft chmod (2) auf, um vorübergehend die Schreibberechtigung für den Eigentümer der Datei hinzuzufügen, ändert die Datei und ruft dann chmod ( 2) erneut, um die Schreibberechtigung zu entfernen. Deshalb chattr +ifunktioniert using - nur root kann callen chattr -i. Theoretisch könnte vim (oder ein anderes Programm) mit chattr dasselbe tun wie mit chmod für eine unveränderliche Datei, wenn es als root ausgeführt wird.

Sie können das Attribut "unveränderlich" für die meisten Dateisysteme unter Linux festlegen.

chattr +i foo/bar

Um das unveränderliche Attribut zu entfernen, verwenden Sie -anstelle von +:

chattr -i foo/bar

Um die aktuellen Attribute für eine Datei anzuzeigen, können Sie lsattr verwenden:

lsattr foo/bar

Die Hilfeseite chattr (1) enthält eine Beschreibung aller verfügbaren Attribute. Hier ist die Beschreibung für i:

   A  file with the `i' attribute cannot be modified: it cannot be deleted
   or renamed, no link can be created to this file  and  no  data  can  be
   written  to  the  file.  Only the superuser or a process possessing the
   CAP_LINUX_IMMUTABLE capability can set or clear this attribute.

Sie können:

1. Ändern Sie den Dateieigentümer in rootoder in einen Dummy-Benutzer, der neu erstellt wurde
2. Behalte die richtige Gruppe.
3. Verwenden Sie chmod 440diese Option , um das Lesen nach Gruppe (die Sie sind) zuzulassen.

Wenn der richtige Benutzer nicht der einzige in dieser Gruppe ist, sollten Sie eine neue Gruppe erstellen und nur ihn hinzufügen und diese Gruppe dafür verwenden. Sie sind jedoch nicht der Eigentümer der Datei. Daher vikönnen Sie den Eigentümer der Datei nicht ändern.

So machen Sie einen gesamten Verzeichnisbaum schreibgeschützt:

cd <directory>
find ./ -print0 | sudo xargs -I {} -0 chattr +i {}

Um es wieder lesbar zu machen, wechseln Sie +izu -i.