Come posso rendere un file NON modificabile?

Durante l'accesso, posso fare quanto segue:

mkdir foo
touch foo/bar
chmod 400 foo/bar 
chmod 500 foo

Quindi posso aprire vim (non come root), modificare bar, forzare una scrittura w!e il file viene modificato.

Come posso fare in modo che il sistema operativo non accetti modifiche ai file?

AGGIORNAMENTO 02 Mar 2017

1. chmod 500 fooè un'aringa rossa: l'autorizzazione di scrittura su una directory non ha nulla a che fare con la possibilità di modificare il contenuto di un file - solo la possibilità di creare ed eliminare file.

2. chmod 400 foo/barimpedisce infatti di modificare il contenuto del file. Tuttavia , ciò non impedisce la modifica delle autorizzazioni di un file: il proprietario di un file può sempre modificare le autorizzazioni del suo file (supponendo che possano accedere al file, ovvero eseguire le autorizzazioni su tutte le directory degli antenati). In effetti, strace (1) rivela che questo è ciò che sta facendo vim (7.4.576 Debian Jessie) - vim chiama chmod (2) per aggiungere temporaneamente il permesso di scrittura per il proprietario del file, modifica il file e quindi chiama chmod ( 2) di nuovo per rimuovere il permesso di scrittura. Questo è il motivo per cui usando chattr +iworks - solo root può chiamare chattr -i. Teoricamente, vim (o qualsiasi altro programma) potrebbe fare la stessa cosa con chattr come fa con chmod su un file immutabile se eseguito come root.

È possibile impostare l'attributo "immutabile" con la maggior parte dei filesystem in Linux.

chattr +i foo/bar

Per rimuovere l'attributo immutabile, utilizzare -invece di +:

chattr -i foo/bar

Per vedere gli attributi correnti di un file, puoi usare lsattr:

lsattr foo/bar

La manpage chattr (1) fornisce una descrizione di tutti gli attributi disponibili. Ecco la descrizione per i:

   A  file with the `i' attribute cannot be modified: it cannot be deleted
   or renamed, no link can be created to this file  and  no  data  can  be
   written  to  the  file.  Only the superuser or a process possessing the
   CAP_LINUX_IMMUTABLE capability can set or clear this attribute.

Puoi:

1. Cambia il proprietario del file in rooto un utente fittizio appena creato
2. Mantieni il gruppo corretto.
3. Utilizzare chmod 440per consentire la lettura per gruppo (che sei tu).

Se l'utente corretto non è l'unico in questo gruppo, è necessario creare un nuovo gruppo e aggiungervi solo lui e utilizzarlo per questo. Tuttavia, non sei il proprietario del file, pertanto vinon puoi modificare il proprietario del file.

Per rendere un intero albero di directory di sola lettura:

cd <directory>
find ./ -print0 | sudo xargs -I {} -0 chattr +i {}

Per renderlo nuovamente leggibile, passare +ia -i.