El propietario puede leer y escribir. El grupo puede leer. Los demás no pueden hacer nada.
| Lectura | Escritura | Ejecución | |
|---|---|---|---|
| Propietario | ✓ | ✓ | – |
| Grupo | ✓ | – | – |
| Otros | – | – | – |
Uso típico
Archivos de configuración que el grupo de un servicio puede leer.
A tener en cuenta
640 (rw-r-----) permite que el propietario edite, que el grupo lea y que los demás no hagan nada. Es el modo habitual para archivos de configuración con secretos que lee un servicio: propiedad de root y con el grupo del servicio, de modo que el daemon puede leer su contraseña pero no modificar el archivo. /etc/shadow en Debian y Ubuntu es 640 root:shadow precisamente por esto.
El grupo es lo que hace que funcione: defínelo con chown root:appgroup file y añade el usuario del servicio a ese grupo. Si un servicio informa de “permission denied” en su configuración, comprueba el grupo y los bits x de cada carpeta superior con namei -l /path/to/file. No uses 640 para claves privadas SSH: OpenSSH rechaza cualquier clave que pueda leer el grupo.
Comandos
| Establecer el modo | chmod 640 file |
|---|---|
| Lo mismo con letras | chmod u=rw,g=r,o= file |
| Una carpeta y todo su contenido | chmod -R 640 folder |
| Solo las carpetas de dentro | find folder -type d -exec chmod 640 {} + |
| Cómo lo muestra ls -l | -rw-r----- |