Quel est le but de l'utilisateur 'nobody'?

L'utilisateur nobody est réservé uniquement pour NFS.

Les réponses ci-dessus sont plutôt erronées, car elles supposent que nobody est un identifiant utilisateur "générique" anonyme/invité.

Dans le modèle de contrôle d'accès UNIX/Linux, les identifiants d'utilisateurs anonymes/invités n'existent pas et ce sont de mauvaises suggestions :

• "Il est courant d'exécuter des démons en tant que nobody, surtout des serveurs, afin de limiter les dommages qu'un utilisateur malveillant qui aurait pris le contrôle pourrait causer." en raison de ce qui suit : "Cependant, l'utilité de cette technique est réduite si plusieurs démons sont exécutés de cette manière, car prendre le contrôle d'un démon permettrait de contrôler tous les autres.".
• "Un exemple concret est memcached (une cache/base de données/clé en mémoire), tournant sur mon ordinateur et mon serveur sous le compte nobody. Pourquoi? Parce qu'il n'a besoin d'aucune permission et lui donner un compte avec accès en écriture aux fichiers serait simplement un risque inutile."

Le nom d'utilisateur nobody avec l'identifiant utilisateur 65534 a été créé et réservé à des fins spécifiques et ne devrait être utilisé que pour ces fins : comme espace réservé pour les utilisateurs et identifiants d'utilisateurs "non mappés" dans les exports de l'arborescence NFS.

Cela signifie que, sauf si la cartographie utilisateur/identifiant est configurée pour les exports de l'arborescence NFS, tous les fichiers dans l'export seront appartenir à nobody. Le but est d'empêcher tous les utilisateurs sur le système importateur d'accéder à ces fichiers (sauf s'ils ont des permissions "autre"), car aucun d'entre eux (sauf root) ne peut être/devenir nobody.

Il est donc très mauvais d'utiliser nobody à n'importe quelle autre fin, car son but est d'être un nom d'utilisateur/identifiant utilisateur pour les fichiers qui ne doivent être accessibles à personne.

L'entrée du Wiki est également très erronée.

La pratique UNIX/Linux consiste à créer un nouveau compte pour chaque "application" ou domaine d'application qui nécessite un domaine de contrôle d'accès distinct, et de ne jamais réutiliser nobody en dehors de NFS.

Dans de nombreuses variantes Unix, "nobody" est le nom conventionnel d'un utilisateur qui ne possède aucun fichier, n'appartient à aucun groupe privilégié et n'a aucune capacité sauf celles que tout autre utilisateur possède.

Il est courant d'exécuter des démons en tant que nobody, surtout des serveurs, afin de limiter les dommages qui pourraient être causés par un utilisateur malveillant qui aurait pris le contrôle d'eux. Cependant, l'utilité de cette technique est réduite si plusieurs démons sont exécutés de cette manière, car prendre le contrôle d'un démon fournirait le contrôle de tous. La raison en est que les processus propriétaires de nobody ont la capacité de s'envoyer des signaux les uns aux autres et même de se déboguer mutuellement, ce qui leur permet de lire ou même de modifier la mémoire des autres.

Informations prises sur http://en.wikipedia.org/wiki/Nobody_(username).

L'utilisateur nobody est créé par défaut lors d'une nouvelle installation (vérifié sur Ubuntu Desktop 13.04).

Dans de nombreuses variantes *nix, nobody est le nom conventionnel d'un compte utilisateur qui ne possède aucun fichier, n'est membre d'aucun groupe privilégié et n'a aucune capacité excepté celles que tout autre utilisateur a (l'utilisateur et le groupe nobody n'ont pas d'entrée dans le fichier /etc/sudoers).

Il est courant d'exécuter des daemons en tant que nobody, notamment des serveurs, afin de limiter les dommages qu'un utilisateur malveillant pourrait causer s'il les contrôlait. Cependant, l'utilité de cette technique est réduite si plus d'un daemon est exécuté de cette manière, car alors prendre le contrôle d'un daemon fournirait le contrôle de tous. La raison en est que les processus détenus par nobody ont la capacité d'envoyer des signaux à d'autres et même de les déboguer, ce qui leur permet de lire ou même de modifier la mémoire des autres.

_{<strong>Source</strong>: <a href="http://en.wikipedia.org/wiki/Nobody_%28username%29">Wikipedia - Nobody (username)</a>}

Les processus détenus par nobody peuvent s'envoyer des signaux les uns aux autres et même se ptracer mutuellement dans Linux, ce qui signifie qu'un processus détenu par nobody peut lire et écrire dans la mémoire d'un autre processus détenu par nobody.

Voici un exemple d'entrée de l'utilisateur nobody dans le fichier /etc/passwd:

alaa@aa-lu:~$ grep nobody /etc/passwd
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh

Comme vous pouvez le remarquer, l'utilisateur nobody a /bin/sh comme shell de connexion et /nonexistent comme répertoire personnel. Comme son nom l'indique, le répertoire /nonexistent n'existe pas, par défaut.

Si vous êtes paranoïaque, vous pouvez définir le shell par défaut de nobody comme /usr/sbin/nologin et ainsi, refuser la connexion ssh pour l'utilisateur nobody.

_{<strong>Source</strong>: <a href="http://linuxg.net/the-linux-and-unix-nobody-user/">LinuxG.net - The Linux and Unix Nobody User</a>}

Personne n'est un utilisateur spécial et un compte de groupe. Parce que c'est un nom d'utilisateur (et un nom de groupe) réel et peut être utilisé par des processus et même des utilisateurs, ce n'est pas littéralement personne. Par exemple, certaines configurations Apache ont nobody comme utilisateur/groupe propriétaire des fichiers et répertoires du site web. Le problème survient lorsque plusieurs processus pourraient utiliser l'utilisateur nobody, comme les répertoires NFS et le serveur web.