Comment puis-je rendre un fichier NON modifiable?

Une fois connecté, je peux effectuer les tâches suivantes:

mkdir foo
touch foo/bar
chmod 400 foo/bar 
chmod 500 foo

Ensuite, je peux ouvrir vim (pas en tant que root), éditer bar, forcer une écriture avec w!, et le fichier est modifié.

Comment puis-je faire en sorte que le système d'exploitation n'autorise aucune modification de fichier?

MISE À JOUR 02 mars 2017

1. chmod 500 fooest un fouillis rouge: l'autorisation d'écriture sur un répertoire n'a rien à voir avec la possibilité de modifier le contenu d'un fichier - uniquement la possibilité de créer et de supprimer des fichiers.

2. chmod 400 foo/barempêche en fait le contenu du fichier d'être modifié. Toutefois , cela n'empêche pas les autorisations d'un fichier d'être modifiées - le propriétaire d'un fichier peut toujours modifier les autorisations de son fichier (en supposant qu'il puisse accéder au fichier, c'est-à-dire qu'il dispose d' une autorisation d'exécution sur tous les répertoires ancêtres). En fait, strace (1) révèle que c’est ce que fait vim (7.4.576 Debian Jessie): vim appelle chmod (2) pour ajouter temporairement l’autorisation d’écriture du propriétaire du fichier, le modifie, puis appelle chmod ( 2) à nouveau pour supprimer l'autorisation d'écriture. C'est pourquoi en utilisant chattr +iworks - seul root peut appeler chattr -i. Théoriquement, vim (ou n'importe quel programme) pourrait faire la même chose avec chattr comme avec chmod sur un fichier immuable s'il était exécuté en tant que root.

Vous pouvez définir l'attribut "immuable" avec la plupart des systèmes de fichiers sous Linux.

chattr +i foo/bar

Pour supprimer l'attribut immuable, vous utilisez -au lieu de +:

chattr -i foo/bar

Pour voir les attributs actuels d'un fichier, vous pouvez utiliser lsattr:

lsattr foo/bar

La page de manuel chattr (1) fournit une description de tous les attributs disponibles. Voici la description pour i:

   A  file with the `i' attribute cannot be modified: it cannot be deleted
   or renamed, no link can be created to this file  and  no  data  can  be
   written  to  the  file.  Only the superuser or a process possessing the
   CAP_LINUX_IMMUTABLE capability can set or clear this attribute.

Vous pouvez:

1. Changez le propriétaire du fichier en rootou un nouveau nom d'utilisateur créé
2. Gardez le bon groupe.
3. Utilisez chmod 440pour permettre la lecture par groupe (qui est vous).

Si le bon utilisateur n'est pas le seul de ce groupe, vous devez créer un nouveau groupe, y ajouter uniquement celui-ci et utiliser ce groupe pour celui-ci. Cependant, vous n'êtes pas le propriétaire du fichier, vous vine pouvez donc pas changer le propriétaire du fichier.

Pour rendre une arborescence de répertoires complète en lecture seule:

cd <directory>
find ./ -print0 | sudo xargs -I {} -0 chattr +i {}

Pour le rendre à nouveau lisible, changer +ien -i.