Study · 운영체제 · 계정 만들기 · 계정과 권한

계정은 커널이 아니라 파일 두 개가 들고 있다

장면

useradd 로 계정을 만들면 그 정보는 어디에 저장될까? 커널 안일까, 아니면 파일일까? 아래 grep 은 파일에서 그 이름이 든 줄만 뽑아 보여 주는 명령이다.

$ sudo useradd -m devuser
# -m 은 홈 폴더(/home/devuser)도 같이 만들라는 뜻이다
$ grep devuser /etc/passwd
devuser:x:1001:1001::/home/devuser:/bin/sh
$ sudo grep devuser /etc/shadow
devuser:!:20352:0:99999:7:::
# 지금은 두 번째 칸의 ! 만 보면 된다 — ! 는 「아직 비밀번호 없음」. 뒤의 숫자들은 비밀번호를 언제 바꿨나 같은 것이라 넘겨도 된다

먼저 알아야 할 말

커널: 컴퓨터가 켜져 있는 동안 늘 돌고 있는 프로그램 하나다. 파일을 만들고 지우는 일, 프로그램을 띄우는 일은 내 프로그램이 직접 못 하고 전부 커널에 부탁한다. 터미널에 친 명령이 실제로 무언가를 하는 순간은 늘 커널 안이다.
grep: 텍스트 파일 여러 개에서 특정 글자나 패턴이 들어간 줄만 찾아 보여 주는 명령이다. 파일을 하나하나 열어 눈으로 훑는 대신, 찾는 말을 넣으면 그 말이 있는 줄과 파일 이름을 바로 알려 준다.
구조체: 값 여러 개를 한 덩어리로 묶어 둔 것이다. C 에는 클래스가 없어서 이렇게 쓴다 — 메서드 없이 필드만 있는 자바 클래스라고 보면 된다. C 에서 a->b 는 자바의 a.b 와 같다(안에 든 것을 꺼낸다).
자격증명: 프로세스가 「누구로서」 도는지를 담은 커널 안의 값이다(struct cred). uid · gid · 가진 권한이 여기 있고, 로그인은 이것을 갈아 끼우는 일이다.
uid · gid: 계정 번호(uid)와 그룹 번호(gid)다. 커널은 이름이 아니라 번호로 사람을 가른다 — id 를 치면 uid=1000(tghan) 처럼 둘 다 보인다. euid 는 권한을 볼 때 쓰는 번호로, 보통은 uid 와 같지만 sudo 처럼 잠깐 남이 될 때만 달라진다.
rwx: 읽기(r) · 쓰기(w) · 실행(x) 권한이다. 주인 · 그룹 · 나머지 셋으로 나뉘어 아홉 자리가 된다 — ls -l 의 rw-r--r-- 가 그것이다.
inode: 파일 하나의 정보를 모아 둔 커널 안의 기록이다. 크기 · 주인 · 권한 비트가 여기 있고, 파일 이름은 여기 없다(이름은 디렉터리가 들고 있다). 파일 항목들에서 「알맹이」라고 부르는 것이 이것이다.
setuid: 프로세스의 uid 를 바꾸는 시스템 콜이다. 로그인 프로그램이 root 로 시작해 확인을 마친 뒤 내 uid 로 내려앉을 때 쓴다.
exec: 프로세스의 알맹이를 다른 프로그램으로 덮어쓰는 시스템 콜이다. 껍데기(PID)는 그대로이고 안에서 도는 것만 바뀐다.
root: 번호가 0 인 계정이다. 권한 검사를 거의 다 통과해서 무엇이든 할 수 있다. 우분투를 설치하면 처음부터 있는 계정이고, 내 계정과는 별개다.
해시: 비밀번호를 그대로 적지 않고 되돌릴 수 없게 뭉개 놓은 글자 덩어리다. 맞는지 보려면 들어온 비밀번호를 같은 방법으로 뭉개서 견준다 — 그래서 파일을 훔쳐도 원래 비밀번호는 안 나온다.
strace: 프로그램이 커널에 무슨 부탁을 하는지 옆에서 받아 적어 주는 명령이다.
sudo: 명령 하나를 root 권한으로 실행하는 명령이다. sudo useradd 처럼 앞에 붙여 쓴다.
사용자 공간: 커널이 아닌 쪽이다. 내가 실행하는 프로그램은 전부 여기 있고, 여기서는 디스크나 메모리를 직접 못 만진다. 무언가 하려면 시스템 콜로 커널에 부탁해야 한다.

아래 재생기의 ▶를 누르면 한 스텝씩 진행된다. 금색 테두리가 지금 이야기하는 곳이고, 캡션이 무슨 일이 일어났는지 말해 준다. 굵게 밑줄 친 말은 누르면 뜻이 나온다. 빨간 딱지는 그때 벌어지는 일의 이름이고, 캡션 바로 위 회색 글자는 지금 스텝이 속한 묶음의 이름이다.

카드 아래 회색 줄은 그 일이 실제로 적혀 있는 소스의 파일 이름 : 줄 번호와 함수 이름이다. 글 안에 (:669)처럼 줄 번호만 적힌 것은 바로 앞에 적은 파일의 그 줄이라는 뜻이다. 캡션 한가운데 박힌 긴 영어 이름과 괄호 속 파일 · 줄 번호도 같다 — 건너뛰고 한글만 읽어도 뜻이 통하게 써 두었다.

장면 · 계정은 커널이 아니라 파일 두 개가 들고 있다 0 / 8

▶ 를 누르면 계정 하나를 만드는 동안 무엇이 어디에 적히는지 따라간다. 커널 칸은 따로 두지 않았다 — 커널이 하는 일이 「파일에 글자 쓰기」 하나뿐이라 파일 칸 안에서 보여 준다. 계정 만드는 일의 거의 전부를 사용자 공간 프로그램 하나가 한다는 것이 이 장면의 요지다.

키보드 · ← → 한 스텝 · Space 재생/멈춤 · Home 처음

계정은 커널 안이 아니라 평범한 텍스트 파일에 적힌다. 비밀번호만 따로 떼어 아무나 못 읽는 파일에 둔 것이, 파일이 둘로 나뉜 이유다.

어떻게 확인했나

소스 어디를 보고 적었는지와 무엇을 돌려서 쟀는지를 남긴 자리다. 처음 읽을 때는 건너뛰어도 된다.

커널에는 계정 이름이 없다 — struct cred(include/linux/cred.h:115)에 이름 칸이 없고, uid 의 타입 kuid_t 는 숫자 하나를 감싼 것뿐이다(include/linux/uidgid_types.h:7).
커널은 계정 파일을 특별 취급하지 않는다 — /etc/passwd 에 한 줄을 붙이는 것도 vfs_write(fs/read_write.c:667) 하나를 지난다. 쓰기로 열 자격은 may_open(fs/namei.c:4269)이 rwx 로만 본다.
홈 디렉터리 주인도 번호로 적힌다 — chown_common(fs/open.c:788)이 notify_change 로 inode 의 i_uid(include/linux/fs.h:770)를 바꾼다.
setuid 표시가 붙은 파일을 실행하면 커널이 euid 를 파일 주인 번호로 올린다 — bprm_fill_uid(fs/exec.c:1683)의 if (mode & S_ISUID) 가 그 자리다.
/etc/passwd 는 644 root:root, /etc/shadow 는 640 root:shadow 였다(stat -c '%a %U:%G'). 계정 목록은 누구나 읽고, 비밀번호 해시는 root 와 shadow 그룹만 읽는다.
맞다. 비밀번호를 안 정한 계정은 nopw:!:20717:0:99999:7::: 처럼 그 칸이 ! 하나이고, 비밀번호를 정하면 같은 칸이 $y$j9T$... 로 바뀐다($y$ 는 yescrypt 다). 둘을 나란히 만들어 견줬다.
useradd -m 은 /etc 안의 여섯 쌍을 건드린다 — passwd · shadow · group · gshadow · subuid · subgid 와 각각의 + (새로 쓰는 임시본) · - (직전 백업). strace 로 쓰기로 연 것만 세니 29번이었다.

‹ 이전 다음 항목 ›