Calculadora de chmod e umask

Continuar na ferramenta

Mais páginas desta ferramenta

permissões ssh chmod 600 700

Permissões do SSH: chmod 600 na chave e 700 em ~/.ssh

Os atalhos 600 e 700 da calculadora trazem a explicação de cada modo. Esta página reúne a tabela completa do SSH e os comandos que corrigem uma instalação com permissões bagunçadas.

O que o ssh exige de cada arquivo

A man page do ssh(1) é direta: a chave privada (id_ed25519, id_rsa e semelhantes) deve ser legível pelo usuário e inacessível a outros, e o ssh ignora uma chave que outros possam acessar. É daí que vem o aviso UNPROTECTED PRIVATE KEY FILE com a mensagem Permissions 0644 for a chave are too open. O modo certo é 600 (rw-------), ou 400 (r--------) se a chave nunca mais muda. O diretório ~/.ssh recomenda-se em 700 (rwx------) e o authorized_keys em 600, pois a man page pede leitura e escrita só para o usuário. O ~/.ssh/config não pode ser gravável por outros, e 600 é o modo seguro.
Do lado do servidor, o sshd tem a opção StrictModes, ligada por padrão, que confere modos e dono dos arquivos do usuário e do diretório pessoal antes de aceitar o login. Se a home ou o ~/.ssh forem graváveis por grupo ou outros, ou pertencerem a outro usuário, a chave pública é rejeitada sem mensagem clara para o cliente, e o motivo só aparece no log do servidor. Por isso o erro típico é a chave funcionar em uma máquina e falhar em outra.
Para consertar tudo de uma vez, rode chmod 700 ~/.ssh, chmod 600 ~/.ssh/authorized_keys ~/.ssh/config e chmod 600 ~/.ssh/id_ed25519 (ajuste o nome da chave). A chave pública .pub pode ficar em 644, pois não é segredo. Se o aviso persistir, confira o dono com ls -l, porque a chave copiada com sudo costuma ficar em nome do root. Use chown seu_usuario ~/.ssh/id_ed25519 e repita o chmod. Em uma pasta montada de um disco FAT ou NTFS não há como mudar o modo, e o jeito é copiar a chave para o sistema de arquivos Linux.

Exemplos conferidos

Chave privada

Entrada: 600
Saída esperada: rw-------

Só o dono lê e grava.

Chave privada imutável

Entrada: 400
Saída esperada: r--------

Somente leitura, só para o dono.

Diretório ~/.ssh

Entrada: 700
Saída esperada: rwx------

Só o dono entra.

Chave pública

Entrada: 644
Saída esperada: rw-r--r--

Não é segredo, qualquer um pode ler.

Chave com modo aberto demais

Entrada: 0644
Saída esperada: rw-r--r--

É o que dispara o aviso Permissions 0644 are too open.

FAQ da ferramenta completa

O que significa chmod 755?

O 7 dá ao dono leitura, escrita e execução (4+2+1). Cada 5 dá a grupo e outros leitura e execução (4+1), sem escrita. Em arquivos, é o modo de programas e scripts; em diretórios, deixa todos listarem e entrarem, mas só o dono criar e apagar itens. O ls -l mostra rwxr-xr-x.

Qual a diferença entre 644, 664 e 600?

chmod 777 é seguro?

O que são setuid, setgid e sticky bit?

Por que aparece S ou T maiúsculo no ls -l?

Como funciona o umask e como calcular?

Por que chmod 755 em uma pasta não tira o setgid?

O que faz o X maiúsculo, como em chmod -R a+X?

Funciona em pendrives FAT, NTFS e no Windows?

A ferramenta envia meus modos ou comandos a algum servidor?

Perguntas frequentes

Que modo uso na chave privada, 600 ou 400?

Os dois servem, porque o ssh só exige que outros usuários não tenham acesso. O 600 deixa você regravar a chave (ao trocar a senha dela, por exemplo); o 400 protege contra gravação acidental.

O login por chave falha mesmo com a chave em 600. E agora?

Veja o servidor: a home e o ~/.ssh não podem ser graváveis por grupo ou outros (StrictModes), e o authorized_keys deve ser do usuário. Rode ssh -v no cliente e leia o log de autenticação do servidor, que explica a recusa.

Preciso de chmod no Windows ou no WSL?

O cliente OpenSSH do Windows usa ACLs do NTFS, não chmod. No WSL, mantenha a chave dentro do sistema de arquivos Linux (a home do WSL), onde o chmod funciona, e não em /mnt/c.

Próximos passos

O que o ssh exige de cada arquivo

A man page do ssh(1) é direta: a chave privada (id_ed25519, id_rsa e semelhantes) deve ser legível pelo usuário e inacessível a outros, e o ssh ignora uma chave que outros possam acessar. É daí que vem o aviso UNPROTECTED PRIVATE KEY FILE com a mensagem Permissions 0644 for a chave are too open. O modo certo é 600 (rw-------), ou 400 (r--------) se a chave nunca mais muda. O diretório ~/.ssh recomenda-se em 700 (rwx------) e o authorized_keys em 600, pois a man page pede leitura e escrita só para o usuário. O ~/.ssh/config não pode ser gravável por outros, e 600 é o modo seguro.

Do lado do servidor, o sshd tem a opção StrictModes, ligada por padrão, que confere modos e dono dos arquivos do usuário e do diretório pessoal antes de aceitar o login. Se a home ou o ~/.ssh forem graváveis por grupo ou outros, ou pertencerem a outro usuário, a chave pública é rejeitada sem mensagem clara para o cliente, e o motivo só aparece no log do servidor. Por isso o erro típico é a chave funcionar em uma máquina e falhar em outra.

Para consertar tudo de uma vez, rode chmod 700 ~/.ssh, chmod 600 ~/.ssh/authorized_keys ~/.ssh/config e chmod 600 ~/.ssh/id_ed25519 (ajuste o nome da chave). A chave pública .pub pode ficar em 644, pois não é segredo. Se o aviso persistir, confira o dono com ls -l, porque a chave copiada com sudo costuma ficar em nome do root. Use chown seu_usuario ~/.ssh/id_ed25519 e repita o chmod. Em uma pasta montada de um disco FAT ou NTFS não há como mudar o modo, e o jeito é copiar a chave para o sistema de arquivos Linux.

Exemplos conferidos

Chave privada

Entrada: 600
Saída esperada: rw-------

Só o dono lê e grava.

Chave privada imutável

Entrada: 400
Saída esperada: r--------

Somente leitura, só para o dono.

Diretório ~/.ssh

Entrada: 700
Saída esperada: rwx------

Só o dono entra.

Chave pública

Entrada: 644
Saída esperada: rw-r--r--

Não é segredo, qualquer um pode ler.

Chave com modo aberto demais

Entrada: 0644
Saída esperada: rw-r--r--

É o que dispara o aviso Permissions 0644 are too open.

FAQ da ferramenta completa

O que significa chmod 755?

Qual a diferença entre 644, 664 e 600?

chmod 777 é seguro?

O que são setuid, setgid e sticky bit?

Por que aparece S ou T maiúsculo no ls -l?

Como funciona o umask e como calcular?

Por que chmod 755 em uma pasta não tira o setgid?

O que faz o X maiúsculo, como em chmod -R a+X?

Funciona em pendrives FAT, NTFS e no Windows?

A ferramenta envia meus modos ou comandos a algum servidor?

Perguntas frequentes

Que modo uso na chave privada, 600 ou 400?

Os dois servem, porque o ssh só exige que outros usuários não tenham acesso. O 600 deixa você regravar a chave (ao trocar a senha dela, por exemplo); o 400 protege contra gravação acidental.

O login por chave falha mesmo com a chave em 600. E agora?

Preciso de chmod no Windows ou no WSL?

O cliente OpenSSH do Windows usa ACLs do NTFS, não chmod. No WSL, mantenha a chave dentro do sistema de arquivos Linux (a home do WSL), onde o chmod funciona, e não em /mnt/c.